Биометрическая подпись на документе

    В данном посте речь пойдет о способе аутентификации человека по динамике написания рукописного пароля (подписи). В последнее время к этому направлению проявляется огромный интерес, и связано это в первую очередь с распространением мобильных устройств с сенсорными экранами. Согласитесь, было бы здорово получить по почте документ, открыть его, пальцем нарисовать свою подпись и отправить адресату. При этом документ будет иметь юридическую силу. За рубежом – это уже давно реальность. В России пока доверяют подписанному бумажному документу, либо электронному документу с официально зарегистрированной ЭЦП.

    Существенным недостатком ЭЦП является то, что она может быть передана другому лицу, т.е. в отличие от традиционной подписи она является отчуждаемой от своего владельца. При этом будет сохраняться юридическая значимость документов подписанных ЭЦП посторонним лицом, что в некоторых случаях может оказаться недопустимым. Если же объединить ЭЦП и биометрическую подпись в электронном документообороте, то можно решить проблему неотчуждаемости юридически значимой ЭЦП от её владельца!

    image

    Остановимся на самой технологии… Для начала, Вы должны понимать, что с точки зрения метода аутентификации нет никакой разницы, что Вы будете использовать в качестве пароля: фиксированное рукописное слово или подпись. Главное, чтобы динамика написания и геометрия Вашего рукописного слова оставалась более менее стабильной.

    Автор данного поста в составе коллектива Научно-технического центра «КАСИБ» более 10 лет занимается исследованиями и разработкой алгоритмов по данному направлению. Защищено 2 кандидатские диссертации (3-я – в ближайшее время), выполнено более 5-ти НИОКР. Еще 5-6 лет назад для реализации способа аутентификации по динамике написания рукописного пароля (подписи) необходима была покупка дополнительного оборудования – графического планшета (дигитайзера) со световым пером (Wacom). Эволюция мобильных устройств за последние годы в сторону использования сенсорных экранов ввода, позволила сделать эту технологию максимально доступной. В конце 2012 года наш центр создал облачный сервис SignToLogin, реализующий аутентификацию пользователей по динамике написания рукописных паролей, как услугу, а позднее в App Store появилось одноименное приложение. Далее описание технологии будет сопровождаться примерами этой облачной платформы.

    Процедура аутентификации сводится к тому, что для каждого пользователя сначала должен быть создан эталон рукописного пароля. Процесс создания эталона сводится к последовательному вводу 10-ти реализаций рукописного пароля на сенсорном экране мобильного планшета (возможно с использованием стилуса), что может занять в среднем 3 минуты.

    image

    Пользователь должен написать своим обычным почерком рукописное слово. После ввода необходимого количества реализаций, выполняется их статистическая обработка для получения признаков, необходимых в дальнейшем для аутентификации динамических характеристик написания рукописного пароля пользователя. Как правило, это только функции скорости курсора в плоскости сенсорного экрана. Но если пользователь расписывается световым пером, чувствительным к нажатию на плоскость графического планшета (типа Wacom), то будет использоваться еще и функция давления. Это повысит надежность аутентификации.
    image
    Облачный сервис SignToLogin формирует эталонные значения всех необходимых характеристик пользователя и «запоминает» их. Во время процедуры аутентификации каждая введенная реализация рукописного пароля будет обработана по такому же принципу, что и реализации, вошедшие в эталон. В режиме аутентификации обработанная реализация сравнивается с эталонными значениями с помощью специальных алгоритмов и методов, которые делают сервис SignToLogin максимально удобным для пользователя. Введенные реализации рукописного слова (подписи) автоматически масштабируются и при этом не чувствительны к поворотам в плоскости экрана! В случае успешной аутентификации пользователя, введенная реализация рукописного слова добавляется в эталон, вытесняя из него самую позднюю реализацию. Таким образом, эталон рукописного пароля всегда обновляется и становится не чувствительным к изменениям почерка пользователя.

    Чтобы все наши научные результаты не «пылились» на полках, мы решили создать полезный инструментарий в виде API для разработчиков веб- и iOS- приложений, который позволит использовать данную технологию в реальной практике. Здесь можно ознакомиться со всей необходимой документацией.
    Мы также разработали iOS-приложение для подписания документов в формате PDF, которое демонстрирует использование SignToLogin Mobile API. Оно принципиально отличается от аналогов, существующих на рынке: SignNow, HelloSign, PDFpenPro, Signosign/2, QuickSign.

    image

    С помощью нашего приложения Вы сможете узнавать рукописные подписи на документах своих удаленных партнеров. Распишитесь на документе, и подпись-картинка будет содержать ссылку на сайт Signtologin API. Нажав её, Вы сможете узнать:
    • кто расписался на документе,
    • процент совпадения подписи владельца,
    • когда был подписан документ,
    • в каком месте на планете подписан документ (при включении опции),
    • IP-адрес подписанта,
    • фотографию партнера в момент подписания (если он того пожелает).

    image
    Согласитесь, что к документу с такой информативной подписью доверия больше!

