Ну и чтобы завершить с темой моих выступления на Уральском форуме, которая была начата предыдущими двумя заметками, выкладываю свою презентацию, посвященную аспектам кибербезопасности, которые надо учитывать при внедрении прорывных технологий - больших данных, блокчейна, машинного обучения, квантовых вычислений, биометрии, 5G и т.п.
Показаны сообщения с ярлыком биометрия. Показать все сообщения
Показаны сообщения с ярлыком биометрия. Показать все сообщения
3.9.19
Deepfake: обход биометрии, непредусмотренный регуляторами
Все откладывал как-то эту тему, но тут что-то критическая масса накопилась - за вчерашний день попало на глаза несколько новостей/статей про обход биометрических систем. Об этом и будет заметка. Начну, пожалуй, с шуточного видео, за которым при этом скрыта очень большая проблема, название которой deepfake. Если первая версия одноименного приложения накладывала лица на видео очень некачественно, то китайское приложение ZAO делает это на порядок лучше. Посмотрите, как с помощью всего одной фотографии (аватарки с соцсети) смогли поменять лицо Леонардо ДиКаприо в фильмах с его участием.
Меня эта тема интересует последние пару лет, когда только появилось первое приложение DeepFake и когда Банк России стал семимильными шагами внедрять Единую Биометрическую Систему (ЕБС). Когда ЦБ выпустил свое Указание 4859-У, то я надеялся, что там такого рода угрозы найдут отражение, но все, что хоть как-то можно отнести к ним, это расплывчатая формулировка про актуальность угроз нарушения целостности (подмены) биометрических персональных данных. Настолько абстрактное понятие, что даже непонятно, о чем идет речь - о deepfake или о подмене свертки биометрического фактора?
Была надежда, что в 321-м приказе МинЦифры или в МР-4 Банка России включат раздел про нейтрализацию таких угроз, но увы. И эти документы оказались далеки от прикладных атак, концентрируясь либо на применении криптографии, либо на применении сертифицированной ОС, МСЭ и антивируса, напрочь забыв даже про защитные меры из 21-го приказа ФСТЭК по защите ИСПДн. Последний, перекрывая по своему содержанию и МР-4 и приказ №321, тоже ни слова не говорит о том, как. бороться с deepfake.
Самое неприятное, что на различных мероприятиях или в соцсетях, где присутствуют участники процесса, связанного с ЕБС, упорно обходят молчанием эту тему, даже если им задаешь напрямую вопрос о том, как бороться с этой проблемой. Хоть какой-то ответ я нашел в одной презентации "Центра речевых технологий", чьи технологии используются в ЕБС, например, у того же Банка "Открытие" и ряда других (решение VoiceKey.INSPECTOR). Правда, используются они при сборе биометрии, а проблема с deepfake возникает на этапе ее проверки в режиме повседневной эксплуатации.
Если посмотреть на классический жизненный цикл биометрической, то он в обязательном порядке должен содержать этап проверки "живости", без которого биометрия не имеет никакой ценности, несмотря на использование СКЗИ класса КВ или даже КА.
В своих материалах ЦРТ приводит методы проверки живости для изображения лица, как биометрического признака:
и для голоса, как второго биометрического признака:
Но какие из этих методов реализованы в ЕБС не совсем понятно. В описании того же "Ключа" от Ростелоекома говорится о liveness detection, но без каких-либо деталей и уточнений. А судя по презентациям отдельных банков, которые бодро отрапортовали о том, что они не только интегрировались с ЕБС, но и внедряют уже биометрию в свои банковские процессы, далеко не все понимают угрозу deepfake и борются с ней. Например, один из банков предлагает возможность перевода денег без указания номера карты или телефона, "просто сфотографировав получателя". В данной схеме даже liveness detection никакого нет - работа со статическим биометрическим признаком, который подделать ничего не стоит.
При этом злоумышленники достаточно активно осваивают тему подмены или обхода биометрии, начиная ее использовать в своих целях. Например, недавний случай, когда злоумышленники выманили 220 тысяч евро с помощью подмененного голоса генерального директора (на русском). Интересно, что об этом предупреждали пару месяцев назад. Схожий метод, но в массовом масштабе (без привязки к ЕБС) применяется для создания поддельных видео со звездами, которые "рекламируют" что-то. Самое интересное, что исследований, которые показывают, как обойти биометрию, публикуется в разы больше, чем тех, которые показывают, как с этим бороться. Например, свежий, августовский доклад на BlackHat о том, как взламывать liveness detection. В прошлом году на BlackHat прозвучал доклад о том, как обходить голосовую аутентификацию. Вообще на BlackHat очень много выступлений было посвящено тому, как обходить эту технологию.
Если посмотреть на обратную сторону, на то, что можно противопоставить deepfake, то тут исследований не так уж и много. На последних крупных конференциях по ИБ я вспомнил только одно. А вот с готовыми решениями по этой теме, что-то не густо. Что-то встроено в сами биометрические решения, но не во все. В отличие от идентификации фальшивых изображений (OZ Forensics) или собственно самой биометрической идентификации. И тут остается полагаться на здравый смысл безопасников, которые будут следовать не только нормативных актам регуляторов, но и самостоятельно задавать вопросы производителям внедряемых решений о том, как те борятся с deepfake. Ибо цена ошибки достаточно высока, а ответственности за взлом биометрической системы регуляторы не несут; как и сами вендоры, которые продают свою решения по принципу "AS IS". Как минимум, стоит посмотреть в сторону решений по многофакторной аутентификации, которые могут частично. нивелировать проблемы, связанные с низкой защищенностью биометрии.
