Какво ще се случи с удостоверяването и паролите? Превод на доклада на Javelin „Състояние на силна автентификация“ с коментари

Спойлер от заглавието на доклада: „Използването на силно удостоверяване се увеличава поради заплахата от нови рискове и регулаторни изисквания.“
Изследователската компания "Javelin Strategy & Research" публикува доклада "The State of Strong Authentication 2019" ( Оригиналът в pdf формат може да бъде изтеглен от тук). Този доклад казва: какъв процент от американските и европейските компании използват пароли (и защо малко хора използват пароли сега); защо използването на двуфакторна автентификация, базирана на криптографски токени, нараства толкова бързо; Защо еднократните кодове, изпратени чрез SMS, не са сигурни.

Всеки, който се интересува от настоящето, миналото и бъдещето на удостоверяването в предприятията и потребителските приложения, е добре дошъл.

От преводача

Уви, езикът, на който е написан този доклад, е доста „сух“ и формален. И петкратното използване на думата „удостоверяване“ в едно кратко изречение не е кривите ръце (или мозъци) на преводача, а прищявката на авторите. Когато превеждах от два варианта - да дам на читателите текст, по-близък до оригинала, или по-интересен, понякога избирах първия, а понякога втория. Но бъдете търпеливи, скъпи читатели, съдържанието на доклада си заслужава.

Бяха премахнати някои маловажни и ненужни за историята части, иначе мнозинството нямаше да може да премине през целия текст. Тези, които желаят да прочетат доклада „неразкроен“, могат да го направят на оригиналния език, като последват връзката.

За съжаление, авторите не винаги са внимателни с терминологията. По този начин еднократните пароли (One Time Password - OTP) понякога се наричат ​​„пароли“, а понякога „кодове“. Още по-лошо е с методите за удостоверяване. Не винаги е лесно за нетренирания читател да се досети, че „удостоверяване с помощта на криптографски ключове“ и „силно удостоверяване“ са едно и също нещо. Постарах се максимално да унифицирам термините, а в самия доклад има фрагмент с тяхното описание.

Въпреки това, докладът е силно препоръчително за четене, тъй като съдържа уникални резултати от изследвания и правилни заключения.

Всички цифри и факти са представени без никакви промени и ако не сте съгласни с тях, тогава е по-добре да спорите не с преводача, а с авторите на доклада. А ето и моите коментари (изложени като цитати и маркирани в текста Италиански) са моя ценностна преценка и ще се радвам да споря по всяка една от тях (както и по отношение на качеството на превода).

Преглед

В днешно време дигиталните канали за комуникация с клиентите са по-важни от всякога за бизнеса. А в компанията комуникациите между служителите са по-дигитално ориентирани от всякога. И колко сигурни ще бъдат тези взаимодействия зависи от избрания метод за удостоверяване на потребителя. Нападателите използват слабо удостоверяване, за да хакнат масово потребителски акаунти. В отговор регулаторите затягат стандартите, за да принудят бизнеса да защити по-добре потребителските акаунти и данни.

Заплахите, свързани с удостоверяването, се простират отвъд потребителските приложения; атакуващите могат също да получат достъп до приложения, работещи в предприятието. Тази операция им позволява да се представят за корпоративни потребители. Нападателите, използващи точки за достъп със слабо удостоверяване, могат да откраднат данни и да извършат други измамни дейности. За щастие има мерки за борба с това. Силното удостоверяване ще помогне значително да се намали рискът от атака от нападател, както върху потребителски приложения, така и върху корпоративни бизнес системи.

Това проучване разглежда: как предприятията прилагат удостоверяване за защита на приложенията на крайните потребители и корпоративните бизнес системи; фактори, които вземат предвид при избора на решение за удостоверяване; ролята, която силното удостоверяване играе в техните организации; ползите, които получават тези организации.

Обобщение

Основни констатации

От 2017 г. насам използването на силно удостоверяване се е увеличило рязко. С нарастващия брой уязвимости, засягащи традиционните решения за удостоверяване, организациите укрепват своите възможности за удостоверяване със силно удостоверяване. Броят на организациите, използващи криптографско многофакторно удостоверяване (MFA), се е утроил от 2017 г. за потребителски приложения и се е увеличил с близо 50% за корпоративни приложения. Най-бърз растеж се наблюдава при мобилното удостоверяване поради нарастващата наличност на биометрично удостоверяване.

