Биометрические технологии в финтехе и банкинге



    В нашем предыдущем посте мы писали о биометрии в общих чертах, о том, на каком уровне развития она сейчас находится, о нашей платформе Id-Me. Наиболее очевидными и перспективными отраслями для применения биометрических технологий являются банковская сфера и финтех.

    Сегодня мы опишем существующие технологии, перспективы их развития и выгоды, которые содержатся в их грамотном применении.

    Финтех-отрасль развивается в настоящий момент огромными темпами, на глазах меняя финансовую инфраструктуру и даже подходы к ведению бизнеса. При этом ключевых требований к этой отрасли всего два: повышение эффективности финансовой системы или отдельного бизнеса и безопасность.

    Биометрические технологии обеспечивают выполнение обоих перечисленных требований и отлично сочетаются с новейшими достижениями финтеха. Самая очевидная область использования биометрии – это оперативная и надежная идентификация клиента на разных шагах и в разных сценариях финансовых взаимодействий.

    Вторая область – обеспечение безопасности при работе с персональной информацией и финансовыми данными. Это актуально и для всевозможных систем платежей и переводов, банкинга и персональных финансов, кредитования, управления активами и инвестициями и, наконец, страхования.

    Простейшая биометрия применяется в сканерах отпечатков пальцев современных смартфонов и планшетов, с их помощью можно получить доступ к системам Google Pay и Apple Pay.

    Многие крупные российские банки уже используют биометрию в своих мобильных приложениях как для входа в приложение, так и для подтверждения операций (обычно вместо подтверждений через SMS).

    Но это пока тоже сложно назвать достойной защитой – производители смартфонов делают упор на скорость срабатывания дактилоскопического датчика, что не лучшим образом сказывается на точности распознавания. Датчик обычно считывает лишь часть отпечатка. И недавнее исследование ученых из Мичигана, и создание так называемого MasterPrint (своего рода «среднего арифметического» отпечатка) это подтверждают.



    Международная платежная система MasterCard запустила в 12 странах Европы возможность подтверждать онлайн-покупки при помощи селфи. Amazon, Uber и даже некоторые государственные организации в США движутся в том же направлении. Конечно, такая технология удобна, но не является панацеей, тем более что похищенный хакерами пароль вы можете сменить, а вот с лицом будет сложнее.

    Существует и 3D Secure 2.0 – новая версия протокола, получившая измененную процедуру верификации. Само подтверждение платежей реализуется с помощью различных биометрических параметров – контуры лица, отпечатки пальцев, рисунок вен ладони и прочее.

    При этом на откуп внутренней системе оценки рисков отдано до 95% общих транзакций, и только в случае с оставшимися 5% система будет запрашивать код верификации.

    Корпорация HSBC заявила о запуске сервиса голосового подтверждения платежа, что тоже не может быть 100% надежным способом идентификации.

    Повсеместная мобильность стала одним из неотъемлемых трендов для финтеха, и сложно представить какое-то новое финансовое приложение без использования биометрии, поэтому либо производителям датчиков придется догонять финтех, либо начинать использовать дополнительные системы идентификации, кроме отпечатков пальцев.

    Должный уровень защиты при сохранении комфорта и быстроты использования может обеспечить только мультимодальный подход – аутентификация сразу по нескольким биометрическим показателям.

    Самая слабая и уязвимая модальность – это голос – сильно зависит от окружающего шума, легко перехватывается сторонними техническими средствами.



    Аналогичные проблемы возникают и при выборе видеоидентификации как единственного способа – качество освещения, погода, незначительные изменения внешности сильно затрудняют процесс и влияют на результат.

    Гораздо лучше обстоят дела с идентификацией по рисунку вен ладони, трехмерной модели лица, по фото, сделанному в ИК-диапазоне, или радужной оболочке, особенно при их суперпозиции в целях контроля компрометации и управления рисками. Платформа Id-Me, например, позволяет выбирать аутентификацию по разным показателям.