Отдельная тема, которая пока не имеет какого-то решения, это проведение экспертизы в случае конфликтных ситуаций, которые однозначно появляются в случае обхода биометрии злоумышленниками. Это что-то сродни фототехнической криминалистической экспертизе, но для биометрических признаков (голоса и видео). Не знаю, насколько в России есть у кого-то опыт именно в этой части (хотя вот вчерашний пример). Но при внедрении биометрии, стоит держать в голове этот вопрос и иметь какой-то ответ на него.
Меня эта тема интересует последние пару лет, когда только появилось первое приложение DeepFake и когда Банк России стал семимильными шагами внедрять Единую Биометрическую Систему (ЕБС). Когда ЦБ выпустил свое Указание 4859-У, то я надеялся, что там такого рода угрозы найдут отражение, но все, что хоть как-то можно отнести к ним, это расплывчатая формулировка про актуальность угроз нарушения целостности (подмены) биометрических персональных данных. Настолько абстрактное понятие, что даже непонятно, о чем идет речь - о deepfake или о подмене свертки биометрического фактора?
Была надежда, что в 321-м приказе МинЦифры или в МР-4 Банка России включат раздел про нейтрализацию таких угроз, но увы. И эти документы оказались далеки от прикладных атак, концентрируясь либо на применении криптографии, либо на применении сертифицированной ОС, МСЭ и антивируса, напрочь забыв даже про защитные меры из 21-го приказа ФСТЭК по защите ИСПДн. Последний, перекрывая по своему содержанию и МР-4 и приказ №321, тоже ни слова не говорит о том, как. бороться с deepfake.
Самое неприятное, что на различных мероприятиях или в соцсетях, где присутствуют участники процесса, связанного с ЕБС, упорно обходят молчанием эту тему, даже если им задаешь напрямую вопрос о том, как бороться с этой проблемой. Хоть какой-то ответ я нашел в одной презентации "Центра речевых технологий", чьи технологии используются в ЕБС, например, у того же Банка "Открытие" и ряда других (решение VoiceKey.INSPECTOR). Правда, используются они при сборе биометрии, а проблема с deepfake возникает на этапе ее проверки в режиме повседневной эксплуатации.
Если посмотреть на классический жизненный цикл биометрической, то он в обязательном порядке должен содержать этап проверки "живости", без которого биометрия не имеет никакой ценности, несмотря на использование СКЗИ класса КВ или даже КА.
В своих материалах ЦРТ приводит методы проверки живости для изображения лица, как биометрического признака:
При этом злоумышленники достаточно активно осваивают тему подмены или обхода биометрии, начиная ее использовать в своих целях. Например, недавний случай, когда злоумышленники выманили 220 тысяч евро с помощью подмененного голоса генерального директора (на русском). Интересно, что об этом предупреждали пару месяцев назад. Схожий метод, но в массовом масштабе (без привязки к ЕБС) применяется для создания поддельных видео со звездами, которые "рекламируют" что-то. Самое интересное, что исследований, которые показывают, как обойти биометрию, публикуется в разы больше, чем тех, которые показывают, как с этим бороться. Например, свежий, августовский доклад на BlackHat о том, как взламывать liveness detection. В прошлом году на BlackHat прозвучал доклад о том, как обходить голосовую аутентификацию. Вообще на BlackHat очень много выступлений было посвящено тому, как обходить эту технологию.
Если посмотреть на обратную сторону, на то, что можно противопоставить deepfake, то тут исследований не так уж и много. На последних крупных конференциях по ИБ я вспомнил только одно. А вот с готовыми решениями по этой теме, что-то не густо. Что-то встроено в сами биометрические решения, но не во все. В отличие от идентификации фальшивых изображений (OZ Forensics) или собственно самой биометрической идентификации. И тут остается полагаться на здравый смысл безопасников, которые будут следовать не только нормативных актам регуляторов, но и самостоятельно задавать вопросы производителям внедряемых решений о том, как те борятся с deepfake. Ибо цена ошибки достаточно высока, а ответственности за взлом биометрической системы регуляторы не несут; как и сами вендоры, которые продают свою решения по принципу "AS IS". Как минимум, стоит посмотреть в сторону решений по многофакторной аутентификации, которые могут частично. нивелировать проблемы, связанные с низкой защищенностью биометрии.
Отдельная тема, которая пока не имеет какого-то решения, это проведение экспертизы в случае конфликтных ситуаций, которые однозначно появляются в случае обхода биометрии злоумышленниками. Это что-то сродни фототехнической криминалистической экспертизе, но для биометрических признаков (голоса и видео). Не знаю, насколько в России есть у кого-то опыт именно в этой части (хотя вот вчерашний пример). Но при внедрении биометрии, стоит держать в голове этот вопрос и иметь какой-то ответ на него.
20.2.18
#ibbank Удаленная биометрическая идентификация и ее обход мошенниками, использующими нейросети
На Уральском форуме очень много говорилось о том, как полезна и удобна удаленная биометрическая идентификация с точки зрения клиента, а у банков появляется новая возможность для зарабатывания денег, потому что увеличивается число клиентов, которые смогут проходить идентификацию без физического присутствия в отделении банка. Особенно много может появиться таких клиентов из удаленных регионов, где физически сложно присутствовать в отделении кредитной организации для проведения тех или иных операций.
докладчики перешли к примерам угроз для систем биометрической идентификации:
а потом немного коснулись темы применения искусственного интеллекта... нет, не в средствах защиты, а наоборот, мошенниками и киберпреступниками:
А перед описанием защиты от такого рода угроз был дан неплохой обзор (хотя и короткий) особенностей средств биометрической идентификации и того, как они принимают решения о достоверности представленных биометрических данных и их совпадении с имещимся в хранилище эталонным образцом. Там тоже есть множество нюансов, которые могут превратить национальную систему идентификации в тыкву, если не подумать о нивелировании этих рисков.
