uwierzytelnianie biometryczne

Uwierzytelnianie biometryczne to potwierdzanie tożsamości cechą ciała albo zachowania: odciskiem palca, twarzą, tęczówką, układem żył. W typowym wdrożeniu cecha jest porównywana lokalnie na urządzeniu z zapisanym wzorcem, a udane porównanie odblokowuje klucz kryptograficzny używany dalej przez uwierzytelnianie. W odróżnieniu od hasła biometria nie jest sekretem: NIST zaznacza, że cechy biometryczne nie stanowią sekretów, bo często można je zdobyć w sieci albo w inny sposób bez zgody właściciela ^[1]. Nie da się ich też zmienić po wycieku.

Jak działa

Czujnik rejestruje cechę, a oprogramowanie zamienia ją w matematyczny wzorzec. Przy logowaniu nowy odczyt porównuje się ze wzorcem i ocenia podobieństwo. Wynik nie jest pewny, tylko wystarczająco prawdopodobny, dlatego systemy biometryczne mają dwa rodzaje błędów: fałszywe dopasowanie obcej osoby i fałszywe odrzucenie właściciela.

RYS. 1Biometria odblokowuje klucz na urządzeniu

W modelu pokazanym na schemacie biometria jest jedynie sposobem odblokowania klucza. FIDO Alliance podkreśla, że przy logowaniu kluczem passkey dane biometryczne i ich przetwarzanie pozostają na urządzeniu i nigdy nie trafiają na serwer, który dostaje tylko potwierdzenie udanego sprawdzenia ^[2]. Apple opisuje, że dane Face ID są szyfrowane i przechowywane w odizolowanym sprzętowo układzie Secure Enclave, nie trafiają do aplikacji ani do kopii w iCloud ^[3].

Rodzaje

W WordPressie

WordPress nie przetwarza biometrii i nie powinien. Czytnik linii papilarnych czy kamera działają w urządzeniu użytkownika, a do strony trafia podpis kryptograficzny w standardzie FIDO2 / WebAuthn. Wtyczka WP-WebAuthn wymienia wśród obsługiwanych urządzeń czytniki linii papilarnych, kamery zgodne z Windows Hello oraz Face ID i Touch ID ^[6]. Wymaga przy tym połączenia HTTPS albo adresu localhost ^[6].

Z tego wynika prosta zasada dla właściciela strony. Jeśli wtyczka lub usługa proponuje wysyłanie zdjęć twarzy, nagrań głosu czy odcisków na serwer strony, to strona zaczyna przechowywać dane szczególnej kategorii w rozumieniu RODO. Logowanie biometryczne przez WebAuthn tego nie robi: serwer przechowuje tylko klucz publiczny. Takie logowanie jest odmianą uwierzytelniania bez hasła (passwordless authentication).

Zagrożenia i skutki

• Podrobienie cechy. Zdjęcie, odlew czy nagranie może oszukać czujnik. Dlatego NIST wymaga wykrywania ataków prezentacyjnych przy rozpoznawaniu twarzy i zaleca je przy tęczówce i odcisku palca ^[1].
• Nieodwracalny wyciek. Hasło po wycieku danych można zmienić, twarzy ani palca nie. Centralna baza wzorców jest przez to szczególnie cennym celem.
• Fałszywe dopasowanie. Apple podaje, że szansa odblokowania telefonu przez przypadkową osobę za pomocą Face ID jest mniejsza niż 1 do 1 000 000 przy jednym zapisanym wyglądzie ^[3].
• Skutki prawne. Przetwarzanie danych biometrycznych w celu jednoznacznej identyfikacji osoby jest co do zasady zabronione przez art. 9 ust. 1 RODO ^[5].

RODO w art. 4 pkt 14 definiuje dane biometryczne jako dane osobowe wynikające ze specjalnego przetwarzania technicznego, dotyczące cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej ^[5].

Jak się bronić

NIST SP 800-63B w czwartej rewizji stawia biometrii kilka warunków ^[1]:

• biometria może być tylko częścią uwierzytelniania wieloskładnikowego (MFA) razem z fizycznym urządzeniem uwierzytelniającym ^[1];
• odsetek fałszywych dopasowań ma wynosić jeden na 10 000 albo mniej dla wszystkich grup demograficznych ^[1];
• dozwolonych jest nie więcej niż pięć kolejnych nieudanych prób, a przy wykrywaniu ataków prezentacyjnych dziesięć; potem trzeba zablokować biometrię i zaproponować inny składnik ^[1].

Apple stosuje podobny limit: po pięciu nieudanych próbach Face ID telefon żąda kodu ^[3]. Kod lub hasło urządzenia pozostaje więc ważnym zabezpieczeniem i warto, by była to blokada ekranu trudna do podejrzenia.

Na stronie internetowej najbezpieczniej korzystać z biometrii pośrednio, przez passkeys i WebAuthn, a nie zbierać wzorców samodzielnie. Jeśli organizacja mimo to chce przetwarzać biometrię pracowników lub klientów, powinna przed wdrożeniem przeprowadzić ocenę skutków dla ochrony danych i sprawdzić, czy istnieje mniej inwazyjna alternatywa.

Historia i przykłady

29 grudnia 2018 roku Sekurak opisał wystąpienie badaczy na konferencji Chaos Communication Congress, którzy obeszli uwierzytelnianie oparte na układzie naczyń krwionośnych dłoni ^[4]. Zdjęcia żył robili z odległości około 5 metrów, a następnie budowali z nich sztuczną rękę z wosku ^[4]. Po opracowaniu metody przygotowanie takiej ręki zajmowało 15 minut, a kamerę do zbierania danych można było ukryć w suszarce do rąk ^[4].

W Polsce Prezes UODO decyzją z 18 lutego 2020 roku nałożył 20 000 zł kary na szkołę podstawową, która sprawdzała uprawnienie do posiłków w stołówce odciskami palców dzieci ^[5]. Urząd uznał, że zgoda rodziców nie uchyla zakazu, gdy istnieją mniej inwazyjne metody identyfikacji, takie jak karty czy nazwiska ^[5]. W portalu orzeczeń UODO decyzja ma status uchylonej ^[5].