Око за око. Вопросы биометрии



    Сравнительно недавно технологии, позволяющие идентифицировать человека по сетчатке глаза или открывать дверь одним прикосновением ладони, мы видели только в фильмах про будущее, а сегодня каждый второй носит это «будущее» в кармане джинсов. Биометрия активно внедряется в разные сферы нашей жизни и помимо вау-эффекта уже вызывает некоторые опасения, особенно, когда дело касается финансов. Мы попытались разобраться, стоит ли бояться использования биометрии в банковской сфере, какие существуют риски и как они регулируются на сегодняшний день.



    Обозначим понятия


    Биометрия – данные, связанные с физиологическими и биологическими особенностями человека (отпечатки пальцев, черты лица, голос, радужка глаза и др). Биометрия относится к персональным данным (152-ФЗ «О персональных данных» регулирует их хранение и обработку).


    Биометрический шаблон – комбинация биометрических параметров человека, служащих контрольным образцом для хранения и дальнейшего сравнения.


    Единая биометрическая система (ЕБС) – платформа, позволяющая проводить дистанционную биометрическую идентификацию. Это база биометрических шаблонов граждан. Разработчиком и оператором системы является Ростелеком.


    Единая система идентификации и аутентификации (ЕСИА) обеспечивает санкционированный доступ к государственным информационным системам, например, к Госуслугам. В связке с ЕБС она позволяет гражданам без личного присутствия получать банковские услуги.


    Дано


    Уже несколько лет Центробанк призывает финансовые организации собирать биометрические данные, а к концу 2019 года банки обязаны обеспечить прием биометрии во всех своих отделениях по закону. ЦБ аргументирует эти нововведения выгодами удаленного обслуживания как для граждан, так и для самих банков. По цепной реакции банки стали причинять добро своим клиентам и активно предлагать им пройти процедуру сдачи биометрии, а именно – данных изображения лица и голосовых данных.


    Банк может предложить выбор: сдать общую биометрию (в ЕБС) или только в свою собственную базу. Например, по официальным данным, в системе Сбербанка содержатся миллионы биометрических образцов клиентов. В этой статье мы рассматриваем ситуацию, когда биометрия собирается в ЕБС.


    Итак, чтобы сдать общую биометрию, клиенту банка нужно завести профиль на Госуслугах и прийти в отделение со своим паспортом и СНИЛС. (Точки банковского обслуживания, где можно сдать биометрию). Сотрудник банка сверится с документами, сделает фотографию и попросит произнести цифры от 0 до 9 и обратно. Затем эти данные отправятся в ЕБС, и все другие банки по ним смогут аутентифицировать клиента, если тот захочет воспользоваться их услугами.


    Звучит неплохо, но граждане не то что бы охотно сдают биометрию. Даже возможность уменьшения ставки по кредитам, выданным с помощью биометрии, не мотивирует. «Где будут храниться мои данные?», «Насколько надежно они будут защищены?», «Сможет ли другой человек украсть/подменить мои данные?» «Каков риск, что механизм идентификации допустит ошибку, и я потеряю свои деньги?» – вполне разумные вопросы пользователей.


    Задача


    Сдавать или не сдавать биометрию в банк?


    Решение


    Рассмотрим выгоды внедрения биометрии.


    Это действительно удобно для пользователя: в отличие от бумажного паспорта биометрию нельзя потерять, забыть ее, как ПИН-код, тоже не получится. Завести счет и выпустить карту в новом банке можно будет дистанционно, это упростит жизнь маломобильным гражданам и тем, кто живет в отдаленных регионах страны. А жителям мегаполисов эта система поможет сэкономить время на посещении отделений банка и не подстраиваться под часы их работы.


    Биометрия упростит и процесс совершения покупок. Один взгляд в камеру позволит оплатить покупки на кассе без мобильного телефона (который может разрядиться) или банковской карты (которую могут украсть). К тому же, вместо 15 секунд при стандартном эквайринге, процесс оплаты по биометрии должен занять не более 5 секунд (источник).


