Sevdresscode.ru

Финансы и бизнес
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Удаленная биометрическая идентификация в банках

Удаленная биометрическая идентификация в банках

В России удаленная биометрическая идентификация в финансовой сфере стала активно обсуждаться после форума Finopolis, прошедшего в октябре 2016 года в Казани — тогда Банк России, Минкомсвязь и Росфинмониторинг объявили о запуске соответствующего пилотного проекта в нескольких российских банках в 2017 году.

Основная задача проекта — повышение доступности финансовых услуг: находясь в другом городе или стране, клиент сможет выполнять операции в разных банках, даже если имеет счет только в каком-то одном из них. Иными словами, удаленная идентификация — это такой универсальный электронный финансовый «паспорт», признаваемый всеми участниками рынка.

После введения государственной системы удаленной идентификации клиенту вначале нужно будет зарегистрироваться в ЕСИА (Единая Система Идентификации и Аутентификации, элемент Электронного Правительства). Для этого нужно будет прийти в отделение банка (их перечень будет устанавливать Банк России) и подписать заявление-согласие на передачу и обработку персональных данных, включая биометрические. После первичной регистрации физическое лицо сможет стать клиентом любого банка дистанционно.

Идентификация — это первичное «знакомство» с пользователем, присвоение ему идентификатора на серверах финансовой организации.

Аутентификация — это подтверждение личности при повторном обращении, то есть ввод логина и пароля при входе в личный кабинет банка.

На этапе идентификации клиенту выдаются логин и пароль, сканируется отпечаток пальца или записывается голос. В России идентификация регулируется Федеральным законом «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» № 115-ФЗ.

Сейчас через ЕСИА уже можно авторизоваться на сайте Госуслуг. Система содержит паспортные данные, адрес, номера ИНН и СНИЛС, номер телефона и другое. Принципиально новым является не создание ЕСИА вообще, а именно ее использование в российской финансовой отрасли.

Предположительно, через ЕСИА физические лица смогут открывать счета или вклады, получать кредиты, переводить деньги и получать информацию по своему счету, однако окончательный список операций пока уточняется. Как сообщает издание «Банковское обозрение» со ссылкой на Ивана Зимина, замначальника Центра финансовых технологий Банка России, сначала для пользователей ЕСИА будут введены лимиты на переводы и платежи, однако по результатам пилота они могут быть смягчены.

Как это будет работать? Будучи дома или за рубежом, вы открываете сайт нужного банка, клиентом которого пока не являетесь, нажимаете кнопку «Войти через ЕСИА», вводите логин и пароль, выданные при первичной регистрации, и проходите биометрическую идентификацию (смотрите в камеру, произносите требуемый текст с экрана). После этого вы становитесь полноправным клиентом этого банка, попадаете в его личный кабинет и получаете от него логин и пароль; теперь вы можете заходить на сайт напрямую, без ЕСИА.

Сроки запуска удаленной идентификации зависят от требований, которые финансовые регуляторы предъявят к банкам, и технической готовности ПАО «Ростелеком» (компания является технологическим оператором ЕСИА). По словам зампреда ЦБ Ольги Скоробогатовой, пилотный проект начнется во втором полугодии 2017 года и, в случае успеха, станет доступен всем финансовым компаниям в 2018 году.

31 марта на конференции «FinTech Russia» Максим Григорьев, начальник Центра финансовых технологий ЦБ РФ, подтвердил, что пилотный проект по удаленной идентификации будет запущен через 3 месяца.

Однако стоит отметить, что банки не только ждут ввода единой удаленной идентификации, но и разрабатывают собственные технологические решения в этой области в своих приложениях и отделениях.

В конце 2016 года банк создал специальную инновационную лабораторию, выступающую в роли внутреннего интегратора решений от сторонних поставщиков технологий удаленной идентификации (вендоров).

В настоящее время лаборатория ведет два пробных проекта по введению удаленной идентификации: тестирование системы распознавания лиц в связке с электронной очередью в трех пилотных московских подразделениях банка (специальный терминал фотографирует клиента, когда тот получает талон на электронную очередь, и сравнивает изображение с банковской базой данных), а также тестирование денежных переводов «P2P» с фотоидентификацией. Кроме того, изучается биометрия по отпечатку пальца и голосу, а также более редкие способы — по венному рисунку ладони или глаза. Пока не решено, станут ли биометрические технологии основным или вспомогательным способом дистанционной идентификации.

Тинькофф Банк предполагает множество вариантов для применения удаленной идентификации.