    В РФ про использование биометрии особенно активно стали говорить после форума FINOPOLIS (октябрь 2016, Казань) – крупнейшие участники рынка (Банк России, РосФинМониторинг и Минкомсвязь) объявили о запуске пилотного проекта сразу в ряде российских банков.

    Несомненный плюс для самих банков – дополнительная экспансия в регионы, ведь при наличии адекватной системы идентификации и авторизации клиент сможет полноценно пользоваться услугами банка из любого города, или даже страны.

    Если же после тестирования в нескольких банках проект будет признан успешным, Минкомсвязь сможет создать НБП (национальную биометрическую платформу), а ЦБ – значительно расширить спектр финансовых услуг, предоставляемых с применением методов биометрической верификации клиента кредитной организации в каналах дистанционного обслуживания.

    Здесь как нигде важно обеспечить безопасность данных и надежность аутентификации на всех этапах взаимодействия. Сделать это несложно, как мы упомянули выше, необходимо лишь выбрать «сильные» модальности и обеспечить мультимодальную верификацию.

    Давайте рассмотрим, в каких областях технологии RecFaces могут ускорить, оптимизировать и обезопасить использование финансовых сервисов.

    При процессе кредитного или страхового скоринга Id-Me может обеспечить надежную и быструю верификацию клиента, также может быть проведена сверка по стоп-листу в режиме идентификации. При сканировании паспорта биометрическое правило проверки по изображению лица поможет проверить подлинность документа, исключить внешне похожих людей и использование чужого документа. При любых дистанционных финансовых операциях мультимодальная биометрическая верификация будет являться залогом удобного и безопасного проведения транзакции.

    Ниже приведена схема работы мультимодальной платформы Id-Me:



    Процесс идентификации:

    При помощи внешнего оборудования, установленного на различные клиентские приложения, создается биометрический образец (БО) конкретного человека. Может быть использовано различное оборудование (сканер сетчатки глаза, сканер отпечатка пальца, фотоаппарат, микрофон и т.п.), в том числе и для создания мультимодального профиля клиента.

    Клиентский пользовательский интерфейс (UI) и клиентские сервисы связываются с веб-сервером и отправляют БО через него в платформу Id-Me.

    БО помещается в изолированный модуль хранения с применением механизмов деперсонификации.

    При поступлении запроса в Модуль обработки биометрических образцов выполняются следующие шаги:

    • Получение БО из хранилища;
    • Проверка на качество БО (качество фото, расстояние, освещенность, размытость, углы поворота головы, интегральные индексы качества, уровень посторонних шумов и т.д.);
    • В случае плохого качества процесс прерывается с соответствующим сообщением;
    • В случае удовлетворительного качества БО преобразуется в биометрический шаблон (БШ);
    • БШ помещается в модуль хранения с применением механизмов деперсонификации.

    Модуль контроля защиты от компрометации запускает конвейер проверки БО и БШ на предмет фальсификации, подмены, несоответствия, замены лиц и т.д. В конвейер могут быть включены механизмы, работающие по различным признакам (анализ контекста, поведения человека, оптического искажения и т.д.).

    В модуль распознавания и поиска поступает запрос на поиск БШ в эталонной базе БШ профилей людей:

    • В модуль распознавания и поиска поступает БО/БШ текущей операции.
    • Реализуется функция биометрической верификации.
    • Возвращается мера схожести и значение аутентифицирован / не аутентифицирован в качестве результата.

    Производится загрузка результата идентификации пользователя в клиентский UI или аппаратные исполнительные механизмы.

    Важно отметить, что весь этот многоступенчатый процесс обеспечивает высокую надежность результата, а занимает всего 1,5-2 секунды.

    Какие практические выгоды получает организация при применении мультимодальной платформы Id-Me?