    Перейти в другой банк станет проще, а возросшая конкуренция, вероятно, будет мотивировать банки повышать качество обслуживания.


    Что касается банков, они в перспективе смогут сократить издержки на содержание отделений и направить освободившиеся ресурсы на развитие своих сервисов и (ну, допустим:) на информационную безопасность.


    Также банки смогут расширить клиентскую базу и увеличить доходы, привлекая тех граждан, которые ранее физически/географически были им недоступны.


    А теперь обратимся к рискам.


    Уникальность биометрии, с одной стороны, является преимуществом, но с другой — это один из главных ее недостатков. В случае утечки информации биометрические данные не заменишь, как можно заменить документ или пересоздать пароль.


    Утечки персональных данных и торговля ими, к сожалению, не новость. Поэтому необходимость доверить банку еще больше данных о себе настораживает. Согласно законодательству, банки не могут хранить у себя биометрию, которая собиралась для ЕБС – эти данные находятся в защищенном хранилище Ростелекома. Доступ к ним будет иметь только клиент банка, чьи данные уже внесены в ЕБС, и только в момент получения услуги. На данный момент практически ничего не известно об уязвимостях в ЕБС (мы, конечно, верим в чудеса, но все же). Также вероятны попытки перехвата данных на этапе обмена информацией между банком и хранилищем данных.


    Несовершенство механизмов аутентификации заключает в себе сразу две угрозы:


    1. Спуфинг. Реальный пользователь подменяется мошенником с помощью поддельного идентификатора: фотографии или записи голоса. Для борьбы со спуфингом используются механизмы детектирования живого пользователя (liveness detection). Они должны в режиме реального времени определять, что системой пользуется живой человек, а не его имитация. Однако нам известны случаи, когда фотография была принята за реального человека. Существуют и другие способы проверки реальности пользователя. Так, в системах идентификации по голосу пользователю предлагают произнести случайную последовательность цифр, выведенную на экран. А в случае распознавания лица пользователя побуждают инстинктивно отреагировать на какое-то внезапное действие или просят подмигнуть, улыбнуться, повернуть голову. Тогда слишком долгая реакция вызывает подозрение. Такой подход кажется нам более надежным, нежели предыдущий.
    2. Ложное одобрение. Система по ошибке принимает другого человека за истинного. Есть соответствующая метрика — частота ложного одобрения (false acceptance rate, FAR). Риск ложного одобрения частично нивелируется при сочетании разных типов данных. Например, технология идентификации по лицу может ошибиться с вероятностью 5%, но если к ней добавить идентификацию по голосу с таким же показателем, шанс ошибки снизится до 0,25%. Казалось бы, всего 0,25%, однако, если посчитать этот процент от совокупного числа клиентов одного крупного банка, получится 150 000 человек (чуть больше населения Пятигорска).

    Уязвимость банков. Хотя российская банковская система имеет одни из лучших показателей безопасности по миру, риск компрометации все равно есть. Также следует учитывать человеческий фактор. Как мы говорили выше, первичную проверку соответствия человека его документам и запись биометрии при регистрации в ЕБС проводит операционист банка. Схемы подкупа сотрудников банка для подмены/кражи данных, к сожалению, исправно работают.


    Уязвимые приложения. Пользователи взаимодействует с банком преимущественно через мобильные приложения, сотрудники банка используют веб-приложения (например, браузерную АРМ Биометрию). Как показывает практика, подавляющее большинство атак на системы начинается с уязвимостей в приложениях, таким образом создается внушительная поверхность для атаки.


    Эти опасения справедливы не только для пользователей, но и для самих банков. Банки осознают угрозы информационной безопасности своих систем и сервисов и кратно возрастающую ответственность за сохранность информации, которая ложится на них в случае использования биометрии.


