Биометрическая идентификация все больше применяется для безопасности. Самый яркий пример — смартфоны с контролем отпечатка пальца, например Iphone с технологией Touch ID. Это быстро и удобно.
Ну не совсем быстро и удобно, иногда приходится читать 5 советов для улучшения работы Touch ID.
Но в целом эта технология работает. Отпечатки пальцев или ладони или сетчатку глаза нельзя потерять или передать другому. Это быстро оценили работодатели в системах учета рабочего времени и СКУД.
К биометрии присматриваются банки. Но тут, мне кажется, баланс минусов и плюсов пока неясен. Проблема в том, что в отличие от СКУД и систем учета рабочего времени, к банкоматам и платежным терминалам имеет доступ неограниченный круг лиц. Среди которых обязательно появляются любители чужих денег.
Если сейчас хакеры ставят скимеры на бензозаправки, чтобы завладеть платежными данными, то скорее всего для биометрических датчиков тоже появятся скимеры. Но, в отличие от карточки, данные своих отпечатков пальцев или радужки глаза невозможно отозвать. Один раз попав в руки мошенников, они всегда будут там, и сменить их невозможно.
Конечно можно надеяться на шифрование. Apple так и делает, осуществляя привязку площадки Touch ID к конкретному процессору. Поэтому, если заменить площадку Touch ID (она же кнопка Home) вне сервиса Apple, можно столкнуться с ошибкой 53 и выходом смартфона из строя. При этом Apple утверждает, что его ПО работает не с отпечатком пальца, а с результатом его математического преобразования. Причем преобразован он таким образом, что осуществить обратную операцию — восстановить на основе хранимого в памяти устройства набора данных реальный отпечаток пальца маловероятно. Учитывая, что этот набор данных хранится в защищенной части процессора Secure Enclave, звучит убедительно.
Но в целом такой подход не нов. Пароли к сайтам и подобная информация тоже чаще всего хранятся не напрямую, а преобразованные с помощью какой либо хэш-функции, зачастую с применением модификаторов, так называемой соли. Но злоумышленники отвечают применением радужных таблиц для восстановления пароля из хэша. К тому же не факт, что при оснащении самых дешевых платежных терминалов будет применяться максимально безопасная конфигурация.
Битва брони и снаряда продолжается и когда жертвой этой битвы станут биометрические данные пользователей — видимо вопрос времени.