OPM数据泄露:生物识别可以信任吗?

日期: 2016-03-08 作者:Michael Cobb翻译:邹铮 来源:TechTarget中国 英文

在OPM数据泄露事故中,560万指纹数据被盗。这对生物识别安全有什么影响?攻击者能否复制指纹,并使用复制指纹来欺骗生物识别系统以及访问受害者的设备或账户?除了生物识别安全攻击,攻击者能否以其他方式利用指纹记录?

Michael Cobb:美国人事管理办公室(OPM)和国防部发现在最近的OPM数据泄露事故中,2150万人的敏感信息被泄露,约560万人的指纹记录被盗,最初这个数字被估计为110万。这些被盗的个人数据包括社会安全号码、居住历史记录、就业和教育记录,以及健康、犯罪和财务历史记录。这些被盗的信息可能被用在身份盗窃欺诈中,而指纹数据的丢失带来不同的威胁,目前安全行业还没有完全了解这种威胁。

OPM在很大程度上低估了被盗指纹数据带来的风险,他们表示:“联邦专家认为,截至目前,滥用指纹数据的能力很有限。”然而,指纹数据已经被成功用于欺骗某些简单的生物识别系统,现在指纹数据滥用仅局限于这一事实:攻击者难以像他们滥用密码一样自动化滥用指纹数据。

目前利用指纹等生物识别技术的身份验证正逐渐成为登录到电脑和智能设备的常见方法。生物识别利用用户的某些生物特征的独特性来准确识别和授权用户,例如视网膜、指纹甚至打字特征。信用卡和密码泄露后可被撤销和重新发布,而生物特征数据永久地与用户相关联,不能被替换。这是生物识别的主要缺点之一,现在已经有560万人可能被模拟。

生物识别元素不能被重新发布的事实让指纹数据被盗的所有人都可能受到威胁,因为日后攻击者可能找到更有效的方式来利用这些数据。指纹识别无疑是最弱形式的生物识别身份验证,因为它们难以保守秘密;人们碰触东西后都会留下指纹,所以很容易复制指纹,并使用硅胶制造翻版。语音和面部识别也面临同样的问题,因为这两者都可以被获取来重新创建副本以欺骗生物识别系统。

而更难复制的生物识别元素(例如视网膜)泄露的风险最小,但对于所有生物识别元素,在身份识别过程中还有解释的因素。

对于基于密码的模式,计算机系统很容易检查提交的密码是否与数据库存储的密码相符。而对于生物识别,核实是否相符主要是看是否“像”而不是“完全相同”,原始生物特征数据需要从模拟信息转换成模板数字数据,让计算机可以读取、测量和分析。而OPM数据泄露事故中攻击者窃取的就是这种模板数据。匹配算法需要基于接受阈值来作出决定,这意味着身份识别可能出现漏报和误报,让未经授权用户可以成功通过身份验证。

随着被盗的560万用户的指纹数据流入黑市进行销售,误报可能成为更大的问题。

生物识别背后的驱动力是出于便利性,但与使用密码相比,我们需要做更多工作以确保生物识别提供更高的安全性。如果企业考虑部署生物识别系统,则需要确保在所有时间加密生物识别数据。ISO/IEC 24745标准为存储和传输过程中保护生物信息提供了指导意见,它还旨在解决被泄露生物识别信息带来的风险。可取消的生物识别是最有前途的选项,它在存储生物数据之前会扭曲生物图像或特征;这类似于在散列密码中加盐。这种失真的生物特征数据很容易被更改,如果生物存储被泄露,相同的生物数据可映射到新的模板。现在行业正在努力让着成为可行的标准部署,我们需要加快速度防止更多人的生物数据被泄露。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

翻译

邹铮
邹铮

相关推荐

  • 微软Kerberos旧漏洞又赢新关注

    根据一篇博客爆料,在Kerberos部署中存在大量身份验证漏洞,特别是针对微软的,这激起了人们对旧的但危险的漏洞进行新的认知。

  • “刷脸”时代的企业身份认证

    再没有什么事情比“刷脸支付“更酷的了,毕竟这曾是科幻大片里才有的情节……身份认证技术是在计算机网络中确认操作者身份的过程而产生的解决方法,作为防护网络资产的第一道关口,身份认证有着举足轻重的作用。

  • 生物识别:并非完美但行之有效

    如今,从数据中心到高端的消费品(如新型智能手机),生物识别技术的使用都非常广泛。虽然这不是什么新技术,但许多企业要求数据中心的管理员们实施这种技术,目的是为企业增加另外一层安全。

  • Synaptics推出全球首个用于笔记本电脑的指纹识别产品

    人机界面解决方案的领先开发商Synaptics公司(NASDAQ: SYNA)宣布SecurePad上市。SecurePad是最新的在线快速身份识别(FIDO)验证器,无需密码就能保证安全性。