Тук виждаме илюстрация на поговорката „докато гръм не удари, човек няма да се прекръсти“. Когато експертите предупредиха за несигурността на паролите, никой не бързаше да приложи двуфакторна автентификация. Веднага след като хакерите започнаха да крадат пароли, хората започнаха да прилагат двуфакторна автентификация.

Вярно е, че хората много по-активно прилагат 2FA. Първо, за тях е по-лесно да успокоят страховете си, като разчитат на биометричното удостоверяване, вградено в смартфоните, което всъщност е много ненадеждно. Организациите трябва да харчат пари за закупуване на жетони и да извършват работа (всъщност много проста), за да ги внедрят. И второ, само мързеливи хора не са писали за изтичане на пароли от услуги като Facebook и Dropbox, но при никакви обстоятелства CIO на тези организации няма да споделят истории за това как паролите са били откраднати (и какво се е случило след това) в организациите.

Тези, които не използват силна автентификация, подценяват риска за своя бизнес и клиенти. Някои организации, които понастоящем не използват силно удостоверяване, са склонни да гледат на данните за влизане и паролите като на един от най-ефективните и лесни за използване методи за удостоверяване на потребителите. Други не виждат стойността на цифровите активи, които притежават. В края на краищата си струва да се има предвид, че киберпрестъпниците се интересуват от всяка потребителска и бизнес информация. Две трети от компаниите, които използват само пароли за удостоверяване на своите служители, го правят, защото смятат, че паролите са достатъчно добри за типа информация, която защитават.

Паролите обаче са на път към гроба. Зависимостта от парола е намаляла значително през последната година както за потребителските, така и за корпоративните приложения (съответно от 44% на 31% и от 56% на 47%), тъй като организациите увеличават използването на традиционно MFA и силно удостоверяване.
Но ако погледнем ситуацията като цяло, уязвимите методи за удостоверяване все още преобладават. За удостоверяване на потребителите около една четвърт от организациите използват SMS OTP (еднократна парола) заедно със защитни въпроси. В резултат на това трябва да се приложат допълнителни мерки за сигурност за защита срещу уязвимостта, което увеличава разходите. Използването на много по-сигурни методи за удостоверяване, като хардуерни криптографски ключове, се използва много по-рядко, в приблизително 5% от организациите.

Развиващата се регулаторна среда обещава да ускори приемането на силно удостоверяване за потребителски приложения. С въвеждането на PSD2, както и с новите правила за защита на данните в ЕС и няколко американски щата като Калифорния, компаниите усещат топлината. Близо 70% от компаниите са съгласни, че са изправени пред силен регулаторен натиск да осигурят силно удостоверяване на своите клиенти. Повече от половината предприятия вярват, че в рамките на няколко години техните методи за удостоверяване няма да бъдат достатъчни, за да отговорят на регулаторните стандарти.

Разликата в подходите на руските и американо-европейските законодатели към защитата на личните данни на потребителите на програми и услуги е ясно видима. Руснаците казват: уважаеми собственици на услуги, правете каквото искате и както искате, но ако администраторът ви обедини базата данни, ще ви накажем. В чужбина казват: трябва да приложите набор от мерки, които няма да позволи изцедете основата. Ето защо там се въвеждат изисквания за стриктна двуфакторна автентификация.
Вярно е, че далеч не е факт, че нашата законодателна машина един ден няма да се опомни и да вземе предвид западния опит. След това се оказва, че всеки трябва да внедри 2FA, който отговаря на руските криптографски стандарти, и то спешно.

Създаването на силна рамка за удостоверяване позволява на компаниите да изместят фокуса си от изпълнение на регулаторните изисквания към удовлетворяване на нуждите на клиентите. За онези организации, които все още използват прости пароли или получават кодове чрез SMS, най-важният фактор при избора на метод за удостоверяване ще бъде съответствието с нормативните изисквания. Но онези компании, които вече използват силна автентификация, могат да се съсредоточат върху избора на онези методи за автентификация, които повишават лоялността на клиентите.

При избора на корпоративен метод за удостоверяване в предприятие, регулаторните изисквания вече не са важен фактор. В този случай лесната интеграция (32%) и цената (26%) са много по-важни.

В ерата на фишинга нападателите могат да използват корпоративния имейл за измама за измамно получаване на достъп до данни, акаунти (с подходящи права за достъп) и дори за убеждаване на служителите да направят паричен превод към неговата сметка. Следователно корпоративният имейл и порталните акаунти трябва да бъдат особено добре защитени.

