Безопасна ли аутентификация по отпечатку пальца?

Является ли проверка подлинности ОС более безопасной с использованием считывателя отпечатков пальцев, чем (надежный) пароль? Это можно легко взломать?

Кстати, где хранится отпечаток пальца? На аппаратном чипе или на файловой системе?

Это зависит от аппаратного обеспечения читателя?

Это зависит от реализации библиотеки / ОС?

Проблема большинства биометрических систем заключается в том, что они по своей природе «шумные», что требует программного обеспечения для просеивания шума до истинного сигнала. Пароль - это несколько байтов, где точность должна быть идеальной. Биометрический отпечаток пальца, или радужная оболочка, или сканирование сетчатки глаза, или голосовой отпечаток - все они должны иметь «достаточно близкий» порог, потому что биометрия меняется со дня на день или с недели на неделю. Победа над такими системами использует преимущества «достаточно близкого» характера технологии биометрической аутентификации.

Из-за этого простая биометрия, на мой взгляд, менее безопасна, чем правильно выбранный пароль. И это даже не входит в детали реализации, такие как возможности захвата / воспроизведения сигнала между сканером и аутентификатором, или легко извращенные датчики проводимости кожи (облизайте бумагу!).

При использовании в сочетании с паролем это может повысить безопасность. Но, как я уже сказал, его не следует использовать вместо пароля.

Безопасность сканера, скорее всего, во многом зависит от качества оборудования. Я предполагаю, что большинство сканеров, которые поставляются с ноутбуками в эти дни, довольно дешевы и не предназначены для ситуаций с высоким уровнем безопасности. Даже более качественные сканеры, предназначенные для дверных замков, не защищены от дублирования отпечатков пальцев. Этот клип Mythbusters доказывает столько же.

Однако, как сказал Харли, несколько проблем всегда более безопасны, чем одна.

Отпечатки пальцев, как правило, более безопасны, чем пароль, но все относительно.

Но вы знаете, что безопаснее, чем отпечатки пальцев? Отпечаток пальца и пароль. То, что у вас есть, плюс то, что вы знаете, гораздо безопаснее, чем одно.

Проблема со всеми биометрическими характеристиками заключается в том, что когда ваш защитный материал (например, ваши отпечатки пальцев, сетчатка или ДНК) подвергается риску, его очень трудно изменить.

Биометрия - это форма идентификации, а не аутентификации.

Изменить: После этого я нашел эту замечательную статью: Аутентификация и идентификация.

• Является ли проверка подлинности ОС более безопасной с использованием считывателя отпечатков пальцев, чем (надежный) пароль? Это можно легко взломать?

В какой-то момент это считалось так. С тех пор было разработано несколько методов, позволяющих победить более дешевые версии этих сканеров.

Если он используется как часть процесса двухфакторной или многофакторной аутентификации, то я считаю, что это повысит безопасность, повысив сложность входа. Вот кто-то обсуждает это.

• Кстати, где хранится отпечаток пальца? На аппаратном чипе или на файловой системе?

Обычно это файловая система. Многие сканеры просто превращают оттиск в хеш, который передается на хост-компьютер. Kronos Touch ID - это корпоративное решение, предназначенное для использования в качестве таймера; он хранит данные в таблице Paradox (!) в виде хэша , поэтому довольно ясно, откуда исходит их прибыль с этим устройством ....

• Это зависит от аппаратного обеспечения читателя?

Есть много читателей, каждый со своими методами. Хотя я не могу говорить с каким-либо авторитетом по этому вопросу, кажется, что «да» является довольно хорошим ответом на этот вопрос.

• Это зависит от реализации библиотеки / ОС?

Опять же, я думаю, что это зависит от типа читателя. Некоторые фактически передают больше, чем хеш (фактическое изображение отпечатка пальца), а другие нет.

Брюс Шнайер написал отличный анализ биометрии, где он исследует положительные и отрицательные стороны использования таких методов, как считыватели отпечатков пальцев для аутентификации. Он указывает на то, что отпечатки пальцев трудно подделать, но их легко украсть. Лично, недели, которую я провел за пределами своей серверной комнаты после того, как сильно порезал себе палец, чтобы повредить отпечаток, достаточно, чтобы отругать меня от считывателей отпечатков пальцев.

Я вернусь и отредактирую этот URL, как только я не «новый пользователь»

http://www.schneier.com/blog/archives/2009/01/biometrics.html

Мне лично немного не нравится биометрия. Если бы я вкладывал деньги в систему идентификации по отпечаткам пальцев, я бы предпочел использовать PKI и пароль + сертификат для ID.

В зависимости от применения и требуемого уровня безопасности, биометрия может иметь буквально фатальный недостаток. Давайте представим, что плохие парни действительно хотят того, что защищено системой безопасности, и хотят похитить и / или убить кого-то, чтобы получить это.

Является ли проверка подлинности ОС более безопасной с использованием считывателя отпечатков пальцев, чем (надежный) пароль? Это можно легко взломать?

Да, довольно легко отрубить палец у уполномоченного лица и использовать его для прохождения считывателя отпечатков пальцев. Или, плохие парни могут поставить человека под принуждение и заставить его положить палец на сканер.

С другой стороны, система паролей может быть настроена с одним паролем для предоставления доступа и другим паролем «принуждения», чтобы не только запретить доступ, но и вызвать помощь, если он введен.

Лично я не работаю ни в одной системе, которая настолько важна, что я бы хотел потерять палец над ней. Если кто-то хочет войти достаточно сильно, я даже не хочу, чтобы он испытывал искушение взять мой палец ...

Как подключен сканер отпечатков пальцев? Использует ли рассматриваемый сканер какое-либо шифрование между сканером и компьютером. Если этого не произойдет, что помешает мне вставить устройство между вашим сканером и компьютером, а затем захватить ваш отпечаток пальца?

Вы не можете изменить свой отпечаток пальца. Если я смогу сделать отпечаток пальца таким образом, чтобы просто отправлять одни и те же данные снова и снова, то ваша система сломалась.

Securiy для отпечатков пальцев основан на биометрии, где концепция проста: отпечатки большого пальца всех людей, живущих на этой земле, различны. Логика верна, но она полностью зависит от технологии, которую вы используете, если программа или аппаратное обеспечение работают со сбоями, то это также может быть риском.

Испытав ноутбук (HP из памяти), где и мой отпечаток, и отпечаток коллеги предоставили доступ к одной и той же учетной записи пользователя, я должен сказать, что не может быть абсолютного ответа «да» или «нет». Большинство реализаций, которые я видел, используют только несколько контрольных точек для определения отпечатка пальца. По моему мнению, что-то меньше, чем пара десятков очков, не подходит для надлежащей безопасности. Итак, поскольку от реализации мне будет зависеть, должен ли я дать ответ «да» или «нет», это должно быть «нет».