Comments 71
То есть, если злоумышленник получил доступ к приложению банка через смс-код или кражу эккаунта в телеге ( https://habr.com/ru/news/850572/ ), то он ещё сможет сдать биометрию в ЕБС и пойти по другим банкам, госуслугам, набрать кредитов, и т.д.?
предположу, что подтверждать ее все равно придется в банке/мфц. я 3 раза ходил сдавать - 2 раза что-то не работало вообще. причем перед началом самой процедуры распечатывается стопка всяких бумаг, которые ты подписываешь. потом выясняется, что нихрена не получится. а на третий морока с микрофоном на 20 минут. весь банк сочувствующе смотрел, как я ору и шепчу цифры
У вас должны были быть веские причины так желать сдать биометрию. Расскажите, пожалуйста, людям, никогда ее не сдававшим и не ощущающим в ней потребность, зачем?
в мобильных приложениях
под какую ОС - не уточнилось? А то они все какие то иностранные и чего то с ними все небезопасно и т.д.
Они всё ещё не в курсе что для того чтобы использовать биометрию, её совсем не обязательно хранить в каком-то едином реестре или даже вообще на стороне банка?
Они даже не в курсе, что те сканеры, что установлены в смартфонах, и не смогут передавать "биометрию" на сторону банка. Это ж вещь в себе, наружу выдаёт только подтверждение узнавания.
Учитывая количество взломов в РФ, эти данные крайне быстро окажутся буквально у всех злоумышленников.
К слову, биометрия - это, по сути, самые чувствительные данные, которые есть у человека. Их нельзя как-то изменить. И если они однажды утекут, то это до конца жизни. По этому, не рекомендую сдавать биометрию никому и ни при каких обстоятельствах.
если они однажды утекут
К слову "утекут" по-хорошему должно прилагаться не "если", а "когда". Причём безотносительно того, кто хранит.
а при сдаче биометрии ты на бумаге что-то подписываешь? что-то тип "да,я передал свои биометрические данные в такой-то банк такому-то сотруднику(печать, подпись, отпечаток пальца)"?
я к тому, что выпив стаканчик воды в офисе банка не надо тщательно потом его протирать? особенно в офисе т-банка?
Большинство уже сдало, на те же 10-летние загранпаспорта.
Зная как быстро эти данные утекут совершенно не хочется никакие биометрические данные никуда сдавать
- мы перевели все ваши деньги и всё ваше имущество лицу, чьи данные мы не можем вам сообщить по соображениям безопасности.
- сделайте офигевшее лицо для подтверждения операции.
Интересно, почему я посносил все российские банковские приложения? Даже не знаю...
Перестали обновляться из доверенного маркета и начали просить странное?
Лет 10 назад один известный банк стал обзванивать контакты из моей записной книжки и в грубой форме требовать чтобы я оплатил ипотеку. Интересно, что платёж по ипотеке застрял в ихнем же банкомате. С тех пор я даже после использования браузерных банк-клиентов в отдельной виртуалке руки с мылом мою.
Никогда не приходило в голову дать банковскому приложению доступ к контактам...
В те времена ты или даешь приложению все права которые оно просит или оно не устанавливается.
И вообще в целом времена были менее дикие. Один банк при открытии счета наиболее стрёмные комиссии в листике с тарифом в договоре мне обвёл красным маркером, чтоб я не влетел случайно и заодно рассказал как их обойти. И я немного расслабился... Видимо, это была многоходовочка.
Не знаю как сейчас, но на телефоне сделал параллельный профиль, поставил в него банковское приложение, а в профиле в контактах только телефоны из спам звонков
а зачем их изначально ставить? и так понятно ,что они дырявое ведро с гайками... сбербанк туда же.
По словам Скоробогатовой, в России есть запрос на возможность сдавать биометрические данные в мобильных приложениях. Тем более, что «для этого много что настроили», отметила чиновница.
1) на это есть запрос только со стороны банков.
2) «для этого много что настроили» - эк они занятно завуалировали то, что вся биометрия банковскими приложениями уже собирается.