Google засили своята сигурност, като внедри силно удостоверяване. Преди повече от две години Google публикува доклад за прилагането на двуфакторна автентификация, базирана на криптографски ключове за сигурност, използвайки стандарта FIDO U2F, отчитайки впечатляващи резултати. Според компанията не е извършена нито една фишинг атака срещу повече от 85 000 служители.

препоръки

Внедрете силно удостоверяване за мобилни и онлайн приложения. Многофакторното удостоверяване, базирано на криптографски ключове, осигурява много по-добра защита срещу хакване от традиционните методи на MFA. В допълнение, използването на криптографски ключове е много по-удобно, тъй като не е необходимо да се използва и прехвърля допълнителна информация - пароли, еднократни пароли или биометрични данни от устройството на потребителя към сървъра за удостоверяване. Освен това, стандартизирането на протоколите за удостоверяване прави много по-лесно внедряването на нови методи за удостоверяване, когато станат достъпни, намалявайки разходите за внедряване и предпазвайки от по-сложни схеми за измами.

Подгответе се за отпадането на еднократните пароли (OTP). Уязвимостите, присъщи на OTP, стават все по-очевидни, тъй като киберпрестъпниците използват социално инженерство, клониране на смартфони и зловреден софтуер, за да компрометират тези средства за удостоверяване. И ако OTP в някои случаи имат определени предимства, тогава само от гледна точка на универсална достъпност за всички потребители, но не и от гледна точка на сигурността.

Невъзможно е да не забележите, че получаването на кодове чрез SMS или Push известия, както и генерирането на кодове с помощта на програми за смартфони, е използването на същите тези еднократни пароли (OTP), за които трябва да се подготвим за отказ. От техническа гледна точка решението е много правилно, защото рядко се среща измамник, който не се опитва да разбере еднократната парола от лековерен потребител. Но мисля, че производителите на такива системи ще се придържат към умиращата технология до последно.

Използвайте силно удостоверяване като маркетингов инструмент за увеличаване на доверието на клиентите. Силното удостоверяване може да направи повече от просто подобряване на действителната сигурност на вашия бизнес. Информирането на клиентите, че вашият бизнес използва силно удостоверяване, може да засили общественото възприемане на сигурността на този бизнес – важен фактор, когато има значително търсене на клиенти за силни методи за удостоверяване.

Извършете задълбочена инвентаризация и оценка на критичността на корпоративните данни и ги защитете според важността. Дори данни с нисък риск, като информация за връзка с клиенти (не, наистина, докладът казва „нисък риск“, много е странно, че те подценяват важността на тази информация), може да донесе значителна стойност на измамниците и да причини проблеми на компанията.

Използвайте силно корпоративно удостоверяване. Редица системи са най-привлекателните цели за престъпниците. Те включват вътрешни и свързани с интернет системи като счетоводна програма или корпоративно хранилище за данни. Силното удостоверяване не позволява на нападателите да получат неоторизиран достъп и също така дава възможност да се определи точно кой служител е извършил злонамерената дейност.

Какво е силно удостоверяване?

Когато се използва силно удостоверяване, се използват няколко метода или фактора за проверка на автентичността на потребителя:

• Фактор на знанието: споделена тайна между потребителя и удостоверения субект на потребителя (като пароли, отговори на въпроси за сигурност и т.н.)
• Фактор на собственост: устройство, което има само потребителят (например мобилно устройство, криптографски ключ и др.)
• Фактор на почтеност: физически (често биометрични) характеристики на потребителя (например пръстов отпечатък, модел на ириса, глас, поведение и др.)

Необходимостта от хакване на множество фактори значително увеличава вероятността от провал за нападателите, тъй като заобикалянето или измамването на различни фактори изисква използването на множество видове тактики за хакване, за всеки фактор поотделно.

Например с 2FA „парола + смартфон“ атакуващият може да извърши удостоверяване, като погледне паролата на потребителя и направи точно софтуерно копие на неговия смартфон. И това е много по-трудно от просто кражба на парола.

Но ако за 2FA се използват парола и криптографски токен, тогава опцията за копиране не работи тук - невъзможно е да се дублира токенът. Измамникът ще трябва тайно да открадне токена от потребителя. Ако потребителят забележи загубата навреме и уведоми администратора, токенът ще бъде блокиран и усилията на измамника ще бъдат напразни. Ето защо факторът собственост изисква използването на специализирани сигурни устройства (токени), а не устройства с общо предназначение (смартфони).

