О биометрии, муляжах и отрезанных пальцах

Все, всегда и везде в начале разговора об отпечатке пальца задают нам один и тот же первый вопрос. Поначалу этот вопрос вызывал испуг и немую оторопь, потом только легкую дрожь, потом приступы научно-фантастического красноречия, потом появился оттенок усталости и раздражения, а потом пришло понимание, что задать нам этот злободневный вопрос - долг каждого гражданина вне зависимости от прописки, вероисповедания, жизненных принципов и пр. Так, видимо, устроен мир. А наш долг, соответственно, ответить.

Конечно, проницательный читатель, памятуя о том, что смартлоки - это биометрические замки по отпечатку пальца, уже давно догадался, о каком именно вопросе идет речь. Скорее всего, он даже сам давно хотел задать его. Несомненно, речь идет об отрубленных пальцах, как самом "естественном", буквально народном (если подытожить предлагаемые народом варианты), способе преодоления биометрических барьеров.

Не хотелось бы тратить время на доказательство смехотворности самой этой идеи для несчастных взломщиков, которые, помимо прочих приготовлений, будут вынуждены сначала настричь с десяток пальцев, заботливо упаковать их, чтобы не запачкать рабочие поверхности, а затем мчать к вожделенной двери на другой конец города, чтобы чинно и беспрепятственно проникнуть к объекту недвижимости. Эти доказательства, как и прочие разумные доводы, все равно не работают, сомнения не улетучиваются. Оставим также потомкам развитие столь циничного вопроса применительно к перспективным методам распознавания по радужной оболочке или трехмерному образу лица (мужайтесь, о потомки, вам ведь придется разбираться с выковыриванием глаз и откручиванием голов, ужас:). А нам бы сегодня хоть с мертвыми пальцами разобраться. Что ж, разбираться, так со всей серьезностью, методологией, научным подходом, а главное, честностью. Обзор будет касаться общих принципов дактилоскопических систем, поэтому выводы касаются не только смартлоков, но и всей биометрической продукции в целом, что бы ни говорили о ней продавцы и разработчики в ответ на наш (Ваш) прямо поставленный вопрос. Кто не готов к столь суровому разговору может сразу взглянуть на выводы в конце, а для остальных докладываем мрачные подробности.

Во-первых, пресловутое отрубание пальца - это всего лишь один из многочисленных способов попытаться обойти биометрическую систему путем внешнего воздействия исключительно на сенсор. Для полноты картины не забывайте о насилии над личностью с целью заставить человека "штатно" пройти проверку, о представлении к идентификации усыпленного или мертвого человека, об использовании генетических клонов, об изготовлении муляжей пальцев и прочих обманок. Есть также масса других видов воздействий на систему не через сенсор (механический взлом, воздействие на внешние интерфейсы, получение доступа к базе данных отпечатков и т.п.). Но их мы рассматривать не будем в силу отдаленности от первостепенного вопроса отрубания. С насилием и генетическими клонами, судя по отсутствию вопросов населения, вообще все понятно. Заметим только, что ни близнецы, ни двойняшки клонами друг друга не являются, для идентичности отпечатков нужен честный клон с полностью идентичной ДНК, что на данном этапе развития человечества является пока редкостью. Да и то пока нет единого мнения по поводу того, предопределены ли отпечатки человека вообще.

Во-вторых, и это главное, настоящие планомерные документированные исследования по попытке обмана производимых сенсоров и алгоритмов с реальным отрубанием человеческих пальцев нигде и ни у кого в мире НЕ проводились. А поскольку нет результатов экспериментов, не может идти речи вообще ни о каком уровне гарантии на такие случаи, что бы ни утверждали продавцы и производители, какие бы теоретические предпосылки ни были реализованы в их системах. По крайней мере, с позиций современной науки (надеемся, именно научно обоснованный ответ желает получить вопрошающий) некое теоретическое утверждение признается научно доказанным фактом, только если оно подтверждается экспериментом. Причем, повторяемым. Речь идет о самой честной проверке, когда сначала регистрируется живой палец, затем он отрубается/отпиливается/откусывается (нужное подчеркнуть) и пробуется через какое-то время на сенсоре, результат заносится в табличку. Причем, очевидно, что такая проверка на каком-либо одном единственном пальце не обеспечивает строго научного 100% ответа, поэтому нужна серия экспериментов, чем больше, тем лучше. Получается, что как для механических замков нормируются классы защиты по взломостойкости, так же нужно установить классы устойчивости биометрических систем к отрубленным конечностям. В таком случае необходима методика, стандарты (естественно, лучше ГОСТ) на испытания, устанавливающие минимально необходимую длину и методы отъема пальцев от тел испытуемых, различные временные задержки между отрубанием и испытанием (понятно, что через год после отрубания не заработает, хотя опять же зависит от температурного режима и пр. и пр.). Может себе такое представить нормальный человек? А ведь вопрос подразумевает именно такое развитие событий для получения обоснованного ответа. Так задумайтесь, нормально ли вообще задавать такие вопросы?

