Киви Берд - Гигабайты власти

Выводы экспертов журнала вполне однозначны: биометрические системы для потребительского рынка пока что не достигли того уровня, когда в системах доступа их можно рассматривать в качестве реальной альтернативы традиционным паролям и персональным идентификационным номерам. Все из изучавшихся систем приходится рассматривать скорее как забавные игрушки, а не «серьезные средства защиты» (как заявляют их изготовители), поскольку преодоление каждого из устройств не вызвало у исследователей существенных проблем. Важно подчеркнуть, что эксперты «c't» ориентировались в первую очередь на самые тривиальные методы обмана систем, не требующие сколь-нибудь серьезных профессиональных навыков. Так, систему опознания лиц FaceVACS-Logon немецкой фирмы Cognitec удается обмануть даже с помощью подсовывания фотографии зарегистрированного пользователя, снятого предварительно цифровой камерой. Если же в системе работает более чувствительное (и менее дружелюбное к пользователю) программное обеспечение, анализирующее характерные признаки движения живого человека, то для обмана успешно применен экран мобильного компьютера-ноутбука, демонстрирующий видеоклип с лицом «жертвы».

Несколько более сложно было преодолеть систему Authenticam BM-ЕТ100 фирмы Panasonic для опознания радужной оболочки глаза, поскольку здесь инфракрасные датчики реагировали не только на характерный узор изображения, но и на иную глубину расположения зрачка. Тогда в снимке глаза, распечатанном на матовой бумаге принтером высокого разрешения, исследователи проделали небольшое отверстие на месте зрачка, куда и подставляли собственный глаз при опознании. Этого ухищрения для обмана системы оказалось вполне достаточно.

Что же касается систем аутентификации пользователя по отпечатку пальца с помощью емкостного сенсора на «мышке» или клавиатуре, то здесь самым тривиальным способом обмана является повторное «оживление» уже имеющегося отпечатка, оставленного зарегистрированным пользователем. Для «реанимации» остаточного отпечатка иногда бывает достаточно просто подышать на сенсор, либо приложить к нему тонкостенный полиэтиленовый пакет, наполненный водой. Подобные трюки, в частности, весьма удачно опробованы на мышках ID Mouse фирмы Siemens, оснащенных емкостным сенсором FingerTIP производства Infineon. Еще эффективнее срабатывает более тонкая технология, когда оставленный «жертвой» отпечаток на стекле или CD посыпается тонкой графитовой пудрой, лишний порошок сдувается, а сверху накладывается липкая лента, фиксирующая характерный узор папиллярных линий. Прикладывание этой ленты обманывает не только емкостные, но и некоторые более строгие оптические сенсоры. Наконец, «искусственный палец», отлитый в парафиновой форме из силикона, позволил исследователям преодолеть все из шести протестированных систем на основе дактилоскопии.

Любопытства ради эксперты «c't» немного поиграли не только с лобовыми атаками на основе «фальшивых» частей тела, но и с более тонкой технологией «повторного воспроизведения». В этом случае подлинная биометрическая информация незаметно перехватывается на канале между сенсором и проверяющей программой, а затем вновь воспроизводится в нужный момент для получения нелегального доступа. Как показали эксперименты, коммуникационный порт USB, через который обычно подсоединяются к ПК биометрические датчики, легко допускает подобные манипуляции, поскольку информация здесь никак не шифруется.

Справедливости ради следует признать, что все из опробованных систем относятся к сравнительно недорогому рынку потребительских товаров, т.е., грубо говоря, не предназначены для защиты секретных объектов. С другой стороны, у экспертов журнала просто не было доступа к исследованию дорогих «настоящих» систем, а, кроме того, все выявленные слабости оборудования относятся не столько к собственно сенсорам, сколько к алгоритмам программного обеспечения. И если более мощное ПО уже существует, то почему не применяется? Как известно, производители биометрических систем всячески уклоняются от внятных ответов на подобные вопросы, предпочитая напирать на то, что лабораторные эксперименты весьма далеки от условий реальной эксплуатации.