`

СПЕЦИАЛЬНЫЕ
ПАРТНЕРЫ
ПРОЕКТА

Архив номеров

Как изменилось финансирование ИТ-направления в вашей организации?

Best CIO

Определение наиболее профессиональных ИТ-управленцев, лидеров и экспертов в своих отраслях

Человек года

Кто внес наибольший вклад в развитие украинского ИТ-рынка.

Продукт года

Награды «Продукт года» еженедельника «Компьютерное обозрение» за наиболее выдающиеся ИТ-товары

 

Алексей Дрозд

Когда умрут пароли?

+55
голосов

Платежная система PayPal решила взять на себя на роль убийцы эры парольной аутентификации. По крайней мере, так заявил их директор по вопросам информационной безопасности Майкл Барретт на конференции Intertop

На смену устаревшим паролям «пэйпаловцы» собираются поставить биометрическую аутентификацию, с использованием сканера отпечатков пальца или сетчатки глаза. По заверениям Баррета, массовая смерть парольной аутентификации начнется уже через несколько лет.

Перспектива, конечно, заманчивая. И если предположить, что завтра внезапно все пароли исчезнут, их заменит отпечаток пальца, а каждый пользователь получит по биометрическому сканеру, то об очень многих проблемах безопасности можно будет забыть. На какое-то время.

Почему сейчас нам биометрическая аутентификация кажется такой надежной? Потому что она не получила широкого распространения. Это как классический миф о Linux, под который нет вирусов, но не потому, что их нереально написать, а потому, что этой ОС пользуется всего несколько процентов от всех пользователей.

Стоит только биометрической аутентификации набрать популярность, как тут же обнаружатся возможности для ее взлома и обхода. Прецеденты некачественно исполненных сканеров отпечатков пальцев уже есть. Кроме того, не стоит забывать, что введение биометрической аутентификации приведет к тому, что авторизация во всех  аккаунтах пользователя будет происходить с использованием одного и того же ключа (в данном случае – отпечатка пальца). А значит, один раз получив к нему доступ, станет реальным взлом сразу всех «учеток» пользователя, в том числе и связанных с финансами.

Поэтому не стоит специалистам так опрометчиво отправлять пароли на свалку истории. Дополнительный этап аутентификации еще никогда лишним не был, особенно если базовая система идентификации потенциально уязвима.

Когда умрут пароли?

+55
голосов

Напечатать Отправить другу

Читайте также

У меня есть прекрасная идея: при выдаче свидетельства о рождении, выдавать новому человеку один из двух уникальных шифроблокнотов расчитанных на такие сроки: первая пара блокнотов - до совершеннолетия, при выдаче паспорта - выдаётся второй шифроблокнот, при выходе не пенсию - третий.
В итоге, все сервисы деляться на "детские" и "взрослые" - коды из "детского" шифроблокнота - не работают во "взрослых" сервисах и т.д. Для разных сервисов используются разные коды с разных страниц шифроблокнота. Естественно, что под термином "шифроблокнот" я подразумеваю пару тождественных матриц кодов, созданных с помощью генератора случайных чисел.

Боюсь, далеко не все пользователи смогут это освоить. Сравните, "шифроблокноты" и связанные с ними телодвижения и "приложите палец к сканеру". Проблема не в том, чтобы сделать надёжно. Проблема, чтобы это оказалось ещё и простым в использовании.

Я иронизирую. Просто, иногда работаю с "оборонкой". Из реальных систем идентификации на "закрытых" отделах впечатлила только одна - киевская разработка конца 90-х. Система работает по принципу определения уникальных грудных хрипов. Прикольно так: подходишь к двери и наклоняешься к такой перде - типа идентификации по радужке глаза, только не глаз показываешь, а делаешь полный выдох с открытым ртом. Система безошибочно определяет личность и права доступа человека, более того, если температура выдоха повышена или хрипы указывают на лёгочное заболевание - действует отдельная процедура (выходит бригада в биозащите и сжигает всех напалмом - это шутка только отчасти). Уверен, что настроить всю эту пежню, которая легко работала ещё на DX4 в 90-х годах прошлого века - для работы на ноутбуках/планшетах/смартфонах - задача вполне тривиальная.

Так на ноутбуках/планшетах/смартфонах дышать некуда, - размер устройств для этого слишком мал. А если не дышать, а только слушать микрофоном, то наверняка можно просто записать и воспроизвести настоящий звук владельца. Кроме того, интересна обратная сторона, как храниться сигнатура пользователя, а то вон в дактилоскопических системах эта сторона оказывается бывает слабо защищенной.

Все эти вопросы уже были решены разработчиком. Крайний раз смотрел эту систему в 2003-ем в "почтовом ящике" на Эжена Потье, в Киеве - всё работало безупречно, записи "не проканывали". Не буду углубляться, но при анализе звука выдоха учитывается большое количество попутных характеристик, но это уже - "know how". Как попутная тема была - диагностика заболеваний внутренних органов, софтина, по звуку выдоха - выдавала список возможных заболеваний и т.п. А основная тематика "почтового ящика" была - подводные ракеты типа "Шквал" и "Гранит", для флота СССР и гидроаккустические системы.

Мне вот интересно, могла ли эта система работать "на улице". То есть в местах, где нет тишины и есть посторонние шумы: задувающий ветер, шум улицы, проезжающий мимо тарахтящий грузовик и т.п.?

Мне кажется, что это больше зависит от микрофона. А принцип анализа сигнала будет тот же.

Как вариант. "Пушка" узконаправленная посторонние звуки отсечёт, но там же ещё речь шла про температуру выдоха. И тут нужна какая-то динамическая подстройка, т.к. температура в течение дня может изменяться в довольно большом диапазоне.

Я думаю, что температура выдоха важна для био-лаборатории, например, а для "обычных" пользователей - анализа звука - вполне достаточно. Я могу только повторить, что все основные проблемы были решены разработчиком ещё в 90-х годах прошлого века. Я уже лет 7 не интересовался этой темой, но думаю, что на актуальном уровне развития технологий - всю эту систему можно "запихать" в один масюсенький чип, вместе с хэшами и сигнатурами креденшиалов какого-то количества юзеров и закодировать всё это twoфишами на 256 бит. :)

Спасибо за интересную информацию. Порой, узнавая такие вещи, хоть ненадолго, но преисполняешься оптимизмом по поводу отечественных разработок.

Ну, много чего тогда придумали интересного. Чтобы подешевле убивать побольше народу.

только выводить этот датчик на уровне плеч, а то кто-нибудь со скуки додумается туда пукнуть и случайно залогинится под генералом :)

Обидеть художника - может каждый!©

 
 
IDC
Реклама

  •  Home  •  Рынок  •  ИТ-директор  •  CloudComputing  •  Hard  •  Soft  •  Сети  •  Безопасность  •  Наука  •  IoT