По словам Скоробогатовой, в России есть запрос на возможность сдавать биометрические данные в мобильных приложениях.
Как обычно - все по просьбам трудящихся, все для народа...
Ну епт, пароль, почту, на худой конец паспорт можно поменять. А вот сетчатку, отпечатки пальцев и лицо уже сложнее. С учетом того, что за утечку этих данных штраф "пять тыщь" за про*б банка, то стоит ли удивляться, что такие инициативы встречают в штыки??
И эти "пять тыщь" пойдут в бюджет......
Ну биометрия по своей сути это плюс-минус публичная информация. Как тот же паспорт.
Проблема в идиотах (точнее - вредителях) которые используют биометрию для удалённой авторизации.
Если человек приходит в отделение банка и расстёгивает ширинку для предъявления биометрии, то можно очень легко узнать его волеизъявление просто спросив, что именно он хочет сделать - придать вращение отделению банка или взять кредит.
Совсем другое дело - приложение или сайт. Нужно удостовериться что биометрия предъявлена именно в этот раз и именно по этому поводу (в соответствии с конкретным волеизъявлением). И тут нужен доверенный считыватель не только биометрии но и волеизъявления. А приложуха банка скачанная из очередного защемлялостора явно на это не тянет.
Знание чужой биометрии не должно давать возможности её предъявлять от имени владельца.
Вот да. Биометрия - это удобная идентификация человека, типа логина, который можно особо не скрывать. Но для аутентификации и авторизации надо использовать что-то еще, что можно хотя бы быстро сменить в случае компрометации.
Ну сейчас вполне себе существуют механизмы аутентификации и авторизации по биометрии, которые это позволяют.
Для этого просто хранится не сама биометрия, а хэш по ней. И при компрометации просто удаляют/меняют этот хэш. Ну если совсем грубо.
Вся история с биометрическими хэшами - это распил ребят из Мастеркард и Всемирного банка.
И в каком конкретно месте это распил? Кто и что там пилит?
1) Посмотрите рынок биометрии Африки. Там страны с ввп в 500 долларов на душу населения делают себе аналоги ЕБС. За чей счёт банкет - за счёт кредитов Всемирного Банка. А «покупают» самые дорогие решения Idemia и Dermalog.
2) Что такое биометрический хэш? Вы понимаете, что человеку соответствует не один биометрический шаблон, а целое подпространство?
Посмотрите рынок биометрии Африки.
А зачем на него смотреть? Почему не смотреть на рынок западной Европы где считай каждый первый банк использует биометрию? Кто и что там пилят?
Что такое биометрический хэш?
Вы берёте какой-то параметр биометрии, например отпечаток пальца, и преобразуете в конечный набор данных. Причём таким образом чтобы один и тот же отпечаток всегда давал одни и те же данные на выходе. И естественно так чтобы уменьшить коллизии до приемлемого.
Таким образом вам не нужно хранить где-то сам отпечаток и достаточно хранить только хэш для сравнения. В идеале вы добавляете ассиметричную криптографию и храните не "чистый" хжш, а кодированный. Таким образом если хранящийся где-то хэш будет скомпрометиррван, то вам будет достаточно просто поменять ключи. Ну если совсем грубо.
1) Какой каждый первый банк западной Европы использует биометрию? Какой?! Там каждый первый «где карточку получали, туда и идите», в каждом первом поручение на перевод надо идти вручную писать, в каждом первом нет нормального приложения.
2) Теперь про то, как работает любая биометрия в последние лет десять. Берётся экземпляр биометрии (фото лица, скан отпечатка, инфракрасное фото глаза, запись голоса и т.д.) и после небольших преобразований (типа выравнивания и приведения к единообразному виду) засовывается в сетку. Сетка на выход выплёвывает шаблон (вектор фиксированной длины), который обладает волшебным свойством: для разных экземпляров одного человека такие векторы находятся рядом в л2, а для экземпляров разных людей - далеко. Вот эти шаблоны и хранятся в базах данных, по ним происходит поиск (замечу, очень быстрый, потому что сравнение в л2 упирается в пропускную способность памяти, а не вычислительную мощность процессора). Фото, сканы, записи хранятся тоже, но только для отображения. Вот эти шаблоны ни фига не хэш, они не один на человека, а целое подпространство. И удалить их нельзя. Чтобы их удалить, надо менять алгоритм и перестраивать всю базу на новые шаблоны. Так что такое «биометрический хэш»?
