امنیت بیومتریک

برای اطمینان از عدم لو رفتن اطلاعات NIST توصیه می کند کارت های هوشمند عملیات تأیید هویت بیومتریک را از طریق سیستمی انجام دهند که به نام Match-on-Card شناخته می شود.
Match-on-Card نسبت به TPM از انعطاف پذیری بیشتری برخوردار است، اما نیازمند این است که تمام پی سی ها خواننده کارت هوشمند و خواننده اثر انگشت را به صورت مجتمع و یکپارچه دارا باشند. (دو خواننده جداگانه به اندازه کافی کارآمد نیستند؛ زیرا این حالت به این معنا خواهد بود که اطلاعات بیومتریک بدون محافظت روی پی سی قرار گیرند) اولین سخت افزاری که به این شکل ساخته شد، توسط Precise Biometrics و در دسامبر ۲۰۰۵ معرفی گردید.
مشکل مربوط به Match-on-Card این است که چنانچه کارت به سرقت رود، یک نفوذگر ماهر ممکن است بتواند بدون نیاز به اثر انگشت صحیح، به اطلاعات و کلیدهای شخصی دست پیدا کند یا الگوی اثر انگشت موجود را با اثر انگشت دیگری جابه جا نماید. ایراد دیگر این است که کارت های هوشمند قابلیت های پردازشی و حافظه نسبتاً پایینی دارند. به همین خاطر، میزان دقت الگوهای بیومتریک که روی این کارت ها پیاده سازی می شوند، از انواع ارائه شده روی پی سی ها پایین تر خواهند بود.
امیدهای موجود در ماه دسامبر افق های روشنی در برابر صنعت زیست سنجی پدیدار شدند. در این ماه انجمن فدرال بازرسی سازمان های مالی FFIEC یا Federel Financial Institutions Examination Council قوانین جدیدی را تصویب کرد که تمام بانک ها را ملزم می کند تا سال ۲۰۰۷ کلیه عملیات آنلاین خود را با استفاده از تأییدسازی های چندوجهی (multifactor authentication) انجام دهند. البته این موضوع به این معنی نیست که وب سایت بانکتان به همین زودی تأیید توسط اثر انگشت را از شما درخواست کند.
علاوه بر این، HIPAA نیز برای تأیید اطلاعات حساس پزشکی، عملیات تأیید دوگانه ای را تعیین نموده است. البته این کار انتشار وسیع به کارگیری روش های زیست سنجی یا هرگونه اجبار در استفاده از تکنیک های سنگین و پیچیده تأیید هویت را برای این منظور به دنبال نخواهد داشت. (سیستم نظام حقوقی بیمه بهداشتی به سرعت تصمیم گرفت نام کاربری و کلمه عبور را به عنوان دو فاکتور محسوب نمایند.) Ravi Ganesan مدیرعامل TriCipher که شرکتش فروشنده سیستم های تأیید هویت دو فاکتوری واقعی است، به این موضوع اعتراض دارد و می گوید: «قبول مقررات تنظیمی و امنیت در بعضی از مواقع با یکدیگر موارد مشترک دارند. اما در اصل این ها دو موضوع مجزا هستند.»
FFIEC نگران بود که بانک ها از همان راه گریز قانونی که شرکت های بیمه پیدا نمودند، استفاده نکنند، اما امکان دارد راه های دیگری هم وجود داشته باشند.
یک کوکی ذخیره شده روی مرورگر وب کاربر، می تواند به عنوان فاکتور دوم محسوب گردد؛ به شرط این که، از طریق روش دیگری غیر از راهی که نام کاربری و کلمه عبور وارد می گردد، به دستگاه کاربر رسیده باشد. برای مثال، مشتری می تواند با بانک تماس بگیرد تا کلمه عبوری که فقط یک بار باید وارد شود را برای تنظیم و استقرار کوکی دریافت کند. البته این روند باید هر زمانی که کاربر فایل های موقت را از روی مرورگر خود پاک نماید، تکرار شود.بانک هایی که خواهان امنیت بیشتری هستند، پیش از استفاده از روش های زیست سنجی، انتخاب های دیگری را هم پیش رو دارند. این مطلب درباره سازمان های IT نیز صادق است.
همچنین از آن جایی که کاربران ابزار اضافی دیگری را حمل نکرده اند و مجبور به دادن اطلاعات شخصی خود نیستند، این امر ممکن است در مواقعی زحماتی را برای آنان به وجود آورد.برای اطمینان از دقت کار، چنانچه کاربر بخواهد از طریق انواع دیگری از ابزارها به سیستم دسترسی پیدا کند یا کلمه رمز خود را تعویض نماید، باید ۱۰ بار آن را وارد کند.BioPassword می گوید: الگوهای تایپ افراد مختلف به اندازه کافی به هم شباهت دارند که بتوان از یک قالب برای کار روی لپ تاپ به عنوان یک ایستگاه کاری ارگونومیک استفاده نمود. اما این مسئله برای گوشی های هوشمند یا BlackBerry صادق نیست. حتی اگر دارای صفحه کلیدی از نوع QWERTY باشند.شرکت BioPassword نرم افزاری را برای دستگاه های مجهز به ویندوز ارائه نموده است که روی صفحه خوشامدگویی اکس پی و همین طور Active Directory به صورت یکپارچه عمل می نماید.
این شرکت تصمیم دارد در ماه مارس نسخه ای هم برای نرم افزارهای تحت وب منتشر سازد و اعلام کرده که در حال مذاکره با چندین نهاد و سازمان مالی است. این شرکت ها خواهان این نرم افزار هستند. چون هنوز پایه آن بر اساس کلمه عبور است؛ ضمن این که مطابق قوانین جدید FFIEC شرط داشتن دو فاکتور امنیتی را برای تراکنش های آنلاین دارد.جهت برنامه های تحت وب، استفاده از زمانبندی بین ضربات صفحه کلید در مقایسه با زیست سنجی های فیزیکی مناسب تر است. مرورگرهای وب به طور معمول ضرباهنگ های کلید را اندازه نمی گیرند. لذا کاربران باید اقدام به نصب یک Plug-in بنمایند.BioPassword در حال حاضر بین ActiveX و Flash به کاربران امکان انتخاب می دهد. البته ممکن است در آینده جاوا یاجاوااسکریپت نیز به این فهرست اضافه شوند.استفاده از پلا گین ها و نیاز به فشردن کلید، از به کار بردن روش کپی کردن و چسباندن یا ابزارهای ذخیره سازی کلمه عبور که برخی از مرورگرها به آن مجهزند توسط وب گردها جلوگیری می کند.از نقطه نظر امنیت، این موضوع شاید مفید به نظر آید، اما ممکن است نتایج ناخواسته و تصادفی ای را در پی داشته باشد. چنانچه تعداد زیادی از سایت ها این استاندارد را قبول کنند، ممکن است باعث شود کاربران از کلمات عبور بسیار ضعیف و شکننده استفاده کنند یا یک کلمه عبور را برای همه سایت ها به کار برند.

منبع : روزنامه ابرار اقتصادی