Използването и на трите фактора ще направи този метод за удостоверяване доста скъп за прилагане и доста неудобен за използване. Следователно обикновено се използват два от три фактора.

Принципите на двуфакторната автентификация са описани по-подробно тук, в блока „Как работи двуфакторното удостоверяване“.

Важно е да се отбележи, че поне един от факторите за удостоверяване, използвани при силно удостоверяване, трябва да използва криптография с публичен ключ.

Силното удостоверяване осигурява много по-силна защита от еднофакторното удостоверяване, базирано на класически пароли и традиционни MFA. Паролите могат да бъдат шпионирани или прихванати с помощта на кийлогъри, фишинг сайтове или атаки чрез социално инженерство (при които жертвата е подмамена да разкрие паролата си). Освен това собственикът на паролата няма да знае нищо за кражбата. Традиционният MFA (включително OTP кодове, свързване към смартфон или SIM карта) също може да бъде хакнат доста лесно, тъй като не се основава на криптография с публичен ключ (Между другото, има много примери, когато, използвайки същите техники за социално инженерство, измамниците убеждават потребителите да им дадат еднократна парола).

За щастие, използването на силна автентификация и традиционно MFA набира сила както в потребителските, така и в корпоративните приложения от миналата година. Използването на силно удостоверяване в потребителските приложения нарасна особено бързо. Ако през 2017 г. само 5% от компаниите са го използвали, то през 2018 г. вече са три пъти повече – 16%. Това може да се обясни с повишената наличност на токени, които поддържат алгоритми за криптография с публичен ключ (PKC). Освен това засиленият натиск от страна на европейските регулатори след приемането на нови правила за защита на данните като PSD2 и GDPR има силен ефект дори извън Европа (включително и в Русия).

Нека разгледаме по-отблизо тези числа. Както виждаме, процентът на частните лица, използващи многофакторна автентификация, е нараснал с впечатляващите 11% през годината. И това явно се случи за сметка на любителите на паролите, тъй като броят на тези, които вярват в сигурността на Push известията, SMS-ите и биометричните данни, не се е променил.

Но с двуфакторната автентификация за корпоративна употреба нещата не са толкова добри. Първо, според доклада само 5% от служителите са прехвърлени от удостоверяване с парола към токени. И второ, броят на тези, които използват алтернативни опции за MFA в корпоративна среда, се е увеличил с 4%.

Ще се опитам да играя ролята на анализатор и да дам своята интерпретация. В центъра на дигиталния свят на отделните потребители е смартфонът. Затова не е чудно, че мнозинството използват възможностите, които устройството им предоставя – биометрична автентификация, SMS и Push известия, както и еднократни пароли, генерирани от приложения на самия смартфон. Хората обикновено не мислят за безопасността и надеждността, когато използват инструментите, с които са свикнали.

Ето защо процентът на потребителите на примитивни „традиционни“ фактори за удостоверяване остава непроменен. Но тези, които преди са използвали пароли, разбират колко рискуват и когато избират нов фактор за удостоверяване, избират най-новата и най-безопасна опция - криптографски токен.

Що се отнася до корпоративния пазар, важно е да се разбере в коя система се извършва удостоверяване. Ако е въведено влизане в домейн на Windows, тогава се използват криптографски токени. Възможностите за използването им за 2FA вече са вградени както в Windows, така и в Linux, но алтернативните варианти са дълги и трудни за изпълнение. Толкова за миграцията от 5% от пароли към токени.

А внедряването на 2FA в една корпоративна информационна система много зависи от квалификацията на разработчиците. И за разработчиците е много по-лесно да вземат готови модули за генериране на еднократни пароли, отколкото да разберат работата на криптографските алгоритми. И в резултат на това дори невероятно критични за сигурността приложения като системи за единично влизане или управление на привилегирован достъп използват OTP като втори фактор.

Много уязвимости в традиционните методи за удостоверяване

Докато много организации продължават да разчитат на наследени еднофакторни системи, уязвимостите в традиционното многофакторно удостоверяване стават все по-очевидни. Еднократните пароли, обикновено с дължина от шест до осем знака, доставени чрез SMS, остават най-често срещаната форма на удостоверяване (освен фактора за парола, разбира се). И когато думите „двуфакторно удостоверяване“ или „потвърждаване в две стъпки“ се споменават в популярната преса, те почти винаги се отнасят до SMS удостоверяване с еднократна парола.

