Нелицеприятные мнения экспертов о надежности биометрических систем идентификации в конце концов просочились из кулуаров на страницы средств массовой информации. Вслед за эффектной работой японского криптографа Цутомо Мацумото, скомпрометировавшего более десятка систем опознания пользователя по отпечатку пальца («КТ» #445), увидело свет обширное исследование, предпринятое немецким компьютерным журналом «c’t» и посвященное изучению 11 систем биометрической верификации на основе распознавания лиц, отпечатков пальцев и радужной оболочки глаз.

Выводы экспертов журнала вполне однозначны: биометрические системы для потребительского рынка пока не достигли того уровня, когда их можно рассматривать в качестве реальной альтернативы традиционным паролям. Все изученные продукты следует рассматривать скорее как забавные игрушки, а не «серьезные средства защиты» (как заявляют изготовители), поскольку исследователям удалось обмануть их без особого труда.

Важно подчеркнуть, что эксперты «c’t» ориентировались в первую очередь на тривиальные методы обмана систем, не требующие профессиональных навыков. Так, систему опознания лиц FaceVACS-Logon немецкой фирмы Cognitec удается ввести в заблуждение даже просто подсунув фотографию зарегистрированного пользователя! Для обмана же более изощренного ПО, анализирующего характерные признаки живого человека (мимические движения лица) успешно применен экран ноутбука, на котором демонстрировался видеоклип с записью лица «жертвы».

Несколько сложнее оказалось надуть систему Authenticam BM-ET100 фирмы Panasonic для опознания радужной оболочки глаза, поскольку здесь инфракрасные датчики реагируют не только на характерный узор изображения радужки, но и на иную глубину расположения зрачка… Не мудрствуя лукаво исследователи проделали небольшое отверстие на месте зрачка в фотоснимке глаза «жертвы» (распечатанном на матовой бумаге принтером высокого разрешения), куда при опознании заглядывали, подставляя собственный зрачок. Этого ухищрения оказалось вполне достаточно.

Что же касается систем опознания пользователя по отпечатку пальца с помощью емкостного сенсора на мышке или клавиатуре, то здесь самым тривиальным способом обмана является повторное «оживление» уже имеющегося отпечатка, оставленного зарегистрированным пользователем. Для «реанимации» остаточного отпечатка иногда бывает достаточно просто подышать на сенсор, либо приложить к нему тонкий полиэтиленовый пакет, наполненный водой.

Подобные трюки, в частности, весьма удачно опробованы на мышках ID Mouse фирмы Siemens, оснащенных емкостным сенсором FingerTIP производства Infineon. Еще эффективнее срабатывает более тонкая технология, когда оставленный «жертвой» отпечаток на стекле или CD посыпается тонкой графитовой пудрой, лишний порошок сдувается, а сверху накладывается липкая лента, фиксирующая характерный узор папиллярных линий. Прикладывание этой ленты обманывает не только емкостные, но и некоторые более «строгие» оптические сенсоры. Наконец, «искусственный палец», отлитый в парафиновой форме из силикона, позволил исследователям одолеть все шесть протестированных дактилоскопических систем.

Любопытства ради эксперты «c’t» немного поиграли не только с лобовыми атаками на основе «фальшивых» частей тела, но и с более тонкой технологией «повторного воспроизведения». В этом случае подлинная биометрическая информация незаметно перехватывается на канале между сенсором и проверяющей программой, а затем вновь воспроизводится в нужный момент для получения нелегального доступа. Как показали эксперименты, порт USB, через который обычно подсоединяются к ПК биометрические датчики, легко допускает подобные манипуляции, поскольку информация никак не шифруется.

Справедливости ради следует признать, что все опробованные системы относятся к сравнительно недорогому классу потребительских товаров, то есть, грубо говоря, не предназначены для защиты секретных объектов. С другой стороны, у экспертов журнала просто не было доступа к дорогим «настоящим» системам, а, кроме того, выявленные слабости оборудования относятся не столько собственно к сенсорам, сколько к алгоритмам работы программного обеспечения. И если более мощное ПО уже существует, то почему не применяется? К сожалению, производители биометрических систем уклоняются от внятных ответов на подобные «скользкие» вопросы.