Какой?
А какой нет? Все мои и все с которыми я имел дело точно. И быстрый гуглёж говорит что как минимум в Германии у банков это есть. В Германии, которая никогда не была передовой в этом плане.
Там каждый первый «где карточку получали, туда и идите», в каждом первом поручение на перевод надо идти вручную писать,
Вы из какого года нам пишите?
в каждом первом нет нормального приложения.
Ну так пользуйтесь нормальным сторонним. В чём проблема?
Сетка на выход выплёвывает шаблон (вектор фиксированной длины)
Вот вы в общем-то и получили ваш хэш.
Вот эти шаблоны и хранятся в базах данных, по ним происходит поиск
Зачем вам поиск если вы хотите проверить одного конкретного человека?
И удалить их нельзя. Чтобы их удалить, надо менять алгоритм и перестраивать всю базу на новые шаблоны
Это если вы храните шаблон в открытом виде. Но для того чтобы использовать его для аутентификации/авторизации конкретного человека, это делать совсем не обязательно.
П.С. Так кто и что пилит в западной Европе то? Вот конкретно Deutsche Bank со всеми своими дочерними банками что пилят?
1) Какими сторонними приложениями в случае банков?
2) Что есть у банков в Германии? Что именно?
3) Шаблон - это не хэш. Вы не получите одинаковый шаблон для двух разных фоток одного и того же лица никогда, прям совсем никогда. А хэш должен быть один и тот же для любого фото человека. При сравнении двух шаблонов в л2 у вас появляется непрерывная мера похожести (что, кстати, позволяет строить roc кривые и выбирать разные пороги в разных ситуациях), а сравнение двух хешей - это бинарная операция, либо «да, либо «нет».
4) Вы то про идентификацию пишете, то про верификацию, но все равно, шаблон будет один и тот же
5) Если вы каким-то образом создали именно хэш, то вам ничего не мешает взять фотку из фейсбука нужного человека, прогнать алгоритм и вуаля - у вас есть его хэш, т.е. он скомпрометирован. Что будете делать дальше? Этот человек больше вашим хэшем не пользуется?
6) В каком месте дейтче банк имеет дело с биометрией? Использование фейс айди на айфоне или отпечатка - это не биометрия. Девайс не отдаёт никакой шаблон, он позволяет заанроллить человека, а потом выдаёт да/нет. Это не использование биометрии банком.
7) И все-таки, что такое биометрический хэш?
Какими сторонними приложениями в случае банков?
Банковскими. Например вот: https://play.google.com/store/apps/details?id=de.buhl.finanzblick
На тему всего остального можете начать вот здесь и дальше по источникам: https://core.se/en/blog/use-biometrics-banking
1) У вас сторонние приложения получают полный доступ ко всем счетам? Как это вообще возможно, кто на такое согласится как из банков, так и из клиентов
2) В принципе, я уже из прошлого сообщения понял про замену пинкодам. Это не биометрия. Точнее, это биометрия, но у производителей телефонов, а не банков. Биометрия у банков - это поиск по фото мошенников, оплата по лицу или пальчикам и т.п. Использование службы авторизации Андроида и айоза - это не использование биометрии.
3) Европа в плане использования биометрии бесконечно отстала. Скажите спасибо джидипиару. Но вот то, что вы пишите про банковские приложения - это дичь, которой я не ожидал. Видимо, вы давно не видели, что такое банковское приложение российских банков
У вас сторонние приложения получают полный доступ ко всем счетам? Как это вообще возможно, кто на такое согласится как из банков, так и из клиентов
Я вам советую почитать про PSD2 и про то как сейчас в целом регулируются банки в ЕС.