Во-первых, клиент сможет оформить кредит на покупку товара в магазине, не имея при себе паспорта, а также открыть счет в банке без встречи с представителем. Во-вторых, больше не нужно помнить пароль для входа в мобильный банк — достаточно сделать селфи и загрузить его в приложение. В-третьих, сам банк сможет выявлять неблагонадежных заемщиков с помощью сравнения фото заявителя с базой данных мошенников.

Читать еще:  Дизайн интерьера удаленно

Основными способами удаленной идентификации в Тинькофф Банке, скорее всего, станет распознавание по голосу и лицу. Уже несколько лет банк использует систему NICE Real Time Authentication как дополнительный метод аутентификации. При первом обращении в контактный центр банка NICE RTA делает голосовой «слепок» клиента по аналогии с отпечатком пальцев, при последующем — сверяет его с голосом звонящего. Технология значительно сокращает длительность звонков и повышает уровень сервиса — клиенту теперь не нужно отвечать на однотипные вопросы при идентификации.

Кроме того, банк применяет VisionLabs для расследования инцидентов, связанных с мошенничеством, а также для фотоверификации клиентов, получающих кредит; программа уменьшает время обработки заявок и снижает риски банка.

Сбербанк видит главный положительный эффект от введения удаленной идентификации в сокращении расходов банка на первичную обработку клиентских данных в офисах обслуживания, а также увеличении прироста новых клиентов. Для нынешних клиентов Сбербанка (по мнению компании, это 70% населения РФ) идентификация на расстоянии не станет принципиально новой услугой – открыть счет или управлять вкладом можно дистанционно уже сейчас через Мобильный Банк или Сбербанк-Онлайн.

В первую очередь банк рассматривает удаленную идентификацию по записи голоса и изображению лица клиента, а также по движению губ.

Технологическим партнером Сбербанка выступает дочерняя организация АО «СберТех».

С февраля по апрель этого года ВТБ24 проводит собственный пилотный проект по внедрению биометрической аутентификации в мобильном приложении с фокус-группой более чем из тысячи клиентов. Технологический партнер — Группа ЦРТ (ранее «Центр речевых технологий»).

Основная предпосылка пилота — необходимость перейти от подтверждения личности по знаниям (паролям и пин-кодам) к подтверждению по уникальным физическим характеристикам. ВТБ24 выбрал биометрию по голосу и лицу, так как камеры и встроенные микрофоны есть в большинстве современных устройств, а одновременное использование двух технологий сводит возможность мошенничества к минимуму, принципиально не усложняя процесса.

Клиенту нужно будет создать эталон — модель лица и голоса (нужно произнести цифры от 0 до 9). При каждом последующем входе потребуется ввести логин и пароль, а затем назвать 5 произвольных цифр с экрана. Что очень важно — проверка динамическая, выводимые числа всегда разные, а интеллектуальный детектор живого пользователя следит за мимикой, поэтому ни фотографию, ни запись голоса «подложить» не получится.

По мнению банка, единственно приемлемой технологией удаленной аутентификации —то есть повторным, а не первичным обращением в банк — является биометрия по голосу и видеообразу, так как она не требует от клиента наличия специального дорогостоящего оборудования (сканера отпечатков пальцев или сетчатки глаза).

Основной вопрос – насколько удобны клиенту такие методы удаленной идентификации? Все же пользователю проще ввести пин-код и сразу попасть в личный кабинет банка, чем запустить приложение, получить набор цифр, произнести их, отправить данные на обработку серверами банка и только затем открыть личный кабинет. К тому же неясно, как система голосовой аутентификации проявится осенью в сезон простуд, когда голос может серьезно измениться.

Однако будущее финансов — однозначно за удаленным доступом; по мнению Ильи Титова, IT-директора Модульбанка, уже через 10 лет люди будут идентифицироваться и аутентифицироваться по ДНК-меткам.

По словам Александра Васильева, замдиректора Департамента информационных технологий РосЕвроБанка, целевая аудитория проекта по удаленной идентификации – это маломобильные группы населения и потенциальные клиенты, проживающие в регионах, где банк не представлен своими филиалами.

Проект разрабатывается специалистами банка при участии технологического партнера – Microsoft . Компания предлагает Azure BaaS-платформу и инструменты для быстрого развертывания инфраструктуры для реализации блокчейн-проектов на базе Ethereum. Помимо виртуализации серверов для Ethereum VM, планируется использовать Azure API Management, который может помочь в реализации функциональности Open API.

