Biometria ja tunnistautuminen tokeneilla

Käyttäytymisbiometriassa analysoidaan tapoja, joilla henkilö tekee jotakin, fyysisten ominaisuuksien sijaan. Esimerkkejä ovat: Näppäilydynamiikka — kirjoitusrytmin, nopeuden ja näppäinten painallusajan mittaaminen (kuinka kauan kutakin näppäintä painetaan). Hiiridynamiikka — hiiren käytön nopeus, kiihtyvyys ja liikeradat. Äänentunnistus — puheen, äänenkorkeuden ja rytmin analysointi (eri asia kuin äänikomennot). Allekirjoituksen dynamiikka — käsin kirjoitetun allekirjoituksen paineen, nopeuden ja rytmin analysointi pelkän muodon sijaan. Käyttäytymisbiometria on erityisen hyödyllistä jatkuvassa tunnistautumisessa — henkilöllisyyden varmistamisessa koko istunnon ajan, ei vain kirjautumisen yhteydessä.

Biometrisen järjestelmän suorituskykyä kuvaavat kaksi virhetasoa. Väärän hyväksynnän osuus (FAR): todennäköisyys, että järjestelmä hyväksyy virheellisesti huijarin oikeaksi käyttäjäksi — tietoturvariski. Väärän hylkäyksen osuus (FRR): todennäköisyys, että järjestelmä hylkää virheellisesti oikean käyttäjän — saatavuus- tai käytettävyysongelma. Nämä tasot ovat kääntäen verrannollisia: herkkyyden lisääminen pienentää FAR-arvoa (harvempi huijari hyväksytään), mutta suurentaa FRR-arvoa (useampi oikea käyttäjä hylätään). Risteävä virhetaso (CER) — kohta, jossa FAR on yhtä suuri kuin FRR — on yksittäinen luku, jolla vertaillaan biometristen järjestelmien tarkkuutta. Pienempi CER = tarkempi järjestelmä.

Biometriset järjestelmät eivät ole immuuneja hyökkäyksille. Huijaushyökkäyksissä tunnistimelle esitetään väärennetty biometrinen tunniste sen huijaamiseksi: sormenjäljen väärentämisessä käytetään piilevän sormenjäljen gelatiini- tai silikonikopioita; kasvojentunnistus voidaan huijata laadukkailla 3D-naamioilla tai valokuvilla heikkolaatuisissa järjestelmissä. Mallitietokantoihin kohdistuvat hyökkäykset: jos tallennetut biometriset mallit varastetaan, niitä ei voi mitätöidä salasanojen tavoin. Nykyaikaiset järjestelmät vähentävät riskiä käyttämällä mallien suojausta (tallentamalla tiivistettyjä tai muunnettuja malleja raakojen biometristen tietojen sijaan) ja elävyyden tunnistusta (osoittamalla, että biometrinen tunniste on peräisin elävältä ihmiseltä eikä kopiosta).

Laitteistopohjaiset tietoturva-avaimet, kuten YubiKey, Google Titan Key ja SoloKey, toteuttavat FIDO2/WebAuthn-standardin tietojenkalastelulta suojattua todennusta varten. Avain sisältää laitteistolla suojatun yksityisen avaimen, joka suorittaa salaustoimintoja ilman, että avain koskaan poistuu laitteesta. Todennuksen yhteydessä verkkosivustolta saatu haaste allekirjoitetaan laitteistoavaimen yksityisellä avaimella — ja koska toiminto on sidottu tietyn verkkosivuston alkuperään, MITM-tietojenkalastelusivusto ei voi siepata tai välittää todennusta eteenpäin. Laitteistoavaimet voivat toimia myös PIV-älykortteina yritysympäristöissä, joissa tarvitaan varmenteisiin perustuvaa todennusta.

Älykortit ovat luottokortin kokoisia laitteita, joissa on salausavaimia ja varmenteita tallentava mikrosiru. PIV-kortit (Personal Identity Verification) ovat Yhdysvaltain liittovaltion työntekijöille määrätty älykorttistandardi (FIPS 201). PIV-kortit sisältävät kortinhaltijan X.509-varmenteen, hänen yksityisen avaimensa (joka ei koskaan poistu kortilta), digitaalisen valokuvan ja biometriset tiedot. Todennus edellyttää sekä fyysistä korttia (”jotain, mitä teillä on”) että PIN-koodia (”jotain, minkä tiedätte”), mikä muodostaa kaksivaiheisen todennuksen. Älykortteja luetaan kosketus- tai kontaktittomilla (NFC) lukijoilla.

