Biometri og tokenbasert autentisering

Atferdsbiometri analyserer mønstre i hvordan en person utfører noe, i stedet for fysiske kjennetegn. Eksempler omfatter: Tastetrykksdynamikk — måling av skriverytme, hastighet og tiden tastene holdes nede (hvor lenge hver tast holdes). Musedynamikk — hastighet, akselerasjon og bevegelsesmønstre ved bruk av mus. Stemmegjenkjenning — analyse av talemønstre, tonehøyde og talerytme (til forskjell fra talekommandoer). Signaturdynamikk — trykk, hastighet og rytme i en håndskrevet signatur, ikke bare formen. Atferdsbiometri er særlig verdifullt for kontinuerlig autentisering — bekreftelse av identitet gjennom hele økten, ikke bare ved innlogging.

To feilrater beskriver ytelsen til biometriske systemer. False Acceptance Rate (FAR): sannsynligheten for at systemet feilaktig godkjenner en uvedkommende som en legitim bruker — en sikkerhetsrisiko. False Rejection Rate (FRR): sannsynligheten for at systemet feilaktig avviser en legitim bruker — et tilgjengelighets- eller brukervennlighetsproblem. Disse ratene står i omvendt forhold til hverandre: Økt følsomhet reduserer FAR (færre uvedkommende godkjennes), men øker FRR (flere legitime brukere avvises). Crossover Error Rate (CER) — punktet der FAR er lik FRR — er tallet som brukes til å sammenligne nøyaktigheten til biometriske systemer. Lavere CER = mer nøyaktig system.

Biometriske systemer er ikke immune mot angrep. Forfalskningsangrep presenterer en falsk biometrisk egenskap for å lure sensoren: Ved forfalskning av fingeravtrykk brukes gelatin- eller silikonkopier av et latent fingeravtrykk; ansiktsgjenkjenning kan lures av tredimensjonale masker av høy kvalitet eller fotografier i systemer med lavere kvalitet. Angrep på maldatabaser: Hvis de lagrede biometriske malene blir stjålet, kan de ikke tilbakekalles slik passord kan. Moderne systemer reduserer denne risikoen gjennom malbeskyttelse (lagring av hashede eller transformerte maler i stedet for rå biometriske data) og livaktighetsdeteksjon (bekreftelse på at den biometriske egenskapen kommer fra en levende person og ikke er en kopi).

Maskinvarebaserte sikkerhetsnøkler som YubiKey, Google Titan Key og SoloKey implementerer FIDO2/WebAuthn-standarden for phishing-resistent autentisering. Nøkkelen inneholder en maskinvarebeskyttet privatnøkkel som utfører kryptografiske operasjoner uten at nøkkelen noen gang forlater enheten. Ved autentisering signeres utfordringen fra nettstedet med den private nøkkelen til maskinvaren – og fordi operasjonen er bundet til det spesifikke nettstedets origin, kan ikke et MITM-phishingnettsted avskjære eller videresende autentiseringen. Maskinvarenøkler kan også fungere som PIV-smartkort i virksomhetsmiljøer som krever sertifikatbasert autentisering.

Smartkort er enheter på størrelse med kredittkort, med en innebygd mikrobrikke som lagrer kryptografiske nøkler og sertifikater. PIV (Personal Identity Verification)-kort er smartkortstandarden som er pålagt for ansatte i USAs føderale myndigheter (FIPS 201). PIV-kort inneholder: innehaverens X.509-sertifikat, den private nøkkelen deres (som aldri forlater kortet), et digitalt fotografi og biometriske data. Autentisering krever både det fysiske kortet («noe du har») og en PIN-kode («noe du vet»), noe som gir tofaktorautentisering. Smartkort leses av kontaktbaserte eller kontaktløse (NFC) lesere.

Engangspassord (OTP) er autentiseringskoder som bare er gyldige én gang. Det finnes to standarder. HOTP (RFC 4226): HMAC-basert OTP som øker en teller hver gang det brukes. Autentiseringsenheten og serveren må være synkronisert. Hvis koder genereres uten å bli brukt, kan de komme ut av synkronisering, slik at det blir nødvendig å synkronisere dem på nytt. TOTP (RFC 6238): Tidsbasert OTP som bruker gjeldende klokkeslett som teller og endres hvert 30. sekund. TOTP er mer utbredt fordi det synkroniseres automatisk ved hjelp av tiden. Autentiseringsenheten og serveren trenger bare å være enige om gjeldende klokkeslett (NTP hjelper). Ubrukte TOTP-koder utløper ganske enkelt.

Push-autentisering (brukt av Duo Security, Microsoft Authenticator og Okta Verify) sender et push-varsel til brukerens smarttelefon når et påloggingsforsøk oppdages. Brukeren godkjenner eller avslår forespørselen med ett trykk – mye enklere enn å skrive inn en sekssifret kode. Noen implementeringer viser konteksten for påloggingen (IP-adresse, plassering, program), slik at brukeren kan ta en informert beslutning. Sikkerhetssvakheten er MFA-tretthetsangrep – angripere sender brukeren en strøm av raske push-forespørsler i håp om at brukeren godkjenner én ved et uhell, eller godkjenner bare for å få slutt på varslene. Mottiltak omfatter tallmatching (brukeren må skrive inn en kode som vises på påloggingssiden) og mer kontekst i push-varselet.

Adaptiv autentisering justerer hvor sterk autentiseringen må være, basert på kontekstsignaler. Hvis en bruker logger på fra den vanlige enheten sin, på bedriftsnettverket og i arbeidstiden, er risikoen lav, og passord alene kan være tilstrekkelig. Hvis den samme brukeren logger på fra en ny enhet i et ukjent land klokken 03, er risikoen høy, og det utløses trinnvis autentisering (som krever MFA eller godkjenning fra en leder). Kontekstsignaler omfatter: enhetsfingeravtrykk (kjent/ukjent), IP-geolokasjon, tidspunkt på dagen, umulig reise (pålogginger fra to steder det er umulig å reise mellom innen tiden som har gått) og atferdsmønstre. Dette reduserer ulempene ved MFA for pålogginger med lav risiko, samtidig som det innføres ekstra friksjon der det er viktigst.

Passordløs autentisering eliminerer passordet fullstendig og bruker i stedet phishing-resistente faktorer. Vanlige metoder er: FIDO2/WebAuthn med biometri (Windows Hello, Touch ID) eller maskinvarenøkler; magic links (en engangs-URL som sendes til brukerens e-post eller telefon, og som fungerer godt når tilgangen til e-posten er pålitelig); og passkeys (FIDO Alliances standard, tatt i bruk av Apple, Google og Microsoft, der den private nøkkelen lagres i enhetens sikre enclave og synkroniseres til skyen via leverandørens konto). Passkeys kombinerer brukervennlighet med phishing-resistens og tas raskt i bruk som etterfølgeren til passord.

I denne leksjonen har De lært at biometrisk autentisering bruker fysiologiske (fingeravtrykk, iris) eller atferdsbaserte (tastetrykk, stemme) kjennetegn; FAR og FRR måler nøyaktigheten til biometriske systemer, med CER som balansepunkt; maskinvarebaserte sikkerhetsnøkler (FIDO2/WebAuthn) gir phishing-resistent tokenbasert autentisering; og adaptiv autentisering justerer graden av friksjon basert på kontekstrisiko. Neste tema er autorisasjonsmodeller: RBAC, MAC og DAC.