Но к сожалению, о безопасности удаленной биометрической идентификации на форуме не говорилось. То ли потому, что сказать пока нечего, то ли потому, что никто не хотел привлекать внимание к тому, как можно обойти систему, которая может стать одним из центральных звеньев будущей стратегии развития ЦБ. Хорошим финалом для этой темы (или промежуточной точкой) стал доклад Алексея Сабанова из Аладдина, который привел ссылки на большое количество международных стандартов по идентификации и аутентификации, в которых прямо написано, что биометрия не является надежным методом идентификации и не должен использоваться как единственный механизм проверки подлинности гражданина, получающего доступ к финансовым услугам. "Безопасность биометрии сродни домофону", так закончил свой доклад Алексей Сабанов и также хочу завершить заметку и я.
Но совершенно неозвученной оказалась тема безопасности хранилища биометрических данных, применяемых для удаленной идентификации. Да и вообще тема безопасности самой биометрической идентификации осталась незаслуженно обойденной вниманием. Но в отличие от хранилища биометрических паспортов, доступ к которому имеет ограниченное количество лиц, к базе биометрических данных всех граждан Российской Федерации в ЕСИА получают доступ все банки, Почта России и другие организации. А значит риски возрастают многократно. И если в случае кражи или подмены обычного логина и пароля их легко заменить, то заменить биометрические данные становится проблематично.
В этом контексте мне понравился мастер-класс, который на пару вели представители Информзащиты и Oz Forensics. Это, кстати, был единственный пример, когда выступление было разделено между двумя спикерами, играющими свои роли, которые передавали друг другу слово по мере рассказа.
Начав с исторического экскурса в историю фальсификации фотографий:
докладчики перешли к примерам угроз для систем биометрической идентификации:
а потом немного коснулись темы применения искусственного интеллекта... нет, не в средствах защиты, а наоборот, мошенниками и киберпреступниками:
А перед описанием защиты от такого рода угроз был дан неплохой обзор (хотя и короткий) особенностей средств биометрической идентификации и того, как они принимают решения о достоверности представленных биометрических данных и их совпадении с имещимся в хранилище эталонным образцом. Там тоже есть множество нюансов, которые могут превратить национальную систему идентификации в тыкву, если не подумать о нивелировании этих рисков.
10.1.18
Блиц-обзор основных ИБ-новостей за прошедшие праздники
Вообще я не хотел писать эту заметку, но несколько коллег вчера спросили меня, буду ли я по традиции делать обзор того, что произошло за новогодние праздники, чтобы понять, не пропустили ли они чего-нибудь важного, проведя время в Мексике, Тайланде, США и других прекрасных частях света, полностью дистанцировавшись от профессиональных новостей. И посколько таких запросов было больше одного, я не стал противиться и составил свой топ новостей за прошедшие пару недель, взяв за точку отсчета последнюю неделю декабря (многие уже не работали в последние пару дней). Итак мой топ таков:
ЗЫ. Принятые в прошлом году и готовящиеся к принятию в этом нормативные акты можно посмотреть в одной из последних заметок блога.
- Правительство утвердило план мероприятий по направлению "Информационная безопасность" в рамках программы "Цифровая экономика". Я уже высказывался по поводу этой программы и финальный план меня окончательно убедил, что далека она от того, чтобы хоть как-то выправить ситуацию в индустрии; скорее наоборот. Думаю, на днях более подробно распишу про этот документ.
- В начале января стало известно о наличии в процессорах Intel, AMD, Qualcomm и др. уязвимостей, названных Meltdown и Spectre, которые позволяли красть конфиденциальную информацию с устройств, на которых можно было запустить пользовательский код (в том числе и с помощью JavaScript). Часть вендоров пользовательских и серверых ОС уже отчиталась о выходе патчей (которые могут привести либо к неработоспособности системы определенной конфигкрации, либо к некоторому замедлению работы), часть тормознула из-за новогодних праздников. В любом случае последнюю неделю разговоры в открытых и закрытых группах и чатах ведутся только об этих уязвимостях, преподносящихся как очередной (или даже более серьезный "Heartbleed"). На мой взгляд это совсем не "ужас-ужас", как говорилось в одном анекдоте. Не надо срочно бежать и менять (как иногда советуют) все уязвимые процессора на новые (кто гарантирует, что там нет этих "уязвимостей" или закладок?). На мой взгляд достаточно начать с правильной защиты пользовательских ПК - ограничение (не тупой полный запрет) работы скриптов JavaScript с помощью бесплатного NoScript или AdBlock и использование решений класса EDR (а не просто сигнатурных антивирусов). Дополнительно необходимо контролировать доступ к вредоносным сайтам, эксплуатирующим эти уязвимости (с помощью решений класса SIG, обычных URL-фильтров или DNS Firewall), а также использовать IPS, детектирующие использование указанных уязвимостей. Иными словами, старая добрая эшелонированная защита, которая помогла бы в случае с WannaCry, Neytya, Bad Rabbit и множеством других "ужас-ужасов". Гораздо более неприятная ситуация ждет производителей сертифицированных в ФСТЭК (с ФСБ не уверен, что они сильно парятся на тему уязвимостей в сертифицированных СКЗИ) средств защиты, которым придется доказывать отсутствие влияния новых уязвимостей, уже попавших в БДУ ФСТЭК.
