Biometria i uwierzytelnianie oparte na tokenach

Uwierzytelnianie biometryczne weryfikuje tożsamość na podstawie unikatowych cech fizycznych lub behawioralnych — „czegoś, czym Państwo są”. W przeciwieństwie do haseł danych biometrycznych nie można zapomnieć, łatwo udostępnić ani zgubić. Nie można ich jednak zmienić po przejęciu: nie da się uzyskać nowego odcisku palca. Systemy biometryczne mierzą i porównują cechę biologiczną lub behawioralną z szablonem utworzonym podczas konfiguracji. Jakość systemu biometrycznego ocenia się na podstawie jego współczynników błędów oraz bezpieczeństwa przechowywania szablonów. Biometria jest najskuteczniejsza w połączeniu z innym składnikiem (na przykład odcisk palca + kod PIN).

Biometria fizjologiczna opiera się na cechach fizycznych ciała. Najważniejsze rodzaje obejmują: Odcisk palca: najczęściej stosowany ze względu na niski koszt i powszechną akceptację; używany w telefonach, systemach kontroli dostępu i ochronie granic. Skan siatkówki: skanuje układ naczyń krwionośnych w tylnej części oka — jest bardzo dokładny i trudny do sfałszowania, ale wymaga bliskiego kontaktu z czytnikiem. Skan tęczówki: skanuje wzory w kolorowej części oka — można go wykonać z większej odległości, dlatego jest używany na lotniskach. Rozpoznawanie twarzy: analizuje geometrię twarzy za pomocą kamery; staje się coraz dokładniejsze, ale może na nie wpływać oświetlenie, starzenie się oraz przebrania. Geometria dłoni: mierzy kształt dłoni i długość palców.

Biometria behawioralna analizuje wzorce sposobu wykonywania określonych czynności, a nie cechy fizyczne. Przykłady obejmują: Dynamikę pisania na klawiaturze — pomiar rytmu i szybkości pisania oraz czasu przytrzymywania klawiszy (czyli tego, jak długo każdy klawisz pozostaje wciśnięty). Dynamikę ruchów myszy — szybkość, przyspieszenie i wzorce poruszania myszą. Rozpoznawanie głosu — analizę wzorców mowy, wysokości głosu i rytmu wypowiedzi (odrębną od poleceń głosowych). Dynamikę podpisu — nacisk, szybkość i rytm odręcznego podpisu, a nie tylko jego kształt. Biometria behawioralna jest szczególnie cenna przy ciągłym uwierzytelnianiu — weryfikowaniu tożsamości przez całą sesję, a nie tylko podczas logowania.

Dwa współczynniki błędów charakteryzują działanie systemu biometrycznego. False Acceptance Rate (FAR): prawdopodobieństwo, że system omyłkowo zaakceptuje intruza jako uprawnionego użytkownika — co stanowi zagrożenie bezpieczeństwa. False Rejection Rate (FRR): prawdopodobieństwo, że system omyłkowo odrzuci uprawnionego użytkownika — co jest problemem z dostępnością i wygodą użytkowania. Współczynniki te są odwrotnie zależne: zwiększenie czułości zmniejsza FAR (mniej intruzów zostaje zaakceptowanych), ale zwiększa FRR (więcej uprawnionych użytkowników zostaje odrzuconych). Crossover Error Rate (CER) — punkt, w którym FAR jest równy FRR — to pojedyncza liczba używana do porównywania dokładności systemów biometrycznych. Niższy CER oznacza dokładniejszy system.

Systemy biometryczne nie są odporne na ataki. Ataki spoofingowe polegają na przedstawieniu czujnikowi fałszywych danych biometrycznych w celu jego oszukania: spoofing odcisku palca wykorzystuje żelatynowe lub silikonowe kopie pozostawionego odcisku; rozpoznawanie twarzy można oszukać wysokiej jakości maskami 3D lub zdjęciami w systemach niższej jakości. Ataki na bazy danych szablonów: jeśli przechowywane szablony biometryczne zostaną skradzione, nie można ich unieważnić tak jak haseł. Nowoczesne systemy ograniczają to ryzyko za pomocą ochrony szablonów (przechowywania szablonów z użyciem funkcji skrótu lub przekształconych zamiast surowych danych biometrycznych) oraz wykrywania żywotności (potwierdzania, że dane biometryczne pochodzą od żywej osoby, a nie są kopią).

Sprzętowe klucze bezpieczeństwa, takie jak YubiKey, Google Titan Key i SoloKey, implementują standard FIDO2/WebAuthn zapewniający uwierzytelnianie odporne na phishing. Klucz zawiera chroniony sprzętowo klucz prywatny, który wykonuje operacje kryptograficzne, a sam klucz prywatny nigdy nie opuszcza urządzenia. Podczas uwierzytelniania wyzwanie otrzymane z witryny jest podpisywane kluczem prywatnym klucza sprzętowego — ponieważ operacja jest powiązana z pochodzeniem konkretnej witryny, witryna phishingowa typu MITM nie może przechwycić ani przekazać dalej uwierzytelniania. Klucze sprzętowe mogą również działać jako karty inteligentne PIV w środowiskach korporacyjnych wymagających uwierzytelniania opartego na certyfikatach.