Kertakäyttöiset salasanat (OTP) ovat todennuskoodeja, jotka ovat voimassa vain yhden käyttökerran. Käytössä on kaksi standardia. HOTP (RFC 4226): HMAC-pohjainen OTP, joka kasvattaa laskuria jokaisella käyttökerralla. Todentajan ja palvelimen on pysyttävä synkronoituna; jos koodeja luodaan mutta ei käytetä, ne voivat ajautua epäsynkroniin, jolloin tarvitaan uudelleensynkronointi. TOTP (RFC 6238): aikapohjainen OTP, joka käyttää laskurina nykyistä aikaa ja vaihtuu 30 sekunnin välein. TOTP on suositumpi, koska se synkronoituu automaattisesti ajan perusteella; todentajan ja palvelimen tarvitsee vain käyttää samaa aikaa (NTP auttaa tässä). Käyttämättömät TOTP-koodit vanhenevat yksinkertaisesti.

Push-todennus (jota käyttävät Duo Security, Microsoft Authenticator ja Okta Verify) lähettää käyttäjän älypuhelimeen push-ilmoituksen, kun kirjautumisyritys havaitaan. Käyttäjä hyväksyy tai hylkää pyynnön napauttamalla — tämä on paljon yksinkertaisempaa kuin kuusinumeroisen koodin syöttäminen. Joissakin toteutuksissa näytetään kirjautumisen konteksti (IP-osoite, sijainti ja sovellus), jotta käyttäjä voi tehdä perustellun päätöksen. Turvallisuusheikkoutena ovat MFA-väsytushyökkäykset — hyökkääjät lähettävät käyttäjälle nopeasti peräkkäisiä push-pyyntöjä toivoen, että tämä hyväksyy vahingossa yhden niistä tai hyväksyy pyynnön vain lopettaakseen ilmoitukset. Vastatoimia ovat numerovastaavuus (käyttäjän on syötettävä kirjautumissivulla näkyvä koodi) ja push-ilmoitukseen lisättävä konteksti.

Mukautuva todennus säätää vaadittavaa todennuksen vahvuutta kontekstisignaalien perusteella. Jos käyttäjä kirjautuu tavalliselta laitteeltaan yritysverkossa työaikana — riski on pieni, joten pelkkä salasana voi riittää. Jos sama käyttäjä kirjautuu uudelta laitteelta tuntemattomassa maassa kello kolmelta aamuyöllä — riski on suuri, joten käyttöön otetaan tehostettu todennus (joka edellyttää MFA:ta tai esihenkilön hyväksyntää). Kontekstisignaaleja ovat esimerkiksi laitteen sormenjälki (tunnettu/tuntematon), IP-osoitteen maantieteellinen sijainti, vuorokaudenaika, mahdoton matkustaminen (kirjautumiset kahdesta sijainnista, joiden välillä ei ole mahdollista matkustaa kuluneessa ajassa) ja käyttäytymismallit. Tämä vähentää MFA:n aiheuttamaa vaivaa vähäriskisissä kirjautumisissa ja lisää sitä siellä, missä sillä on eniten merkitystä.

Salasanaton todennus poistaa salasanan kokonaan ja käyttää sen sijaan tietojenkalastelulta suojaavia tekijöitä. Yleisiä menetelmiä ovat FIDO2/WebAuthn biometristen tunnisteiden (Windows Hello, Touch ID) tai laitteistoavainten kanssa; magic linkit (käyttäjän sähköpostiin tai puhelimeen lähetettävä kertakäyttöinen URL-osoite, joka toimii tehokkaasti, kun sähköpostin käyttöoikeuteen luotetaan); sekä passkeyt (FIDO Alliancen standardi, jonka Apple, Google ja Microsoft ovat ottaneet käyttöön ja jossa yksityinen avain tallennetaan laitteen suojattuun erillisalueeseen ja synkronoidaan pilveen toimittajan tilin kautta). Passkeyt yhdistävät helppokäyttöisyyden ja suojan tietojenkalastelulta, ja niitä otetaan nopeasti käyttöön salasanojen seuraajana.

Tässä oppitunnissa opitte, että biometrinen todennus käyttää fysiologisia (sormenjälki, iiris) tai käyttäytymiseen perustuvia (näppäinpainallukset, ääni) piirteitä; FAR ja FRR mittaavat biometrisen järjestelmän tarkkuutta CER:n ollessa tasapainopiste; laitteistopohjaiset tietoturva-avaimet (FIDO2/WebAuthn) tarjoavat tietojenkalastelulta suojaavan tunnisteisiin perustuvan todennuksen; ja mukautuva todennus säätää käyttäjälle aiheutuvaa vaivaa kontekstin riskin perusteella. Seuraavaksi tutustumme aiheeseen Valtuutusmallit: RBAC, MAC ja DAC.