- Американские министерства торговли и нацбезопасности выпустили проект отчета для Президента (виданное ли дело, публиковать проекты отчетов для руководства страны?) по усилению устойчивости американской телекоммуникационной инфраструктуры и Интернет к различным распределенным киберугрозам (ботнетам и т.п.).
- Wi-Fi Alliance анонсировал новую версию протокола защиты беспроводных сетей WPA3, среди обновлений которого можно назвать защиту от перебора паролей при аутентификации в беспроводных сетях, а также улучшения криптографической подсистемы.
- VirusTotal запустил новый инструмент визуализации VirusTotal Graph, позволяющий визуализировать взаимосвязи между файлами, URL, доменами и IP-адресами.
- Министерство промышленности и информатизации Китая выпустило план действий по защите своих систем промышленной автоматизации "Industrial Control Systems Information Security Action Plan (2018-2020)".
- Российский хакер Козловский признался в том, что это он создал WannaCry по заказу ФСБ. История с этим Козловским мутная донельзя - на его странице в Фейсбуке выложены десятки стран уголовного дела, в котором он "признается", что работал по заказу арестованных по делу о госизмене бывших сотрудников ЦИБ ФСБ Сергея Михайлова и Дмитрия Докучаева. По словам Козловского, именно он, сотоварищи, взломал американские выборы в 2016-м году.
- Был подготовлен законопроект о внесении изменений в статью 13.11 Кодекса Российской Федерации об административных правонарушениях, вводящий наказание не только для обработчиков ПДн, но и для операторов ПДн за действия обработчиков ПДн.
- Минкомсвязь подготовило проект приказа об утверждении порядка, технических условий установки и эксплуатации средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов КИИ.
- 29 декабря Президент подписал закон об удаленной, читай, биометрической, идентификации клиентов финансовых организаций, за которым последуют и нормативные акты самого ЦБ. Банковским безопасникам стоит готовиться в этом вопросе - он может очень быстро стать актуальным, а может быть и обязательным (как "Мир", НСПК и иже с ними).
- Директор АНБ и глава американского киберкомандования Майкл Роджерс решил уйти в отставку, что и должно произойти весной этого года. За прошедшие 4 года, что Роджерс руководил АНБ, произошло немало событий, которые, как мне кажется, и повлияли на решение об отставке. Тут и утечка арсенала АНБ через взлом The Equation Group, и противостояние с Трампом, которого Роджерс прямо обвинил в сговоре с Россией.
Вот такой новогодний топ-лист новостей по ИБ...
ЗЫ. Принятые в прошлом году и готовящиеся к принятию в этом нормативные акты можно посмотреть в одной из последних заметок блога.
29.5.17
Биометрия на марше
В последнее время вдруг очень актуальной стала тема биометрии - о ней стали говорить не только компании-производители и специалисты по безопасности, но и государство, которое даже сейчас рассматривает 3 законопроекта по данной теме:
Когда представители компаний, занимающихся биометрией, рассказывают о том, какие преимущества она дает заказчику, они либо совсем, либо чуть-чуть только касаются вопросов обхода биометрических систем. Причем в рассказах об угрозах разработчики приводят набившие оскомину примеры с отрезанными пальцами, записанным голосом, муляжами ладоней или 3D-масками лица. Но все они представляют только один вектор атаки - на систему сбора данных. А где остальные 12 векторов? Почему про них никто ничего не говорит, рассматривая системы биометрии?
В условиях, когда биометрия будет насаждаться на уровне законодательных инициатив, такое пренебрежение всесторонним моделированием может сказаться крайне негативным образом на развитии в целом неплохой технологии. Ведь государство ведет речь о системе национального масштаба, где цена ошибки будет очень велика. Представьте себе, что в результате отсутствия моделирования угроз выяснится, что злоумышленник может украсть/подменить свертку биометрических данных (геометрии лица, голоса или отпечатков пальцев). И что дальше делать? По сути на этих способах будет поставлен жирный крест, так как если украденную пару логин/пароль можно легко поменять, то свои отпечатки или лицо уже не поменяешь (вариант с пластической хирургией мы, конечно, не рассматриваем).
Та же проблема и в корпоративном применении биометрии. Тот же Сбербанк заявил в прошлом году, что планирует оснащать все свои банкоматы технологией распознавания клиентов. При масштабах банкоматной сети Сбера это будет дорогостоящий и небыстрый процесс (при сроке жизни банкомата в 7 лет). И что, если выяснится, что в процессе верификации, обработки сигнала, принятия решения или хранения допущена уязвимость, которая может быть использована злоумышленниками. И тут не только пойдет речь о снижении доверия к биометрии как таковой, но и о выброшенных на ветер деньгах и времени.
Вот примерно об этом я и говорил в Казани на IT & Security Forum, который уже в 11 раз проводился компанией ICL КПО ВС.
В рамках презентации показывал несколько видео - тоже выкладываю:
- Законопроект Гаттарова-Матвиенко, который вносит правки в ФЗ-152, уточняя понятие биометрических персональных данных. По версии авторов законопроекта (а мне посчастливилось входить в группу, которая писала этот законопроект) такими данными признаются те, которые используются только при автоматической идентификации субъекта. Иными словами, сличение паспорта с лицом его предоставившим на охране или копирование паспорта в рамках идентификации по 115-ФЗ не будет относиться к обработке биометрических ПДн (в случае принятия данной поправки).
- Законопроект Аксакова, который также вносит правки в ФЗ-152, но всего одну. Аксаков предлагает разрешить обработку биометрических ПДн не только с согласия субъекта, но и его законного представителя.