    Разработчикам приложений хочется дать ряд рекомендаций по практическому и перспективному использованию нашей технологии и API:
    1. Не применять данный способ как основной метод аутентификации, так как результат зависит от психо-эмоционального состояния человека.
    2. Для большей надежности аутентификации, например, Ваших удаленных сотрудников, Вы можете организовать их регистрацию в присутсвии сотрудников соответствующей службы безопасности Вашей компании.
    3. По возможности используйте биометрическую подпись в паре с юридически значимой ЭЦП. В перспективе это даст возможность организовать полноценный гибридный документооборот.
    Поделиться публикацией

    Комментарии 19

      0
      а интересно насколько падает надежность если подписывает в дупель пьяный субъект, если пишут не рукописный буквы, а печатными, увеличивается ли надежность, если будет не подпись, а предложение или два?
      Ну и чисто ради любопытства: если метод не дает высокой гарантии — зачем он?
        0
        Пьяных исследовали. Тут каждый индивидуально и непредсказуемо может расписываться.
        Печатными писать не нужно :) Оптимальным будет рукописное слово от 3-х до 6-ти букв.
        Метод дает хорошие показатели по ошибкам первого рода, если человек стабильно и часто расписывается!
        +1
        хм.
        В случае успешной аутентификации пользователя, введенная реализация рукописного слова добавляется в эталон, вытесняя из него самую позднюю реализацию. Таким образом, эталон рукописного пароля всегда обновляется и становится не чувствительным к изменениям почерка пользователя.


        Кажется, тут может быть уязвимость. При неограниченном количестве попыток можно превратить одну подпись в другую так, что хозяин не сможет подписать документ.
          +7
          У меня вот проблема еще хуже — не могу одинаково подписываться, подпись всегда отличается от предыдущей. Дело дошло до того, что банк отказывается принимать документы с моей подписью (имею расчетный счет ИП), но при этом принимает документы подписанные за меня моим отцом моей подписью.
            0
            Это хорошо, что Вашу подпись умеет писать отец :) — человек, которому Вы доверяете.
            А вот представьте если на его месте окажется злоумышленник…
            Банкам все равно кто предъявил образец подписи. Образцы сравнивают как изображения.

            Я тоже не могу одинаково расписываться… При этом динамика моей подписи на 80% траектории подписи достаточно стабильна.
            Signtologin этого достаточно, чтобы меня идентифицировать
            0
            Теоретически это возможно, если злоумышленник распишется 10 раз успешно за хозяина, так как в эталон записываются только успешные реализации! А успешная реализация возможна если процент совпадения превысил заданный порог. Следовательно, геометрия подписи кардинально измениться не может!
              0
              То есть очередь в 10 подписей. Динамика 80%. 10 раз авторизуемся с подписью в которую добавили особенность так, что бы она попадала в погрешность в 20%. Ещё 10 раз, добавляем следующую особенность. И так до получения нужного результата.

              Конечно, надо проверять экспериментально, но над защитой от этого я бы подумал.
                0
                После каждого апдейта эталона можно нотифицировать владельца подписи по независимому каналу (смс/электропочта например). Или ввести таймаут после каждого апдейта (чтобы нельзя было за полчаса полностью сменить эталон). Или еще вариант — при слишком быстрой динамике смены эталона — блокировать его апдейт до последующего подтверждения владельцем.
                  0
                  Конечно, мы же предоставляем API. Вы можете какие угодно своим пользователям политики безопасности применять
                    0
                    Тогда надо это либо красными буквами везде писать, либо обеспечивать защиту на уровне сервиса. Иначе зачем он?
              –1
              При регистрации Google отправил письмо о подтверждении регистрации в спам с сообщением: «Будьте осторожны! Подобные письма были отмечены другими пользователями как спам.»
                0
                С тачпада на ноутбуке расписываться конечно очень неудобно, тем более что приходится одновременно его зажимать тем пальцем, которым расписываешься. Однако система пускает примерно в четверти попыток) По крайне мере я, глядя на этот ужас который у меня вышел на тачпаде — свою подпись бы не узнал) Ну а вот уже при попытке войти нарисовав свою подпись на тачскрине (как положено) — система меня не пустила)
                  0
                  Естественно, чтобы пальцем расписываться необходимо привыкнуть. Можно пересоздать эталон через некоторое время?
                  0
                  Поддержки стандартного wacom пера нет (surface pro 2). Тачскрин работает, но согласитесь пером было бы гораздо лучше + регистрация уровня давления.
                    0
                    Вы можете расписываться любым стилусом на мобильном планшете. Давление пока поддерживается только при использовании соответствующих дигитайзеров Wacom.
                      0
                      Вы используете специфическое Wacom API? В windows 7+ есть поддержка пера с давлением на уровне системы.
                        0
                        Да мы использовали Wacom dll-ку когда делали биометрические системы аутентификации под Windows
                    0
                    1. По моему при определённой сноровке и некоторой тренировке такую подпись можно очень просто подделать.
                    2. Что мешает написать аналог key-loger'а который отсканирует подпись и будет эмулировать?
                    3. Даже если не заморачиваться подделкой, Вы уверены, что билметрическая подпись уникальна для 7 000 000 000 человек?

                    а ЭЦП в данном случае «защищается» двухфакторностью, то есть помимо сертификата для ЭЦП, нужно ещё и pin-код знать, а уж если Вы сами всё отдали другому человеку, то значит Вы сами ему доверили подпись от Вашего имени…
                      0
                      1. Вы говорите про приложение, которое будет по рисунку обводить траекторию? Нужно будет повторить динамику. В явном виде её нет на изображении, можно только догадываться.
                      2. У нас есть защита от 2-х одинаковых до пиксела реализациях, т.к. повторить подписи с точностью 1:1 невозможно!
                      3. А какая разница? Мы же не проводим сравнение 1:N (один ко многим). У нас сравнивается введенная реализация с конкретным эталоном (один к одному)

                      по ЭЦП: Если Вам нужно быть на 100% уверенным, что договор подписан лично руководителем, а не тем кому он делегировал свою ЭЦП, то тогда наша технология для Вас :) А если нужно формально соблюсти юридическую значимость, то ЭЦП + pin-код достаточно!

                      Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.