Однако, оставим эмоции и обратимся к более интересным, а главное практическим исследованиям профессоров из Университета Западной Вирджинии, Университета Кларксон, США, а также Национального Университета в Йокохаме, Япония. Серьезные ученые решились в хорошо оборудованной лаборатории исследовать фактическую устойчивость сенсоров к муляжам и возможность регистрации и последующего распознавания мертвых пальцев. Проводились обширные серии экспериментов на различных типах сенсоров и, надо сказать, были достигнуты значительные успехи в деле обмана сенсоров муляжами, да и мертвые пальцы работали со значительной долей вероятности (напомним снова, что предварительно зарегистрировать живой палец у будущего трупа никому еще не довелось). Эти исследования указывают на, мягко говоря, несостоятельность громогласных заявлений некоторых компаний о принципиальной невозможности обмана предлагаемого ими сенсора. Поскольку циничный вопрос с отрубанием продолжает будоражить умы общественности, а реальные экспериментальные данные отсутствуют, для продажи устройств в ход идут различные напыщенные выдумки с научной терминологией. Одни заявляют, что мертвый палец почти сразу становится плоским и оптический сенсор его системы ну никак не сможет считать отпечаток. Другие исключают возможность любой подделки тем, что у муляжа или мертвого пальца отсутствуют некие мифические структуры как у живого пальца, а его "специально разработанная оптическая призма" считывает чуть ли не структуру жировых отложений в бороздках отпечатка. Третьи напирают на некое влияние на считывание поверхности пальца кровяного давления, которое в коже, по идее, отсутствует как класс.

Здесь хочется также отметить еще одно заблуждение насчет связи вероятностных характеристик устройств, а именно ошибки пропуска чужого (FAR), с защитой сенсоров от муляжей. FAR оценивает общий уровень безопасности системы и является характеристикой алгоритмической, которая указывает на вероятность срабатывания на заведомо "чужой" отпечаток, а не на муляж "своего" из базы данных. Поэтому гордиться низким уровнем FAR в качестве противодействия подделкам нет никакого смысла.

Короче говоря, каждый выкручивается как может, лишь бы обойти подводные камни или, честнее, запудрить мозги потребителю. Подобные мутные отговорки и оправдания, как нам кажется, в результате не идут на пользу никому. Конечно, глупо ожидать от разработчиков, что они раскроют все свои секреты, а продавцы умело разъяснят их покупателям, ибо это сдаст идею в руки мошенников и сведет на нет потраченные усилия, но обойтись хотя бы без откровенного обмана возможно. Ведь чувствуя некий подвох, у потребителя порождается подсознательное недоверие к дактилоскопическим методам в принципе. Ну, или по крайней мере, энтузиазм к покупке биометрического устройства не пробуждается. Обычный человек продолжает считать, что его "финский" замок, который может открыть любой пионер отверткой, защитит квартиру надежнее биометрического замка. Обычный специалист по безопасности тоже считает, что система доступа по кодам (которые вскоре становятся известны всем, от кого они защищают) или карточкам (которые нельзя вскрыть или прочитать, зато легко можно украсть или попросить ненадолго) намного лучше, чем биометрическая система, исключающая указанные недостатки.

С другой стороны, очевидно, что производители понимают проблему и не дремлют, придумывают различные способы, как понизить уязвимость аппаратуры и алгоритмов. Некоторые идеи излагаются в работах указанных выше исследователей. Например, после прикладывания пальца динамически считывать область запотевания, свойственную только живому пальцу. Был достигнут результат распознавания отпечатка этим методом за 5 секунд на емкостном сенсоре (по конструкции он наименее стоек к износу). Остались большие вопросы к быстродействию, большие вопросы к работе при низких температурах. Ясно, что не может быть все в одном флаконе. Любой достойный метод противодействия всегда требует жертв в виде стоимости, ресурсов, скорости и пр. и вызывает второй по важности вопрос о дороговизне биометрии. Но об этом в следующий раз. Завершить свой "разгромный" материал хочется следующим хеппи-энд'ом.
Кто ранее решил пропустить повествование? Вам сюда!

Все сказанное выше отнюдь не означает дискредитацию идеи использования биометрии в целом. Посудите сами, ведь идея ключа изначально подразумевала, что его можно грациозно стащить или не менее грациозно подделать. Проходят столетия, а ключи, однако, все еще звенят в карманах верой и правдой, и копятся, копятся... Не спасают от криминала ни фантастические усиления замков и дверей, ни хитроумные технологии фрезеровки секретных канавок, ни "плавающие" штифты в бороздках. Об этом сказано, написано, показано неимоверное количество фактического (не выдуманного!) материала, а идея ключа все равно на плаву. Любой секрет, придуманный человеком, человеком же может быть обойден при наличии достаточных мотивации, времени и средств. Не говоря о том, что здорового и невредимого владельца этого секрета можно просто "попросить" совладать с ним самостоятельно (что, кстати, в основном и делается в реальной жизни). Поэтому не может быть в принципе 100% защиты от чего-либо, биометрия здесь не исключение. Все производимые устройства служат определенной цели. Если Вы хотите, чтобы отпечаток служил доступом к домашнему компьютеру, видимо, можно смириться с высоким уровнем уязвимости, т.к. удобство здесь на первом месте. Вход в квартиру обеспечит автономное решение с усредненными фиксированными характеристиками. В офис подойдет автономная или сетевая система доступа с гибко настраиваемыми параметрами безопасности. Если нужно обеспечить более серьезный контроль защищенной зоны, не обойтись без двух- или многопараметрической верификации, например, применить мульти-факторный анализ - комбинацию биометрии со смарткартой или паролем. По отдельности эти меры могут быть недостаточно сильны, но совместное их применение значительно затрудняет неавторизованный проход. Если же речь идет о совсем серьезных приложениях, то есть смысл раскошелиться на многофакторную биометрию, динамический анализ жизненных признаков и пр. и пр.

Так зачем развивать заведомо нереалистичные ожидания от биометрических систем или испытывать несбыточные иллюзии по поводу их порой весьма преувеличенных способностей, когда можно просто начать ими пользоваться по назначению? Все возможности для этого на сегодня имеются. "И жить станет лучше, жить станет веселей" (с).