В принципе, я уже из прошлого сообщения понял про замену пинкодам. Это не биометрия. Точнее, это биометрия, но у производителей телефонов, а не банков
Это не единственный вариант и это всё ещё биометрия.
Европа в плане использования биометрии бесконечно отстала. Скажите спасибо джидипиару
Ну в обсуждаемом контексте и на мой взгляд это к счастью так. Лично я не хочу чтобы кто-то там зачем-то собирал мою биометрию. Особенно если без спроса или там принудительно.
Но вот то, что вы пишите про банковские приложения - это дичь, которой я не ожидал. Видимо, вы давно не видели, что такое банковское приложение российских банков
Ну так расскажите мне что по вашему могут приложения российских банков и не может моё? Втихаря брать согласие на сбор биометрии при входе в приложение? Использовать смски для авторизации?
Краткий итог:
1) Что такое биометрический хэш вы так и не сказали (а с этого, напомню, началась дискуссия). И понятно, почему - его не существует. Это фейк западных биометрических компаний, которым нужен был какой-то аргумент, почему нужно покупать их биометрические решения, которые в несколько раз дороже и одновременно на несколько порядков по FAR хуже. Русские и китайские компании замечены в продвижении этого фейка не были.
2) Примеров использования биометрии, а не сервисов Гугла и Эпла, в европейских банках также не было приведено. И тоже понятно почему - их нет
3) Попутно выяснился момент с psd2. Я о нем не знал. Но считаю его абсолютно ужасным. Во-первых, банки, которые за 10 лет не смогли сделать нормальные приложения, передают данные на сторону. Во-вторых, люди, которые боятся сбора биометрии, почему-то не боятся, что все их финансы передаются направо и налево и могут быть обнулены одномоментно (либо обычными жуликами, либо жуликами из Еврокомиссии)
P.S. Ну это недостойно приводить пример желтого банка, который нарушает все, что может нарушить, в качестве аргумента, что в Европе лучше
Краткий итог:
Кто и что там конкретно пилит в западной Европе вы мне так и не ответили. И про то чем ваши российские приложения лучше чем мои.
Что такое биометрический хэш вы так и не сказали
Вы ссылку то открывали?
И понятно, почему - его не существует.
https://www.google.de/m?q=biometric+hash
Попутно выяснился момент с psd2. Я о нем не знал. Но считаю его абсолютно ужасным
Ваше субъективное мнение.
Во-первых, банки, которые за 10 лет не смогли сделать нормальные приложения, передают данные на сторону
И в чём проблема?
Во-вторых, люди, которые боятся сбора биометрии, почему-то не боятся, что все их финансы передаются направо и налево и могут быть обнулены одномоментно (либо обычными жуликами, либо жуликами из Еврокомиссии)
Нет, не могут. Более того можем сравнить как часто людей в контексте онлайн-банкинга действительно "обнуляют" в ЕС, а как часто в России. Или там кредиты без согласия вешают. Или другие подобные вещи. И почему-то я уверен что сравнение будет совсем не в пользу России.
Биометрический хэш они пилят. Ещё они пилят «у нас правильные базы данных для обучения, а русские и китайцы своровали из открытых источников, разрешения не спросили, поэтому их алгоритмы покупать нельзя». При этом я работал в европейской биометрической компании - это все враньё, пиар и политика. Обучаются они на том же скаченном инстаграмме, а в рамках пиара покупают какую-нибудь базу на 100к фоток, от которой толку для обучения ноль, но зато можно говорить, что база у нас, где у каждого владельца лица взято разрешение.
Смотрите, почему хэш - это враньё. Буду писать про распознавание лиц, но можете заменить на любое. Пусть он существует. Тогда на множестве фото лиц есть границы. Т.е. есть два очень похожих фото, отличающихся на одно значение одного пикселя, но для одного фото будет один хэш, а для другого - другой. Это прямое следствие из непрерывности. Тогда получается, что у вас есть два на глаз неотличимых фото человека, которые выдают разные хэше, т.е. при сравнении выдают, что это фото разных людей. Как вам такое?