- Законопроект по удаленной идентификации позволяет кредитным организациям использовать биометрические данные (фото, а также иные виды биометрии) при осуществлении взаимодействия между клиентами и банками. Законопроект является рамочным и просто устанавливает такую возможность, которая будет далее детализирована в нормативно-правовых актах Правительства и нормативных актах Банка России.
Когда представители компаний, занимающихся биометрией, рассказывают о том, какие преимущества она дает заказчику, они либо совсем, либо чуть-чуть только касаются вопросов обхода биометрических систем. Причем в рассказах об угрозах разработчики приводят набившие оскомину примеры с отрезанными пальцами, записанным голосом, муляжами ладоней или 3D-масками лица. Но все они представляют только один вектор атаки - на систему сбора данных. А где остальные 12 векторов? Почему про них никто ничего не говорит, рассматривая системы биометрии?
В условиях, когда биометрия будет насаждаться на уровне законодательных инициатив, такое пренебрежение всесторонним моделированием может сказаться крайне негативным образом на развитии в целом неплохой технологии. Ведь государство ведет речь о системе национального масштаба, где цена ошибки будет очень велика. Представьте себе, что в результате отсутствия моделирования угроз выяснится, что злоумышленник может украсть/подменить свертку биометрических данных (геометрии лица, голоса или отпечатков пальцев). И что дальше делать? По сути на этих способах будет поставлен жирный крест, так как если украденную пару логин/пароль можно легко поменять, то свои отпечатки или лицо уже не поменяешь (вариант с пластической хирургией мы, конечно, не рассматриваем).
Та же проблема и в корпоративном применении биометрии. Тот же Сбербанк заявил в прошлом году, что планирует оснащать все свои банкоматы технологией распознавания клиентов. При масштабах банкоматной сети Сбера это будет дорогостоящий и небыстрый процесс (при сроке жизни банкомата в 7 лет). И что, если выяснится, что в процессе верификации, обработки сигнала, принятия решения или хранения допущена уязвимость, которая может быть использована злоумышленниками. И тут не только пойдет речь о снижении доверия к биометрии как таковой, но и о выброшенных на ветер деньгах и времени.
Вот примерно об этом я и говорил в Казани на IT & Security Forum, который уже в 11 раз проводился компанией ICL КПО ВС.
В рамках презентации показывал несколько видео - тоже выкладываю:
2.12.16
Модель угроз биометрическим системам (презентация)
Вчера на AntiFraud Russia мне довелось выступать с темой про модель угроз биометрическим системам. Выкладываю презентацию. Особо комментировать ее не буду - там и так все понятно.
А само мероприятие мне понравилось - я похоже там вообще был первый раз. Сколько раз меня звали, но все разы у меня не складывалось; как правило, в командировках был. А тут выбрался. Очень было душевно. Организация на уровне. Залы полные. Кулуары интересные :-)
А само мероприятие мне понравилось - я похоже там вообще был первый раз. Сколько раз меня звали, но все разы у меня не складывалось; как правило, в командировках был. А тут выбрался. Очень было душевно. Организация на уровне. Залы полные. Кулуары интересные :-)
4.8.15
Голосовая биометрия. Краткий обзор технологии
На днях прошла новость о том, что голланский ING стал первым европейским банком, запустившим активируемые голосом мобильные платежи. И тут я вспомнил, что тема биометрической аутентификации по голосу была не только одной из первых, о которой я писал в этом блоге 8 лет назад, но и когда я писал про нее в январе, то обещал сделать краткий обзор рынка биометрической аутентификации, что сейчас и делаю.
На самом деле системы голосовой биометрии решают не только задачи аутентификации, но и предотвращение мошенничества. Очевидно, что наибольший смысл имеет именно комбинация этих двух технологий. Одна идентифицирует человека, но может спасовать перед записанным голосом. Вторая позволяет отслеживать изменения голосовых характеристик в процессе общения и выявления подозрительных или аномальных голосовых последовательностей. Понятно, что, чем критичнее применение такой технологии, тем более важна становится их комбинация. Например, использование Facebook - это одно, а управление счетом - совсем другое. В первом случае достаточно и обычной аутентификации, а во втором нужно нечто большее.
У голосовой аутентификации есть очень важное преимущество - низкая цена ридера. Отпечатки пальцев у нас считываются только на iPhone. Сетчатка глаза или геометрии руки требуют точных и дорогостоящих дополнительных устройств. Микрофон же есть сейчас почти везде (в компьютерах, в мобильных устройствах) и достаточно неплохого качества. Поэтому роль голосовой биометрии будет только возрастать.
Еще одним преимуществом именно голосовой биометрии в том, что она "многоразова", если так можно выразиться. Лицо у вас одно, глаз максимум два, пальцев, если все хорошо, десять. И если эти данные украдены или скомпрометированы, то с этим ничего уже не поделаешь. Вы не можете использовать чужие пальцы, глаза, руки для своей идентификации. А кража базы "фраз" приведет только к тому, что система голосовой аутентификации может попросить вас произнести новую фразу или просто "поговорить с ней".
Наконец, если вспомнить, что системы аутентификации отличаются по тому, "кто вы", "что у вас есть", "что вы знаете" и "что вы делаете", то голосовая биометрия, в отличие от других систем биометрической аутентификации, использует все эти 4 фактора. По физическим характеристикам голоса она определяет "кто вы". Она определяет как и что вы говорите, то есть она позволяет защититься от атак на статические системы аутентификации (например, пароли). В конце концов она может определить, что вы знаете, если в качестве фразы для идентификации будет использоваться пин-код или пароль.
