Livro Branco
Baixe o PDF aqui caso esteja com dificuldade para visualizá-lo.
https://www.aware.com/wp-content/uploads/2019/04/WP_Multimodal-Approaches-for-Matching-and-Spoof-Detection_0319_email.pdf
Autenticação biométrica em dispositivos móveis: abordagens multimodais para melhorar a correspondência e a detecção de falsificação
A grande maioria das implementações modernas de autenticação busca maximizar tanto a segurança quanto a conveniência; ou seja, visa:
- Torne o mais difícil possível para um fraudador roubar ou falsificar os fatores de autenticação do usuário legítimo (por exemplo, dispositivo, senha, token, dados biométricos).
- Evite qualquer interferência no acesso ao ativo ou serviço protegido por parte do usuário legítimo.
- Desencorajar o usuário a contornar os mecanismos de segurança previstos.
A autenticação multifatorial (MFA) visa atingir esses objetivos, tornando mais difícil para os fraudadores contornarem os mecanismos de segurança, sem causar transtornos ao usuário.
Os métodos de autenticação móvel costumam utilizar dois fatores de autenticação para aumentar a segurança:
- Posse: algo que você possui, como o próprio smartphone.
- Conhecimento: algo que você sabe, como uma senha.
Elas também podem ser utilizadas de forma “fora de banda”, em que a autenticação em um dispositivo (autenticado) é usada para obter acesso por meio de outro canal, como, por exemplo, um site acessado por meio de um navegador em um laptop.
Senhas: o ponto fraco da autenticação de múltipla faturação (MFA)
A proteção por senha é uma tecnologia com 50 anos de idade, concebida para um mundo digital muito mais simples. São as reluzentes armaduras do mundo da defesa cibernética – antiquadas, desajeitadas e ineficazes contra os arsenais modernos de hackers.
Em primeiro lugar, as senhas são vulneráveis a phishing, interceptação, adivinhação, ataques de força bruta e vazamentos de dados em grande escala. Solicitações fraudulentas por e-mail para redefinição de senha, páginas da web falsas destinadas a roubar credenciais e malware do tipo keylogger (que registra as teclas digitadas) são apenas alguns exemplos das técnicas de phishing e espionagem utilizadas para roubar senhas ou PINs.
Em segundo lugar, as senhas costumam ser armazenadas em um local central. Em setembro de 2017, a Deloitte Digital sofreu uma violação de dados que resultou na exposição de e-mails e senhas pertencentes a até 350 clientes corporativos e governamentais. No início de 2017, hackers também expuseram senhas de administradores da HBO em um roubo de dados de 1,5 terabyte.
Em terceiro lugar, os usuários têm um número cada vez maior de contas na web e dependem mais do que nunca de serviços digitais. A prática recomendada é ter senhas diferentes para todas elas. No entanto, a única maneira viável de lembrar todas elas é por meio de um gerenciador de senhas (a maioria dos quais é paga). Mas mesmo os gerenciadores de senhas apresentam vulnerabilidades, como o “clipboard sniffing” (leitura do mecanismo de copiar e colar), de acordo com uma pesquisa realizada pela equipe TeamSIK do Instituto Fraunhofer. O uso de senhas em smartphones é ainda mais inconveniente e inseguro do que em outros dispositivos que oferecem meios razoavelmente seguros para armazená-las.
Por fim, outros fatores baseados em conhecimento, como perguntas de segurança e senhas de uso único, também são inadequados. Uma pergunta de segurança pode ser adivinhada por meio de pesquisas nas redes sociais ou até mesmo roubada por outros meios de engenharia social (fingir ser outra pessoa para obter informações). As senhas de uso único apresentam uma falha diferente: elas podem ser interceptadas.
Considerando a evolução radical de nossas redes e dispositivos de computação que ocorreu desde que as senhas foram inventadas, fica bem claro que elas são extremamente inseguras e inconvenientes. A autenticação precisa ser repensada, mas ainda hoje continuamos fortemente dependentes delas, de acordo com um relatório recente da Javelin Strategy & Research.
A biometria como alternativa
A biometria é uma alternativa atraente às senhas como segundo fator de autenticação, pois é, por natureza, prática e exclusiva. É fácil de usar, mas difícil de ser roubada ou falsificada. No entanto, cada modalidade biométrica possui características próprias que trazem vantagens e desvantagens tanto em termos de segurança quanto de praticidade.