Проблемы и угрозы биометрической идентификации

В 2018 году в России вступил в действие закон о биометрической идентификации. В банках идёт внедрение биометрических комплексов и сбор данных для размещения в Единой биометрической системе (ЕБС). Биометрическая идентификация даёт гражданам возможность получать банковские услуги дистанционно. Это избавляет их от очередей и технически позволяет «посетить банк» в любое время суток.

Читать еще:  Требуется юрист удаленно

Удобства дистанционной идентификации по фотографии или голосу по достоинству оценили не только клиенты банков, но и киберпреступники. Несмотря на стремление разработчиков сделать технологию безопасной, исследователи постоянно сообщают о появлении новых способов обмана таких систем.

Так может, не стоит соглашаться на предложение приветливого операциониста пройти биометрическую идентификацию в отделении банка? Или всё-таки воспользоваться преимуществами новой технологии? Разбираемся в этом посте.

В чём проблема?


У биометрической идентификации есть особенности, которые отличают её от привычной пары логин/пароль или «безопасной» 2FA:

  1. Биометрические данные публичны. Можно найти фотографии, видео- и аудиозаписи практически любого жителя планеты Земля и использовать их для идентификации.
  2. Невозможно заменить лицо, голос, отпечатки пальцев или сетчатку с той же лёгкостью, как пароль, номер телефона или токен для 2FA.
  3. Биометрическая идентификация подтверждает личность с вероятностью, близкой, но не равной 100%. Другими словами, система допускает, что человек может в какой-то степени отличаться от своей биометрической модели, сохранённой в базе.

Поскольку биометрические данные открывают не только турникеты в аэропортах, но и банковские сейфы, хакеры и киберпреступники всего мира усиленно работают над способами обмана систем биометрической идентификации. Каждый год в программе конференции по информационной безопасности BlackHat неизменно присутствуют доклады, связанные с уязвимостями биометрии, но практически не встречается выступлений, посвящённых разработке методов защиты.

В качестве основных проблем, связанных с биометрической идентификацией, можно выделить фальсификацию, утечки и кражи, низкое качество собранных данных, а также многократный сбор данных одного человека разными организациями.

Фальсификация


Публикации, связанные с различными способами обмана систем биометрической идентификации, часто встречаются в СМИ. Это и отпечаток пальца министра обороны Германии Урсулы фон дер Ляйен, изготовленный по её публичным фотографиям, и обман Face ID на iPhone X с помощью маски, нашумевшая кража 243 тысяч долларов с помощью подделанного нейросетью голоса генерального директора, фальшивые видео со звёздами, рекламирующими мошеннические выигрыши, и китайская программа ZAO, которая позволяет заменить лицо персонажа видеоролика на любое другое.

Чтобы биометрические системы не принимали фотографии и маски за людей, в них используется технология выявления «живости» — liveness detection — набор различных проверок, которые позволяют определить, что перед камерой находится живой человек, а не его маска или фотография. Но и эту технологию можно обмануть.


Внедрение фальшивого видеопотока в биометрическую систему. Источник

В представленном на BlackHat 2019 докладе «Biometric Authentication Under Threat: Liveness Detection Hacking» сообщается об успешном обходе liveness detection в Face ID с помощью очков, надетых на спящего человека, внедрения поддельных аудио- и видеопотоков, и других способов.


X-glasses — очки для обмана liveness detection в Face ID. Источник

Для удобства пользователей, Face ID срабатывает, если человек надел солнцезащитные очки. При этом количество света в глазах уменьшается, поэтому система не может построить качественную 3D-модель области вокруг глаз. По этой причине, обнаружив очки, Face ID не пытается извлечь 3D-информацию о глазах и представляет их в виде абстрактной модели — чёрной области с белой точкой в центре.

Качество сбора данных и ложные распознавания


Точность идентификации сильно зависит от качества биометрических данных, сохранённых в системе. Чтобы обеспечить достаточное для надёжного распознавания качество, необходимо оборудование, которое работает в условиях шумных и не слишком ярко освещённых отделений банков.

Дешёвые китайские микрофоны позволяют записать образец голоса в неблагоприятных условиях, а бюджетные камеры — сделать фото для построения биометрической модели. Но при таком сценарии значительно возрастает количество ложных узнаваний — вероятность того, что система примет одного человека за другого, с близким по тональности голосом или сходной внешностью. Таким образом, некачественные биометрические данные создают больше возможностей для обмана системы, которыми могут воспользоваться злоумышленники.

Многократный сбор биометрии


Некоторые банки начали внедрение собственной биометрической системы раньше, чем заработала ЕБС. Сдав свою биометрию, человек считает, что может воспользоваться новой технологией обслуживания в других банках, а когда выясняется, что это не так, сдаст данные повторно.