Системы голосовой биометрии (их лучше называть так, а не голосовая аутентификация, так как спектр решаемых ими задач шире) могут работать в двух режимах - так называемом пассивном (или независимом от текста) и активном (зависящем от текста). В первом случае система распознает собеседника по его свободной речи (похожим образом работает сервис Shazam на мобильных устройствах); во втором - по заранее определенным фразам, которые должен произнести пользователь. В активном режиме для защиты от подмены пользователя записанным заранее (или перехваченным) голосом, система должна использовать случайные фразы, которые и предлагать пользователю произнести.
Сказать, какой из двух вариантов работы системы голосовой биометрии, нельзя. У них обоих есть свои преимущества и недостатки. Активные системы более эффективны, но и требуют большего участия пользователя, которого идентифицируют. При этом отпечаток голоса занимает меньше места, чем в пассивных системах, что может быть актуально для мобильного применения или в местах, где Интернет еще не так развит или отсутствует вовсе. Например, есть решения, которые допускают проверку подлинности на самом устройстве, без подключения к внешнему серверу. С другой стороны активные системы не всегда применимы в системах массового пользования - банки, страховые, ритейл и т.п., так как пользователи могут быть недовольны необходимостью взаимодействовать с биометрической системой. И, конечно же, такие системы сложно применить для идентификации мошенников, что легко делается пассивными системами, спокойно "слушающими" звонящего/говорящего и идентифицирующие его речь, ничем себя не выдавая. Поэтому пассивные системы проще в использовании, но и требуют больших ресурсов для своей реализации.
Защита от мошенников реализуется путем использования обычных "черных списков", то есть списков голосовых отпечатков известных мошенников. Соответствующий специалист помечает голос как мошеннический и затем все звонки сравниваются с "черным списком" мошенников. В России, где отсутствует база голосовых отпечатков мошенников и преступников, этот метод будет не самым эффективным и каждый потребитель систем голосовой биометрии будет вынужден самостоятельно формировать собственную базу мошенников (соблюдение законодательства о персональных данных пока оставим в стороне). Но зато со временем организации, особенно в некоторых отраслях, смогут обмениваться такими базами, как это, например, делают антивирусные вендоры. Хорошая перспектива есть у банков (а они, наверное, самый первый кандидат на применение таких систем), у которых есть FinCERT, который сможет со временем обмениваться не только данными по IP/DNS/E-mail-адресам мошенников, но и дополнить рассылаемую информацию голосовыми отпечатками.
Бояться этой якобы редкой технологии не стоит. Сегодня весь мир стоит на пороге (круто завернул, а) UAF/U2F-революции от альянса FIDO, когда любое устройство, приложение или средство защиты сможет абстрагироваться от конкретного метода аутентификации/идентификации, возложив эту задачу на U2F/UAF-спецификацию, которая и обеспечит интеграцию с нужным методом аутентификации.
Если пытаться перевести выгоды от использования голосовой биометрии на язык цифр, то они могут заключаться в следующем:
Из игроков рынка голосовой биометрии можно выделить следующих:
ЗЫ. Кстати, по 17/21/31-му приказам голосовая аутентификация вполне себе разрешена. Только вот сертифицированных по требованиям ФСТЭК решений в России пока нет.
UPDATE 1: В список вендоров забыл включить отечественный Центр речевых технологий.
UPDATE 2: Банк "Тинькофф Кредитные Системы" тоже реализовал голосовую идентификацию.
На самом деле системы голосовой биометрии решают не только задачи аутентификации, но и предотвращение мошенничества. Очевидно, что наибольший смысл имеет именно комбинация этих двух технологий. Одна идентифицирует человека, но может спасовать перед записанным голосом. Вторая позволяет отслеживать изменения голосовых характеристик в процессе общения и выявления подозрительных или аномальных голосовых последовательностей. Понятно, что, чем критичнее применение такой технологии, тем более важна становится их комбинация. Например, использование Facebook - это одно, а управление счетом - совсем другое. В первом случае достаточно и обычной аутентификации, а во втором нужно нечто большее.
У голосовой аутентификации есть очень важное преимущество - низкая цена ридера. Отпечатки пальцев у нас считываются только на iPhone. Сетчатка глаза или геометрии руки требуют точных и дорогостоящих дополнительных устройств. Микрофон же есть сейчас почти везде (в компьютерах, в мобильных устройствах) и достаточно неплохого качества. Поэтому роль голосовой биометрии будет только возрастать.
Еще одним преимуществом именно голосовой биометрии в том, что она "многоразова", если так можно выразиться. Лицо у вас одно, глаз максимум два, пальцев, если все хорошо, десять. И если эти данные украдены или скомпрометированы, то с этим ничего уже не поделаешь. Вы не можете использовать чужие пальцы, глаза, руки для своей идентификации. А кража базы "фраз" приведет только к тому, что система голосовой аутентификации может попросить вас произнести новую фразу или просто "поговорить с ней".
Наконец, если вспомнить, что системы аутентификации отличаются по тому, "кто вы", "что у вас есть", "что вы знаете" и "что вы делаете", то голосовая биометрия, в отличие от других систем биометрической аутентификации, использует все эти 4 фактора. По физическим характеристикам голоса она определяет "кто вы". Она определяет как и что вы говорите, то есть она позволяет защититься от атак на статические системы аутентификации (например, пароли). В конце концов она может определить, что вы знаете, если в качестве фразы для идентификации будет использоваться пин-код или пароль.