A biometria multimodal na autenticação
A biometria multimodal tem sido tradicionalmente vista como uma forma de melhorar o desempenho biométrico em termos de índices de correspondência falsa e de não correspondência falsa; quanto mais dados puderem ser utilizados para a comparação biométrica, melhor será o desempenho. Mas a utilização de múltiplas modalidades também pode servir para aumentar a resistência à fraude. Ao empregar várias modalidades biométricas de forma integrada, é possível aproveitar as vantagens de cada uma delas, ao mesmo tempo em que se neutralizam suas respectivas desvantagens. Essa combinação de múltiplas modalidades será crucial à medida que os métodos de falsificação se tornarem mais sofisticados.
Para ilustrar melhor esse ponto, considere alguns dos métodos multimodais a seguir e como eles contribuem para a detecção de falsificação, bem como para o desempenho biométrico:
Biometria de voz aprimorada com reconhecimento facial
É realizada uma análise facial enquanto o usuário fala, a fim de determinar se o interlocutor está vivo. A análise em tempo real dos movimentos da boca quando o usuário pronuncia uma frase secreta aleatória ajuda a garantir que a varredura de reconhecimento de voz e facial correspondam e que a amostra não seja uma gravação de áudio ou vídeo da vítima em questão reproduzida a partir de um dispositivo.
Dinâmica de digitação aprimorada com reconhecimento facial
A dinâmica da digitação utiliza a cadência única de digitação do usuário como um indicador biométrico comportamental. É possível capturar uma imagem facial enquanto o usuário digita um nome de usuário ou PIN. Isso incorpora o reconhecimento facial à análise sem aumentar o tempo de captura. Juntos, esses recursos criam barreiras contra falsificação e fraude, o que só é possível com o uso de múltiplas modalidades.
Esses métodos de autenticação multimodal não apenas melhoram o desempenho biométrico, mas também tornam mais difícil para os fraudadores falsificarem as leituras biométricas. Além disso, ao operarem simultaneamente, evitam causar impacto negativo na experiência do usuário.
A autenticação forte ficou ainda mais forte
A autenticação biométrica promete oferecer uma alternativa adequadamente moderna à proteção por senha, às perguntas de segurança e às senhas de uso único. Embora ainda estejam em seus primórdios, as tecnologias biométricas estão evoluindo rapidamente, e sua adoção vem crescendo a um ritmo exponencial. Ao aprimorar simultaneamente a segurança e a conveniência, espera-se que a biometria multimodal substitua amplamente a autenticação multifatorial (MFA) baseada em senha e aprimore de forma definitiva a autenticação como a conhecemos.
A biometria multimodal reduz a possibilidade de falsificações, tornando muito mais difícil para os fraudadores realizarem ataques com dados biométricos não ao vivo ou roubados. Sua precisão também diminui a probabilidade de correspondências falsas e de não correspondências falsas, melhorando o desempenho e a conveniência para os usuários finais.
Em nosso próximo artigo: Arquitetura centrada no dispositivo versus arquitetura centrada no servidor
Eficaz liveness detection A segurança é crucial para a implementação bem-sucedida da biometria, assim como a segurança subjacente do mecanismo de armazenamento e comparação de amostras biométricas, que pode ser implementada usando uma arquitetura centrada no dispositivo ou no servidor. A decisão sobre qual implementar depende de diversos fatores:
- Segurança dos dispositivos: Qual é o nível de confiança na capacidade do dispositivo e do aplicativo de proteger os dados biométricos?
- Segurança do servidor: Qual é o nível de confiança na capacidade de proteger dados biométricos de forma centralizada? Qual é o risco de uma violação?
- Utilidade dos dados no servidor: os dados biométricos podem ser utilizados para outros fins, como o treinamento de algoritmos ou a verificação em relação a outros dados (por exemplo, fotos da carteira de motorista ou do crachá de funcionário)?
- Escalabilidade: Quantas pessoas usarão o aplicativo móvel? É mais vantajoso aumentar a complexidade do aplicativo ou do backend?
- Capacidade da rede sem fio: Qual é o tamanho máximo de um aplicativo para que o download seja prático? Qual é o impacto na velocidade da autenticação?
- Memória e capacidade de processamento dos dispositivos: muitos clientes utilizam dispositivos menos potentes que se beneficiariam do processamento no lado do servidor?
- Padrões: Até que ponto é recomendável o uso de tecnologias baseadas em padrões, como a FIDO?
- Compatibilidade entre dispositivos: qual é a importância de os usuários poderem utilizar vários dispositivos?
Inscreva-se no Blog de Biometria da Aware para receber nosso próximo artigo, que comparará e contrastará diferentes arquiteturas de autenticação biométrica. A arquitetura adequada para uma determinada aplicação e ambiente depende das respostas às perguntas acima e do peso atribuído a cada uma delas com base nas prioridades do negócio.