Ситуация с наличием нескольких параллельных биометрических систем создаёт риск, что:

  • У человека, дважды сдавшего биометрию, скорее всего, уже не вызовет удивления предложение повторить эту процедуру и в будущем он может стать жертвой мошенников, которые будут собирать биометрию в своих преступных целях.
  • Чаще будут происходить утечки и злоупотребления, поскольку увеличится количество возможных каналов доступа к данным.
Читать еще:  Удаленный помощник вакансии москва

Утечки и кражи


Может показаться, что утечка или кража биометрических данных — настоящая катастрофа для их владельцев, но, в действительности, всё не так плохо.

В общем случае биометрическая система хранит не фотографии и записи голоса, а наборы цифр, характеризующие личность — биометрическую модель. И теперь поговорим об этом подробнее.

Для построения модели лица система находит опорные антропометрические точки, определяющие его индивидуальные характеристики. Алгоритм вычисления этих точек отличается от системы к системе и является секретом разработчиков. Минимальное количество опорных точек — 68, но в некоторых системах их количество составляет 200 и более.

По найденным опорным точкам вычисляется дескриптор — уникальный набор характеристик лица, независимый от причёски, возраста и макияжа. Полученный дескриптор (массив чисел) и представляет собой биометрическую модель, которая сохраняется в базе данных. Восстановить исходное фото по модели невозможно.

Для идентификации пользователя система строит его биометрическую модель и сравнивает с хранящимся в базе дескриптором.

Из принципа построения модели имеются важные следствия:

  1. Использовать данные, похищенные из одной биометрической системы для обмана другой — вряд ли получится из-за разных алгоритмов поиска опорных точек и серьёзных различий в результирующей модели.
  2. Обмануть систему с помощью похищенных из неё данных тоже не получится — для идентификации требуется предъявление фотографии или аудиозаписи, по которой уже будет проведено построение модели и сравнение с эталоном.

Даже если база хранит не только биометрические модели, но и фото и аудио, по которым они построены, обмануть систему с их помощью «в лоб» нельзя: алгоритмы проверки на «живость» считают ложными результаты с полным совпадением дескрипторов.

Методы проверки liveness для лицевой и голосовой модальности.
Источник: Центр речевых технологий

Таким образом, использование утекших биометрических данных не поможет киберпреступникам быстро получить материальную выгоду, а значит, они с большей вероятностью будут искать более простые и надёжные способы обогащения.

Как защититься?


Вступившая в действие 14 сентября 2019 года директива Евросоюза PSD2, также известная как Open Banking, требует от банков внедрения многофакторной аутентификации для обеспечения безопасности удалённых транзакций, выполняемых по любому каналу. Это означает обязательное использование двух их трёх компонентов:

  • Знания — какой-то информации, известной только пользователю, например, пароля или контрольного вопроса.
  • Владения — какого-то устройства, которое имеется только у пользователя, например, телефона или токена.
  • Уникальности — чего-то неотъемлемого, присущего пользователю и однозначно идентифицирующего личность, например, биометрических данных.

Эти три элемента должны быть независимыми так, чтобы компрометация одного элемента не влияла на надёжность других.

Применительно к банковской практике это означает, что проведение операций по биометрическим данным должно обязательно сопровождаться дополнительными проверками с помощью пароля, токена или PUSH/SMS-кодов.

Использовать или нет?


У биометрической аутентификации имеются большие перспективы, однако опасности, которые приходят в нашу жизнь вместе с ними, выглядят весьма реалистично. Разработчикам систем и законодательным органам стоит изучить результаты новейших исследований уязвимостей биометрических систем и оперативно доработать как решения по идентификации, так и нормативные акты, регулирующие их работу.

Банкам необходимо принять во внимание ситуацию с deepfakes и другими способами обмана биометрических систем, используя сочетание традиционных способов идентификации пользователя с биометрическими: пароли, 2FA и usb-токены всё ещё могут принести пользу.
С клиентами банков ситуация сложная. С одной стороны, биометрическая идентификация разрабатывалась для их удобства как попытка расширить возможности для получения банковских услуг в любое время с минимальными формальностями. С другой — в случае успешной атаки рискуют своими деньгами именно они, а регуляторы и разработчики биометрических систем ответственности за взломы не несут.

В связи с этим, логичная рекомендация клиентам банков — не торопиться со сдачей биометрических данных, не обращать внимание на агрессивные призывы. Если же без биометрической идентификации никак не обойтись, то используйте её совместно с многофакторной аутентификацией, чтобы хотя бы частично снизить риски.

Ссылка на основную публикацию
Adblock
detector