    • Удобная и безопасная биометрическая аутентификация клиентов в каналах дистанционного обслуживания;
    • Биометрические механизмы проверки клиента в процессе кредитования;
    • Удобная и безопасная биометрическая аутентификация персонала, контроль и подтверждение отдельных видов операций и присутствия сотрудника;
    • Эффективные современные биометрические средства борьбы с внутренним и внешним фродом;
    • Способы управления приоритизацией обслуживания клиентов;
    • Требуемое сочетание биометрических модальностей для успешного решения задач бизнеса.

    RecFaces продуктивно сотрудничают с финансовыми организациями, уже в ближайшем будущем мы сможем написать здесь об успешных кейсах в банковской сфере и финтехе. Тем не менее, финансовой безопасностью биометрия не ограничивается, она может быть не менее успешно и эффективно применена на объектах транспортной инфраструктуры, и об этом у нас планируется следующий материал.
    • +12
    • 4,4k
    • 7
    RecFaces 10,40
    Платформа многофакторной идентификации
    Поделиться публикацией
    Ой, у вас баннер убежал!

    Ну. И что?
    Реклама
    Комментарии 7
    • +1
      У Вас используется архитектура «полицейской системы», когда в проверяющей организации или ее агенте хранятся эталонные биометрические образцы, — подход принятый в биометрической школе США. Данная архитектура не гарантирует того, что в перспективе на «блошиных рынках» не будут продаваться «случайно слитые базы биометрических образцов». Если бы Вы действительно провели анализ существующих подходов (именно подходов) биометрической идентификации личности, то наверняка упомянули бы и про российскую биометрическую школу (вот ссылка на статьи). Подход отечественной биометрической школы обеспечивает надежную идентификацию личности без необходимости хранения эталонных биометрических образцов на «третьей стороне» — и это главное его преимущество, которое позволяет к тому же не раскрывать анонимность идентифицируемого лица.
      • 0
        не знаю как насчет школ, в Израиле хранят хеши биометрических образцов
        • 0
          Мы исходим из требований стандартов ГОСТ/ISO и регуляторов – ФСТЭК России и профильного (8-го, ИБ) центра ФСБ России к хранению и обработке персональных данных (ФЗ-152). Есть положительное заключение ФСТЭК России по системной архитектуре платформы, модели угроз и нарушителя. Положительное решение регулятора вселяет в нас разумный оптимизм. Что касается подхода, то даже если биометрические образцы похищены злоумышленником (что само по себе уже крайне плохой факт), ему также необходимо знать, каким образом осуществляется преобразование биометрического образца в эталонный биометрический шаблон (алгоритм, сборка). Без этой информации в АИС «сырые» данные не имеют широкого практического применения. Алгоритмы (протоколы обмена) меняются даже при подозрении на компрометацию системы. Собственно, все эти подходы нам и согласовал профильный регулятор.

          Также важно отметить, что хранить эталонные биометрические образцы требуется для обеспечения ряда организационных и технических задач. Таких как расширение используемых биометрических алгоритмов по одной модальности, что позволяет эволюционно развивать платформу, повышая качество идентификации и верификации, предоставлять функции аналитики для определения эффективности биометрических алгоритмов на эталонной базе, давать пользователю возможность «глазами» сравнить биометрические образцы и т.д.

          PS. Спасибо за приведенную ссылку. Было бы очень интересно ознакомиться с практической реализацией указанного вами подхода с использованием нейросетевого преобразователя (при использовании изображения лица) уровня промышленного образца, аналогичного нашему решению, со стойкостью СКЗИ, аналогичной классу КС1.
          • 0
            Приведенные в ссылке подходы закреплены в действующих Государственных стандартах, рассмотренных и согласованных в ТК, контролируемом ФСТЭК. И использование отечественных подходов биометрической идентификации личности ни каким образом не связано с СКЗИ (в одном из продуктов мы, например, делали своего рода дополнительную защиту ключевого контейнера СКЗИ Крипто-Про, «оборачивая» его в «биометрический сейф» — при положительной идентификации личности по динамике рукописного почерка на выходе получался исходный ключевой контейнер, при отрицательной — белиберда).