Тук авторът малко бърка. Предоставянето на еднократни пароли чрез SMS никога не е било двуфакторно удостоверяване. Това е в най-чиста форма вторият етап на удостоверяване в две стъпки, където първият етап е въвеждането на вашето потребителско име и парола.

През 2016 г. Националният институт за стандарти и технологии (NIST) актуализира своите правила за удостоверяване, за да премахне използването на еднократни пароли, изпратени чрез SMS. Въпреки това, тези правила бяха значително смекчени след протестите на индустрията.

И така, нека да следваме сюжета. Американският регулатор правилно признава, че остарялата технология не е в състояние да гарантира безопасността на потребителите и въвежда нови стандарти. Стандарти, предназначени да защитават потребителите на онлайн и мобилни приложения (включително банкови). Индустрията изчислява колко пари ще трябва да похарчи за закупуване на наистина надеждни криптографски токени, препроектиране на приложения, внедряване на инфраструктура с публичен ключ и се „издига на задните си крака“. От една страна, потребителите бяха убедени в надеждността на еднократните пароли, а от друга страна имаше атаки срещу NIST. В резултат на това стандартът беше смекчен и броят на хакванията и кражбите на пароли (и пари от банкови приложения) рязко се увеличи. Но индустрията не трябваше да дава пари.

Оттогава присъщите слабости на SMS OTP станаха по-очевидни. Измамниците използват различни методи за компрометиране на SMS съобщения:

• Дублиране на SIM карта. Нападателите създават копие на SIM картата (с помощта на служители на мобилния оператор или самостоятелно, използвайки специален софтуер и хардуер). В резултат на това нападателят получава SMS с еднократна парола. В един особено известен случай хакерите дори успяха да компрометират акаунта в AT&T на инвеститора в криптовалута Майкъл Търпин и да откраднат близо 24 милиона долара в криптовалути. В резултат на това Turpin заяви, че AT&T е виновна поради слаби мерки за проверка, довели до дублиране на SIM карта.
  

  Удивителна логика. Значи наистина вината е само на AT&T? Не, несъмнено вината на мобилния оператор е, че продавачите в комуникационния магазин са издали дубликат на SIM карта. Какво ще кажете за системата за удостоверяване на обмена на криптовалута? Защо не са използвали силни криптографски токени? Беше ли жалко да харчите пари за изпълнение? Дали самият Майкъл не е виновен? Защо не настоя за промяна на механизма за удостоверяване или да използва само онези борси, които прилагат двуфакторна автентификация, базирана на криптографски токени?

  Въвеждането на наистина надеждни методи за удостоверяване се забавя именно защото потребителите показват удивителна небрежност преди хакване и след това обвиняват за проблемите си всеки и всичко, различно от древни и „пропускливи“ технологии за удостоверяване

• Зловреден софтуер. Една от най-ранните функции на мобилния зловреден софтуер е да прихваща и препраща текстови съобщения до нападателите. Освен това атаките тип човек в браузъра и човек по средата могат да прихванат еднократни пароли, когато са въведени на заразени лаптопи или настолни устройства.
  

  Когато приложението на Sberbank на вашия смартфон мига зелена икона в лентата на състоянието, то също търси „зловреден софтуер“ на вашия телефон. Целта на това събитие е да превърне ненадеждната среда за изпълнение на типичен смартфон в, поне по някакъв начин, надеждна.
  Между другото, смартфонът, като напълно ненадеждно устройство, на което може да се направи всичко, е още една причина да го използвате за удостоверяване само хардуерни токени, които са защитени и без вируси и троянски коне.

• Социално инженерство. Когато измамниците знаят, че дадена жертва има активирани OTP чрез SMS, те могат да се свържат директно с жертвата, представяйки се за доверена организация, като тяхната банка или кредитен съюз, за ​​да подмамят жертвата да предостави кода, който току-що са получили.
  

  Лично съм се сблъсквал с този вид измама много пъти, например, когато се опитвах да продам нещо на популярен онлайн битпазар. Самият аз се подигравах на измамника, който се опита да ме заблуди до насита. Но уви, редовно чета в новините как още една жертва на измамници „не се сети“, даде кода за потвърждение и загуби голяма сума. И всичко това е така, защото банката просто не иска да се занимава с внедряването на криптографски токени в своите приложения. В края на краищата, ако нещо се случи, тогава клиентите „сами трябва да бъдат виновни“.