Karty inteligentne to urządzenia wielkości karty kredytowej z wbudowanym mikrochipem, który przechowuje klucze kryptograficzne i certyfikaty. Karty PIV (Personal Identity Verification) są standardem kart inteligentnych wymaganym od pracowników administracji federalnej USA (FIPS 201). Karty PIV zawierają: certyfikat X.509 posiadacza, jego klucz prywatny (który nigdy nie opuszcza karty), zdjęcie cyfrowe oraz dane biometryczne. Uwierzytelnianie wymaga zarówno fizycznej karty („czegoś, co posiadasz”), jak i kodu PIN („czegoś, co znasz”), zapewniając uwierzytelnianie dwuskładnikowe. Karty inteligentne są odczytywane przez czytniki stykowe lub bezstykowe (NFC).

Hasła jednorazowe (OTP) to kody uwierzytelniające ważne tylko przy jednym użyciu. Istnieją dwa standardy. HOTP (RFC 4226): OTP oparte na HMAC, które przy każdym użyciu zwiększa licznik. Token uwierzytelniający i serwer muszą pozostawać zsynchronizowane; jeśli kody zostaną wygenerowane, ale nieużyte, może dojść do rozbieżności wymagającej ponownej synchronizacji. TOTP (RFC 6238): OTP oparte na czasie, które używa bieżącego czasu jako licznika i zmienia się co 30 sekund. TOTP jest popularniejsze, ponieważ samo synchronizuje się na podstawie czasu; token uwierzytelniający i serwer muszą jedynie mieć zgodny bieżący czas (pomaga w tym NTP). Nieużyte kody TOTP po prostu wygasają.

Uwierzytelnianie push (używane przez Duo Security, Microsoft Authenticator i Okta Verify) wysyła powiadomienie push na smartfon użytkownika po wykryciu próby logowania. Użytkownik zatwierdza lub odrzuca żądanie jednym dotknięciem — jest to znacznie prostsze niż wpisywanie 6-cyfrowego kodu. Niektóre implementacje wyświetlają kontekst logowania (adres IP, lokalizację, aplikację), aby użytkownik mógł podjąć świadomą decyzję. Słabością tego rozwiązania są ataki zmęczenia MFA — atakujący zasypują użytkownika szybkimi żądaniami push, licząc na to, że przypadkowo zatwierdzi jedno z nich albo zatwierdzi je tylko po to, by zatrzymać powiadomienia. Środki zaradcze obejmują dopasowywanie numerów (użytkownik musi wprowadzić kod wyświetlony na stronie logowania) oraz dodatkowy kontekst w powiadomieniu push.

Uwierzytelnianie adaptacyjne dostosowuje wymagany poziom zabezpieczeń uwierzytelniania na podstawie sygnałów kontekstowych. Jeśli użytkownik loguje się ze swojego zwykłego urządzenia, z sieci firmowej i w godzinach pracy — ryzyko jest niskie, więc może wystarczyć samo hasło. Jeśli ten sam użytkownik loguje się o 3:00 z nowego urządzenia w nieznanym kraju — ryzyko jest wysokie i uruchamiane jest uwierzytelnianie podwyższonego poziomu (wymagające MFA lub zatwierdzenia przez kierownika). Sygnały kontekstowe obejmują: odcisk urządzenia (znane/nieznane), geolokalizację adresu IP, porę dnia, niemożliwą podróż (logowania z dwóch lokalizacji, między którymi nie można było przemieścić się w dostępnym czasie) oraz wzorce zachowań. Ogranicza to uciążliwość MFA przy logowaniach niskiego ryzyka, a jednocześnie zwiększa ją tam, gdzie ma to największe znaczenie.

Uwierzytelnianie bezhasłowe całkowicie eliminuje hasło i wykorzystuje zamiast niego czynniki odporne na phishing. Typowe podejścia to: FIDO2/WebAuthn z biometrią (Windows Hello, Touch ID) lub kluczami sprzętowymi; magiczne linki (jednorazowy adres URL wysyłany na adres e-mail lub telefon użytkownika, skuteczny, gdy dostęp do poczty jest godny zaufania); oraz klucze dostępu (standard FIDO Alliance przyjęty przez Apple, Google i Microsoft, w którym klucz prywatny jest przechowywany w bezpiecznym module urządzenia i synchronizowany z chmurą za pośrednictwem konta dostawcy). Klucze dostępu łączą wygodę z odpornością na phishing i szybko zyskują popularność jako następcy haseł.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: uwierzytelnianie biometryczne wykorzystuje cechy fizjologiczne (odcisk palca, tęczówka) lub behawioralne (dynamika naciskania klawiszy, głos); FAR i FRR mierzą dokładność systemu biometrycznego, a CER stanowi punkt równowagi; sprzętowe klucze bezpieczeństwa (FIDO2/WebAuthn) zapewniają odporne na phishing uwierzytelnianie za pomocą tokenów; a uwierzytelnianie adaptacyjne dostosowuje poziom uciążliwości do ryzyka wynikającego z kontekstu. Następnie omówimy modele autoryzacji: RBAC, MAC i DAC.