Сказать, какой из двух вариантов работы системы голосовой биометрии, нельзя. У них обоих есть свои преимущества и недостатки. Активные системы более эффективны, но и требуют большего участия пользователя, которого идентифицируют. При этом отпечаток голоса занимает меньше места, чем в пассивных системах, что может быть актуально для мобильного применения или в местах, где Интернет еще не так развит или отсутствует вовсе. Например, есть решения, которые допускают проверку подлинности на самом устройстве, без подключения к внешнему серверу. С другой стороны активные системы не всегда применимы в системах массового пользования - банки, страховые, ритейл и т.п., так как пользователи могут быть недовольны необходимостью взаимодействовать с биометрической системой. И, конечно же, такие системы сложно применить для идентификации мошенников, что легко делается пассивными системами, спокойно "слушающими" звонящего/говорящего и идентифицирующие его речь, ничем себя не выдавая. Поэтому пассивные системы проще в использовании, но и требуют больших ресурсов для своей реализации.
Защита от мошенников реализуется путем использования обычных "черных списков", то есть списков голосовых отпечатков известных мошенников. Соответствующий специалист помечает голос как мошеннический и затем все звонки сравниваются с "черным списком" мошенников. В России, где отсутствует база голосовых отпечатков мошенников и преступников, этот метод будет не самым эффективным и каждый потребитель систем голосовой биометрии будет вынужден самостоятельно формировать собственную базу мошенников (соблюдение законодательства о персональных данных пока оставим в стороне). Но зато со временем организации, особенно в некоторых отраслях, смогут обмениваться такими базами, как это, например, делают антивирусные вендоры. Хорошая перспектива есть у банков (а они, наверное, самый первый кандидат на применение таких систем), у которых есть FinCERT, который сможет со временем обмениваться не только данными по IP/DNS/E-mail-адресам мошенников, но и дополнить рассылаемую информацию голосовыми отпечатками.
Бояться этой якобы редкой технологии не стоит. Сегодня весь мир стоит на пороге (круто завернул, а) UAF/U2F-революции от альянса FIDO, когда любое устройство, приложение или средство защиты сможет абстрагироваться от конкретного метода аутентификации/идентификации, возложив эту задачу на U2F/UAF-спецификацию, которая и обеспечит интеграцию с нужным методом аутентификации.
Если пытаться перевести выгоды от использования голосовой биометрии на язык цифр, то они могут заключаться в следующем:
- Сокращение времени на аутентификацию пользователя с 23 секунд в ручном режиме в центре обработки вызовов (Call Center) до 5 секунд в автоматическом.
- Повышение лояльности пользователей (и, как следствие, доходов от них) в результате отказа от необходимости запоминать всем известные ответы на "секретные" вопросы, помнить PIN-код для входа в систему или отвечать на вопросы назойливого сотрудника банка (ваши ФИО, дата вашего рождения, номер карты и т.п.).
- Снижение числа сотрудников центра обработки вызовов за счет автоматической обработки многих простых вопросов (время работы офиса в праздники, ближайший офис или банкомат, тарифы и т.п.).
- Снижение числа мошеннических операций.
- Снижение времени на ожидании правильного сотрудника, который поможет ответить звонящему.
- Рост продуктивности работников компании и центра обработки вызовов.
Хочу обратить внимание, что безопасность тут находится на заднем плане. Основные выгоды заключаются совсем в другом - автоматизация ряда задач, сокращение времени, рост лояльности. И большинство из них может быть оценено до приобретения решения, в то время, как снижение числа мошеннических операций оцениваться будет только после. Но это как раз тот случай, когда ИБ может показать, как она помогает бизнесу решать бизнес-задачи, а не пытаться решать свои важные, но все-таки сугубо внутренние задачи.
Из игроков рынка голосовой биометрии можно выделить следующих:
Описывать решения каждого из них я не буду. Отмечу только, что лидером рынка сейчас признается Nuance. Ее решения установлены в Аэрофлоте, а также она известна всем пользователям iPhone, так как Siri построена именно на технологиях Nuance. Правда, в этих случаях речь идет только о распознавании речи, а не об идентификации пользователя. О таких внедрениях в России я не слышал.
ЗЫ. Кстати, по 17/21/31-му приказам голосовая аутентификация вполне себе разрешена. Только вот сертифицированных по требованиям ФСТЭК решений в России пока нет.
UPDATE 1: В список вендоров забыл включить отечественный Центр речевых технологий.
UPDATE 2: Банк "Тинькофф Кредитные Системы" тоже реализовал голосовую идентификацию.
16.1.15
Как определить уровень защищенности ПДн?
Регулярно приходится слышать вопросы о том, как определить уровень защищенности ПДн? Казалось бы, все написано в ПП-1119, но нет, вопросы все равно остаются. Надо ли учитывать НДВ или нет? На каком уровне НДВ у нас могут быть? Чем угроза отличается от типа угроз? Почему классификация ИСПДн по классам К1-К4 больше невозможна?
В принципе, ответы на все эти вопросы я уже давал в блоге. Но там они были разрозненны и не сведены воедино. А там, где были доступны презентации, не все могли из нее подчерпнуть, что я конкретно имел ввиду. Поэтому решил освоить новый формат - слайдкаст - презентация с озвучкой. Вчера я выложил слайдкаст по проекту требований ЦБ по защите информации для организаторов торговли (бирж). Сегодня пришло время для слайдкаста по определению уровня защищенности ПДн.
Кстати... Раз уж заметка посвящена ПДн, то не могу не включить в нее ссылку на относительно свежий нормативный акт, который не стоит отдельного описания, но и забывать про него тоже не нужно. Речь об Указе Президента от 24 ноября 2014-го года №735 "О сборе биометрических персональных данных иностранных граждан и лиц без гражданства".