Докато алтернативните методи за доставка на OTP могат да смекчат някои от уязвимостите в този метод за удостоверяване, други уязвимости остават. Самостоятелните приложения за генериране на код са най-добрата защита срещу подслушване, тъй като дори зловреден софтуер трудно може да взаимодейства директно с генератора на код (сериозно? Авторът на доклада забрави ли дистанционното управление?), но OTP все още могат да бъдат прихванати, когато бъдат въведени в браузъра (например с помощта на keylogger), чрез хакнато мобилно приложение; и може да бъде получен директно от потребителя чрез социално инженерство.
Използване на множество инструменти за оценка на риска като разпознаване на устройства (откриване на опити за извършване на транзакции от устройства, които не принадлежат на легален потребител), геолокация (потребител, който току-що е бил в Москва, се опитва да извърши операция от Новосибирск) и поведенческите анализи са важни за справяне с уязвимостите, но нито едно от двете решения не е панацея. За всяка ситуация и тип данни е необходимо внимателно да се оценят рисковете и да се избере коя технология за удостоверяване да се използва.

Нито едно решение за удостоверяване не е панацея

Фигура 2. Таблица с опции за удостоверяване

заверка	фактор	описание	Ключови уязвимости
Парола или ПИН	Знания	Фиксирана стойност, която може да включва букви, цифри и редица други знаци	Може да бъде прихванат, шпиониран, откраднат, прибран или хакнат
Удостоверяване на базата на знания	Знания	Въпроси, чиито отговори може да знае само легален потребител	Могат да бъдат прихванати, прихванати, получени с помощта на методи на социално инженерство
Хардуерен OTP (пример)	Притежание	Специално устройство, което генерира еднократни пароли	Кодът може да бъде прихванат и повторен или устройството може да бъде откраднато
Софтуерни еднократни пароли	Притежание	Приложение (мобилно, достъпно през браузър или изпращане на кодове по имейл), което генерира еднократни пароли	Кодът може да бъде прихванат и повторен или устройството може да бъде откраднато
SMS OTP	Притежание	Еднократна парола, доставена чрез SMS съобщение	Кодът може да бъде прихванат и повторен или смартфонът или SIM картата може да бъдат откраднати или SIM картата може да бъде дублирана
Смарт карти (пример)	Притежание	Карта, която съдържа криптографски чип и памет за защитен ключ, която използва инфраструктура с публичен ключ за удостоверяване	Може да бъде физически откраднат (но нападателят няма да може да използва устройството, без да знае ПИН кода; в случай на няколко неправилни опита за въвеждане, устройството ще бъде блокирано)
Ключове за сигурност - токени (пример, друг пример)	Притежание	USB устройство, което съдържа криптографски чип и памет за защитен ключ, което използва инфраструктура с публичен ключ за удостоверяване	Може да бъде физически откраднат (но нападател няма да може да използва устройството, без да знае ПИН кода; в случай на няколко неправилни опита за въвеждане, устройството ще бъде блокирано)
Свързване към устройство	Притежание	Процесът, който създава профил, често използвайки JavaScript или използвайки маркери като бисквитки и Flash Shared Objects, за да се гарантира, че се използва конкретно устройство	Токените могат да бъдат откраднати (копирани) и характеристиките на законно устройство могат да бъдат имитирани от нападател на неговото устройство
поведение	присъщност	Анализира как потребителят взаимодейства с устройство или програма	Поведението може да бъде имитирано
пръстови отпечатъци	присъщност	Съхранените пръстови отпечатъци се сравняват с тези, заснети оптично или електронно	Изображението може да бъде откраднато и използвано за удостоверяване
Сканиране на очите	присъщност	Сравнява характеристиките на очите, като модел на ириса, с нови оптични сканирания	Изображението може да бъде откраднато и използвано за удостоверяване
Разпознаване на лица	присъщност	Характеристиките на лицето се сравняват с нови оптични сканирания	Изображението може да бъде откраднато и използвано за удостоверяване
Гласово разпознаване	присъщност	Характеристиките на записаната гласова проба се сравняват с нови проби	Записът може да бъде откраднат и използван за удостоверяване или емулиран

Във втората част на публикацията ни очаква най-вкусното - цифри и факти, на които се базират изводите и препоръките, дадени в първата част. Удостоверяването в потребителски приложения и в корпоративни системи ще бъде обсъдено отделно.

Ще се видим скоро!

Източник: www.habr.com