    Несмотря на обещанные выгоды от внедрения биометрии в долгосрочной перспективе, сначала финансовая нагрузка на банки существенно увеличится. Снятие биометрических данных осуществляет операционист банка, поэтому его рабочее место должно быть оснащено необходимым оборудованием. Кроме того, придется понести затраты на обеспечение безопасности биометрических персданных граждан на этапе сбора и передачи в ЕБС.


    Вывод


    Мы рассмотрели основные аспекты внедрения биометрии в банковской сфере и приводим последний, но очень весомый для подведения итогов факт: в январе появилась информация о том, что принятие законопроекта о сборе биометрических данных отложено. Причиной этому называют техническую и финансовую неготовность к обработке таких больших объемов данных. Получается, биометрия вызывает много вопросов на всех уровнях — у пользователей, у банков, у законодательных органов — и пока эти вопросы не решены, сдавать биометрию мы лично не спешим. Возможно, приостановление принятия законопроекта даст время на исправление недостатков безопасности и усовершенствование процессов. Мы не призываем отказываться от сдачи биометрии, если законопроект все же будет принят, но напоминаем:


    1. Это бесплатно для пользователя, все расходы по сбору и передаче данных банки берут на себя.
    2. Это необязательно. «Банк России не ставил и не ставит перед собой цель связывать оказание банковских услуг с обязательной сдачей биометрии. Это происходит только с добровольного согласия гражданина. У человека должен быть выбор: получать услуги дистанционно с помощью удаленной биометрической идентификации, либо лично в офисе банка» (с) ЦБ РФ.

    Материал подготовлен совместно с veneramuholovka

    Only registered users can participate in poll. Log in, please.

    А вы опасаетесь сдавать биометрию?

    • 90.0%Да81
    • 10.0%Нет9
    Digital Security
    Безопасность как искусство

    Similar posts

    Comments 15

      +2
      Все эти камеры на улицах и тд.
      Подбивают (меня лично) наносить макияж или маску.
      Понятно, что все это иррационально.
      Видимо у меня протестная натура )))
      Банкам не верю вообще, даже личный кабинет не создал и деньги в них не храню.
      Доверяю одному банку: «Банка». Размер (1-5 литров) изменяется по мере изменения благосостояния.
      Сейчас доступ к счету имеют все, в любой момент можно остаться без средств, если не мошенники так государство.
        0

        Обычный макияж не поможет, нужен такой, который меняет геометрию скул и подбородка… А он достаточно вызывающий).

        +1
        можно будет дистанционно, это упростит жизнь маломобильным гражданам и тем, кто живет в отдаленных регионах страны
        Как? У них что, дома будет по терминалу?
        Биометрический платеж — это прежде всего скорость. Не нужно тратить время на поиск карты или активацию мобильного телефона с платежными сервисами. Вместо 15 секунд процесс оплаты по биометрии занимает не более пяти.
        Откуда у них столько? Приложил карту — и через секунду ответ готов.
        Этот способ безопасен и надежен — карту могут украсть, батарея телефона может разрядиться, а с биометрией все эти риски исключены.
        … рожу могут начистить, голос может сесть…
          0
          1. через банковские приложения, по звонку (при голосовой идентификации)
          2. вы рассматриваете время только для покупателя — чаще всего да, мгновенно (хотя не всегда), а весь процесс проведения платежа от момента «приложил карту» до «получил чек» занимает больше времени
          3. а вот тут правы) есть такой риск
            0
            через банковские приложения, по звонку (при голосовой идентификации)

            Ужасно! Подделка голоса это то что уже очень хорошо делается. Какое раздолье для мошенников.


            а весь процесс проведения платежа от момента «приложил карту» до «получил чек» занимает больше времени

            В момент "чек напечатан" транзакция УЖЕ сформирована полностью. Так что не очень понимаю что Вы имеете в виду.