Теперь конкретные примеры, где в Европе пилят. Смотрите, есть такая штуковина ABIS. Есть такая большая страна - Индонезия, там почти 300 млн населения. Вот абис для неё стоит 3-4 миллиона долларов. Сами они никаких алгоритмов не делают, так что это импорт. Есть Швейцария, которая недавно захотела обновить свой абис (он у них со времён царя гороха, в общем и целом нормально не работает). Население Швейцарии меньше 10 миллионов, а абис для них стоит почему-то больше 20 миллионов франков. Абис - это не услуга, это софт.
Биометрический хэш они пилят
И что это должно означать? Кто им за это платит и почему? И кто конкретно этим занимается?
Смотрите, почему хэш - это враньё. Буду писать про распознавание лиц, но можете заменить на любое.
Очень занимательно, но абсолютно ничего не доказывает.
Т.е. есть два очень похожих фото, отличающихся на одно значение одного пикселя, но для одного фото будет один хэш, а для другого - другой.
Совсем не обязательно. Более того коллизии это обычно даже проблема для хэша.
Население Швейцарии меньше 10 миллионов, а абис для них стоит почему-то больше 20 миллионов франков. Абис - это не услуга, это софт.
И? Распил то тут где? Что вы вообще понимаете под словом "распил"?
А про банковские приложения то расскажите? А то мне прям интересно стало что там могут российские? А то глядишь я тоже захочу.
1) Это не коллизия. Коллизия - это когда два разных человека давали бы один и тот же хэш. А тут у вас один человек даёт разные хэши, после чего просто не работает сравнение.
2) Я же написал, что история с хэшем это попытка политически впарить конечному заказчику решение в несколько раз дороже. Без отката принимающий решение никогда не купит дороже и хуже, а они это делают.
3) Основное преимущество российских - они не передают третьим лицам (официально) банковскую тайну, как делают ваши банки
Это не коллизия
Коллизия это когда любые разные входные данные дают одинаковый хэш.
Я же написал, что история с хэшем это попытка политически впарить конечному заказчику решение в несколько раз дороже
А причём тут распил? Обычный бизнес.
Основное преимущество российских - они не передают третьим лицам (официально) банковскую тайну, как делают ваши банки
Что такое "банковская тайна"? Что конкретно и кому конкретно по вашему передаёт моё приложение?
А "не основные" преимущества будут? Ну стоящие того чтобы их упоминать?
1) прочитайте, что я описывал с хэшем, если бы он существовал. Ещё раз, если бы он существовал, то существовали бы люди (не единицы, а очень много), для которых он бы выдавал разные хэши, т.е. не работал бы
2) у вас третье лицо (создатель приложения) видит ваши счета и формирует поручения на переводы
3) вы меня сейчас пытаетесь уговорить, что в Европе все хорошо, потому что приложения для работы с банками существуют. Но при этом вас совершенно не смущает, что их не смогли сделать банки за 10 лет. Это как говорить, что нет проблем, что бмв с конвейера требует сход-развал, его же могут сделать в гараже, а то, что на заводе не могут, да и фиг с ним, они же оставили возможность его делать
прочитайте, что я описывал с хэшем, если бы он существовал
Я прочитал. Но вы забываете что хэшфункция может осознанно иметь коллизии. Именно чтобы разные фотографии одного и того же человека в итоге приводили к одному хэшу. Кроме того можете почитать про "pseudonymous identifiers" в контексте биометрии.
у вас третье лицо (создатель приложения) видит ваши счета и формирует поручения на переводы
С чего вы решили что он их видит? С чего вы решили что ваш банк не делится этой информацией со всеми кому не лень?
вы меня сейчас пытаетесь уговорить, что в Европе все хорошо
Нет, я не пытаюсь вас уговорить что всё хорошо. Я хочу понять чем конкретно ваше приложение лучше чем моё.
Но при этом вас совершенно не смущает, что их не смогли сделать банки за 10 лет.
Свои ОС или там смартфоны банки тоже не смогли до сих пор сделать. Это тоже проблема?