            ему также необходимо знать, каким образом осуществляется преобразование биометрического образца в эталонный биометрический шаблон (алгоритм, сборка)

            Во всех учебниках по информационной безопасности написано, что злоумышленнику известны и алгоритмы и протоколы, неизвестен только ключ.

            В свое время для повышения качества и надежности (также и для защиты от «оставления отпечатка на сканере») идентификации личности по отпечаткам пальцев мы использовали комбинацию отпечатков пальцев, при которой учитывалась как последовательность сканирования, так и алгоритм смешения результатов сканирования.
            • 0
              Компрометировать АИС путем хищения хранимых эталонных биометрических образцов возможно. При этом важно не забывать того факта, что банки будут осуществлять сбор биометрических шаблонов (и образцов) и это большая инвестиция банков, поскольку требует отвлечения операционистов (ФОТ, инфраструктура) на регистрацию субъекта ПДН в НБП. Представим себе, что хранение биометрических образцов в НБП не осуществляется, хранятся и обрабатываются только вектора (математика), алгоритм и протоколы обмена компрометированы.

              Что при этом должно послужить средством формирования новых биометрических ключей в сжатые сроки? Мало кто захочет в тот же день пройти повторную процедуру регистрации, а это вызовет большой резонанс. Более того, все алгоритмы эволюционируют в плане качества и точности решения задач верификации и идентификации. В отсутствие биометрических образцов переход на более современные алгоритмы становится невозможен, поскольку обратное преобразование вектора невозможно. Нет необходимости оберегать систему путем отказа от хранения данных, есть необходимость обеспечивать надлежащий уровень защищенности АИС, в рамках целевой архитектуры, согласованной ФСТЭК.

              Школы могут быть разными, но есть требования регулятора и функциональные требования к АИС, которые должны быть выполнены ее разработчиком.

              На тему различных способов организации информационного обмена и интерпретации результатов есть ГОСТ Р 54411-2011/ISO/IEC/TR 24722:2007 на мультимодальные системы для интерпретации результатов обработки каждой модальности. В вашем случае модальность одна, но решения принимались по мерам схожести и логике выполнения операций. Этот подход можно реализовать с любой другой модальностью.
        • 0
          >>> В РФ про использование биометрии особенно активно стали говорить после форума FINOPOLIS (октябрь 2016, Казань) – крупнейшие участники рынка (Банк России, РосФинМониторинг и Минкомсвязь) объявили о запуске пилотного проекта сразу в ряде российских банков.

          О каком пилотном запуске может идти речь, если банки РФ (по крайней мере самые основные) даже нормальную двухфакторку сделать не могут для веба? Двухфакторка только по СМС, всякие приложения которые являются надежными, внедрять не спешат.
          • 0
            Сейчас банковским сообществом ведется активная работа в сфере применения биометрии:

            1. Не так давно анонсирована возможность пилотного запуска единой биометрической базы ЦБ (http://www.rbc.ru/finances/19/01/2017/587e2c689a79470b502835ba).
            2. Подготовлен проект изменений к ФЗ-115 – профильному закону Росфинмониторинга по идентификации клиентов кредитных организаций.
            3. Подготовлен проект изменений ФЗ-152.
            4. Готовится концепция национальной биометрической платформы.
            5. Ведутся работы по созданию платформы и тестового сервиса биометрической идентификации клиента кредитной организации в каналах дистанционного обслуживания с целью открытия счетов (аутентификация через ЕСИА).

            У процесса внедрения новых решений в целом и биометрии в частности есть свойственная всему новому инерционность, но сервисы аутентификации изменятся очень быстро с акцентом на мультимодальную биометрию с контролем компрометации. При этом, разумеется, механизмы двухфакторной аутентификации также будут актуальны. Пример: обычная web-камера (идентификация по лицу) + ПИН.

          Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

          Самое читаемое