В принципе, ответы на все эти вопросы я уже давал в блоге. Но там они были разрозненны и не сведены воедино. А там, где были доступны презентации, не все могли из нее подчерпнуть, что я конкретно имел ввиду. Поэтому решил освоить новый формат - слайдкаст - презентация с озвучкой. Вчера я выложил слайдкаст по проекту требований ЦБ по защите информации для организаторов торговли (бирж). Сегодня пришло время для слайдкаста по определению уровня защищенности ПДн.
Кстати... Раз уж заметка посвящена ПДн, то не могу не включить в нее ссылку на относительно свежий нормативный акт, который не стоит отдельного описания, но и забывать про него тоже не нужно. Речь об Указе Президента от 24 ноября 2014-го года №735 "О сборе биометрических персональных данных иностранных граждан и лиц без гражданства".
12.1.15
Facebook покупает компанию, занимающуюся голосовой биометрией
Facebook на прошлой неделе объявил о приобретении компании wit.ai, занимающейся технологиями распознавания голоса. Деталей по сделке не сообщается. Точнее об этом сообщил не Facebook, а сама wit.ai. У Интернет-гигантов почему-то не принято сообщать о таких событиях. Так было с Google, купившей Divide и Zynamics. Кстати, по той же схеме Google купил в прошлом году SlickLogin, занимавшуюся звуковыми паролями, т.е. той же голосовой аутентификацией.
Вообще, новые схемы аутентификации и, в частности, биометрическая аутентификация, - это тренд 2015-го года по многим прогнозам.
Вообще, новые схемы аутентификации и, в частности, биометрическая аутентификация, - это тренд 2015-го года по многим прогнозам.
27.1.12
Видеонаблюдение в офисах НЕЗАКОННО!
На Гаранте опубликован интересный юридический комментарий на типовой вопрос: "Правомерно ли использование видеонаблюдения для контроля за поведением работников? Следует ли уведомлять работников о том, что ведется видеонаблюдение? Если да, то каков порядок данного уведомления?"
Я на курсах по персданным всегда говорил, что без уведомления сотрудников тут никак не обойтись. А тут и ответ юристов подоспел. Собственно для меня там ничего нового нет, за исключением ссылки на ст.209 Трудового Кодекса, которая говорит о том, что работодатель обязан обеспечить работнику условия труда, под которыми понимается совокупность факторов производственной среды и трудового процесса, оказывающих влияние на работоспособность и здоровье работника. И вот тут юристы Гаранта считают, что "постоянный видеоконтроль за работником может вызывать у него чувство дискомфорта, стресс, и, как следствие, повлиять на здоровье и работоспособность". Ну а дальше говорится о том, что надо получать согласие работника и т.д.
Ссылка на ст.209 интерсна тем, что ее можно применить к любому контролю за сотрудниками в компании, включая контроль электронной почты, посещение Интернет-сайтов, запись телефонных переговоров и т.п. И вот тут открываются очень интересные следствия; особенно для работодателей.
Я на курсах по персданным всегда говорил, что без уведомления сотрудников тут никак не обойтись. А тут и ответ юристов подоспел. Собственно для меня там ничего нового нет, за исключением ссылки на ст.209 Трудового Кодекса, которая говорит о том, что работодатель обязан обеспечить работнику условия труда, под которыми понимается совокупность факторов производственной среды и трудового процесса, оказывающих влияние на работоспособность и здоровье работника. И вот тут юристы Гаранта считают, что "постоянный видеоконтроль за работником может вызывать у него чувство дискомфорта, стресс, и, как следствие, повлиять на здоровье и работоспособность". Ну а дальше говорится о том, что надо получать согласие работника и т.д.
Ссылка на ст.209 интерсна тем, что ее можно применить к любому контролю за сотрудниками в компании, включая контроль электронной почты, посещение Интернет-сайтов, запись телефонных переговоров и т.п. И вот тут открываются очень интересные следствия; особенно для работодателей.
24.9.09
Новая версия курса по персданным
Предыдущую версию курса по персданным я обновлял в июне и вот пришло время для новых изменений. Отчитатанную 22-23-го числа версию пополнили следующие моменты:
- ГОСТ Р ИСО/МЭК 19794 по биометрическим ПДн (10 частей)
- Ссылки на российские ресурсы по ПДн
- Действие договоров, заключенных до принятия ФЗ-152
- Примеры иска в суд и обращений субъектов ПДн к операторам
- Результаты проверок ФСТЭК
- Мотивированное непредоставление данных на запрос субъекта ПДн согласно ст.14 ФЗ-152
- Принцип добросовестности при обработке ПДн через Интернет
- Выгодоприобретатели с точки зрения ФЗ-152
- Постановление Правительства №512 по биометрическим ПДн
7.8.07
Ах, козлятушки, вы ребятушки
Забавные вещи иногда происходят, когда профессия очень прочно входит в твою жизнь и становится неотделима от хобби и обычной жизни. Недавно по просьбе трехлетнего сына запустил караоке дома и стали с ним петь песни. Дошли до "Второй песни Козы" из оперы Аристова и Рыбникова "Волк и семеро козлят на новый лад". Вчитался в текст на экране. Оказывается еще в те годы биометрия была в моде. Вот дословный текст песни:
Ах, козлятушки, куда сгинули,
На кого ж меня вы покинули!
Не послушали своей матушки
Получилися обознатушки.
Позабыли вы голос матери,
Видно бдительность вы утратили.
Допустили вы упущение,
Видно волк проник в помещение.
Аутентификация по голосу в чистом виде ;-)
Подписаться на:
Сообщения (Atom)