Мне нужно хорошее приложение и оно у меня есть. И мне не особо важно сделал его банк сам или заплатил кому-то другому чтобы тот его сделал для банка. И даже если кто-то сторонний просто взял и сделал это приложение, то для меня и это не проблема.
И более того я хочу для всех своих банков иметь одно общее приложение. В России это возможно?
Блин, прочитайте ещё раз. Если бы хэш существовал, то он бы не работал. Не из-за коллизий, а из-за того, что на одном и том же человеке выдавал разное. Добавили вы свой хэш в банковское приложение, на следующий день пытаетесь зайти, а хэш генерится другой, и все, не зайдёте. Это FRR, а не FAR
Блин, прочитайте ещё раз
Я прочитал. Ничего не изменилось. А вы прочитали ссылку что я давал выше?
Не из-за коллизий, а из-за того, что на одном и том же человеке выдавал разное.
Если вы будете пихать в алгоритм просто фотографию, то у вас естественно будет разный хэш на выходе.
Но это совсем не обязательно будет так если вы сначала обрабатываете вашу входную биометрию, извлекаете из неё маркеры и потом уже хэшируете именно их.
И да, вот это вот грамотное "извлечение маркеров" совсем не тривиальная задача. Но и не невозможная.
П.С. А про банковские приложения ничего больше не будет? А я так надеялся что мне расскажут про какие-то интересные фичи...
Ой, я занимаюсь «извлечением маркеров» уже лет 15 и знаю все это в бесконечное количество раз лучше. Если вы хотите через «маркеры» - пожалуйста. Пусть есть два разных фото одного человека, извлекаем из них «маркеры». Получили два разных «маркера». Берём из них хэш - он тоже разный - опять то же самое. Сейчас вы начнёте писать, что маркеры для двух разных фото будут одинаковые. Так вот - это не так. Они вообще будут во флоатах. Даже если вы зафиксируете порог и накроете все пространство каким-то покрытием (шарами), внутри которого будете любой шаблон приводить к центроиде, это никак вам не поможет. Почему - потому что покрытие вы сделаете заранее, какое-то, фиксированное, а новый человек радостно может попасть своей центроидой ровно на границу. Поэтому заканчивайте рассуждать на тему, в которой ничего не понимаете
Сейчас вы начнёте писать, что маркеры для двух разных фото будут одинаковые. Так вот - это не так.
А вот это уже зависит от того что и как вы извлекаете.
Поэтому заканчивайте рассуждать на тему, в которой ничего не понимаете
Я смотрю вы всё во всём понимаете. И в биометрии и в распилах. Вот только почему-то объявить ничего не можете.
Но при этом бодро заявляете что все остальные обмащики и/или ничего не понимают...
Да извлекайте, что хотите. У вас на входе непрерывное пространство изображений лиц, а на выходе - дискретное пространство хэшей. Значит, у этого преобразования (вашего «извлечения» + вашего хэша) в прообразе есть границы, на которых итоговый хэш меняется. А теперь берём лицо на границе, потому что входное-то пространство у нас непрерывное. И на нем ваша поделка не работает.
Под компрометацией биометрии я имел в виду обученную нейросетку, которая умеет имитировать на камеру ваше лицо/мимику/голос и отпечатки пальцев.
Если можно получить правильный хеш с вашего лица, то и с этого он получится.
Биометрия + пинкод - работающая схема. Биометрия должна быть аналогом карточки, а не карточкой с пинкодом. Почему наши банки это не понимают, для меня загадка
С учётом неимоверного количества утечек персональных данных создаётся ощущение, что всё делается для комфорта мошенников.
Вот чего я не могу понять, так это почему госуслуги сначала начали активно использовать такую опцию как подтвержденное фото, а потом очень быстро (менее чем через месяц) её выпилили из приложения и на любые расспросы о том, что это было, включают дурака и делают вид, что не понимают о чем вообще идёт речь?
И вот теперь я вижу новости про биометрию через банки. То есть государство быть хранителем биометрических данных граждан не пожелало и теперь со спокойной душой отдаёт это коммерческим банкам?
ЦБ предложил сдавать биометрические данные в приложениях банков