            Или Вы имеете в виду клиринговые операции и пр.? А при чем тут они?
            Расчеты между банками, претензионка, сверки и пр. имеют место быть при любой технологии платежа.

            0
            спешить нельзя, а как же семь раз отмерь, один раз погаси минус на карте.
            0

            Не буду высказывать своем мнение об оплате по аутентификации по принципу "ну это я же… вот я. вот мог глаз". Но резанула некоторые манипуляции данными в статье…
            Хотя бы вот это:


            К тому же, вместо 15 секунд при стандартном эквайринге, процесс оплаты по биометрии должен занять не более 5 секунд

            Берется максимальное время (максимально допустимый таймаут) на запрос авторизации (15 сек) и говорится, что это медленнее, чем гипотетическое время проверки биометрических данных.
            Да на кого эта информация рассчитана?


            Так для информации… объем данных в авторизационном запросе (ISO 8583, например) ну где то 1Кб (+-). проверки в HSM (криптограммы карты, PIN блок, если есть) ну в пределах < 50ms. Транспорт и обращение в БД за данными еще 300..500 ms добавляют.


            Ну вот кто последний раз при оплате по бесконтакту (например) сталкивался с временем > 2 сек?
            15 сек… давно не видел.


            "при стандартном эквайринге" — вообще как наждачкой по уху..


            P.S. Для тех кто прицепится к "5 сек". Я не про времена, а про желтушность способы и передергивания. Раздражают таким манипуляции.

              0
              Действительно интересный пункт. Спрашивается «Каким образом?».
              0

              Автор, посмотрите как-нибудь, как ваша статья выглядит в списке в версии хабра для мобильников. Там отобрадаются только заголовки и по вашему, например, вообще невозможно понять, о чем статья. Даже предположить невозможно. Не надо так.

                0
                Спасибо за критику, учли.
                0
                Про добровольность вообще бред. Ни о какой добровольности речи не идет. Интересовался ипотечными кредитами — во всех банках (по крайней мере крупных) обязательно сдавать биометрию. В совкомбанке даже карту не выдали, когда я отказался сдавать биометрию. А сбер обманом заставил пожилого коллегу сдать биометрию, аргументируя тем, что это защита от мошенников. По собственной инициативе они это делают или по указке «сверху» хз. Но ещё более бредово то, что услуг ещё нет, а подписываться на них (сдавать БД) заставляют уже сейчас.
                  0
                  Пока что ЦБ утверждает что сдача биометрии добровольна и не принудительна, хотя бы потому что законопроект ещё не принят. И сейчас отказавшись от ее сдачи можно лишиться только малой части услуг банков. А вот что будет если всё таки примут законопроект о сборе биометрии вопрос сложный. Может однажды и дисконтные карты магазинов будут привязаны к лицу и голосу.
                    0
                    Это называется добровольно-принудительно. Если тебе нужна какая-то услуга, то деваться некуда. Или отказывайся от услуги или сдавай принудительно. Сейчас в анкетах банков на ипотеку всякие паспортные данные объединены с биометрическими и отказаться от сдачи БД, соответственно, невозможно. Отказавшись от сдачи БД, Вы лишаетесь единственной нужной части услуг банков.
                  0

                  По ряду моментов желтушное притягивание за уши фактов для того, что "ну нам же нужно что то выложить в блог" :(

                    0
                    Это Ваше мнение. Тема актуальная: мы встречаемся с ней и на проектах, и как обычные пользователи, конечно. И вопросов о том, как всё должно работать по замыслу и как работает на данный момент, очень много, факты расходятся, ни малейшего смысла что-то куда-то притягивать, нам самим было интересно разобраться и показать объективную картину. Если у Вас получится интереснее, полнее и достовернее — скиньте ссылку, потому что, правда, очень интересно, а выкладывать нам есть что, загляните в ленту, техническими статьями не обижаем;)

                  Only users with full accounts can post comments. Log in, please.