Регулятор связи Icasa должен поощрять или запрещать мобильным операторам и другим частным компаниям хранить, обмениваться или сопоставлять отпечатки пальцев клиентов, а также использовать отпечатки, оставленные мошенниками при неудачных операциях по смене Sim-карты, в качестве доказательств для полиции.
Любая утечка базы данных отпечатков пальцев частной компании может нанести непоправимый ущерб, который невозможно компенсировать штрафом или извинениями. В отличие от пароля или банковской карты, отпечаток пальца нельзя отменить; как только он становится доступным, он скомпрометирован навсегда вместе со всеми банками и телефонами, которые ему доверяют. Последствия для потребителей и общественной безопасности могут быть катастрофическими.
Согласно проекту положений, опубликованному Icasa в Правительственном вестнике 28 октября, при активации или смене Sim-карты отпечаток пальца или лицо человека проверяется по записям органов внутренних дел, а существующие абоненты получают два года на верификацию. Операторы, одобрившие смену для не того человека, столкнутся со штрафами в размере от R2-миллиона до R4-миллиона за каждое нарушение.
В собственном меморандуме Icasa указывает, что количество мобильных подписок в Южной Африке составляет 117,3 миллиона. Данные такого масштаба станут мишенью в тот момент, когда их начнет хранить любая частная компания, и перспектива хранения отпечатков для такого количества подключений, если это разрешат окончательные правила, должна беспокоить каждого потребителя и банк в стране.
Хотя проверка биометрии через органы внутренних дел является правильным шагом, окончательные правила должны четко указывать, что никакая частная компания не имеет права хранить фактический отпечаток пальца клиента. Единственным органом, который должен хранить отпечаток пальца жителя Южной Африки, должны быть органы внутренних дел. Ни одна частная компания не должна быть вынуждена собирать отпечатки, и никому не следует разрешать их хранение или обмен.
Ожидается, что преступники будут атаковать новую систему как онлайн, так и лично. Онлайн они будут нацеливаться на любые базы данных, содержащие отпечатки, внедрять вредоносное ПО в сканеры в магазинах, перехватывать сканы при передаче, отправлять фишинговые сообщения с просьбой «верифицировать» свою Sim-карту отпечатком пальца или селфи, а также использовать дипфейки для прохождения удаленной проверки лица.
В физическом мире коррумпированные сотрудники или агенты могут копировать сканы или одобрять замены за плату, а поддельные агенты по верификации могут собирать отпечатки во время двухлетнего периода повторной верификации. Отпечатки можно снять с очков и экранов телефонов, жертв могут принуждать сканировать палец во время ограблений, а инсайдеры в правительстве или подрядных организациях могут изменять или продавать идентификационные записи.
Альтернативные решения
Каждый из представленных ниже подходов позволяет оператору подтвердить личность клиента, не сохраняя при этом его отпечаток пальца. Ни один из этих методов не является экспериментальным, и версии каждого из них уже используются.
Один из вариантов — отзывные токены отпечатков пальцев. Техника, называемая «fuzzy extractor», преобразует сканирование отпечатка пальца в стабильный секретный ключ, даже если два сканирования никогда не идентичны. Оператор хранит только сольлированный хеш этого ключа, а не сам отпечаток. Каждая сеть получает уникальный токен, поэтому утечки баз данных не могут быть связаны, а скомпрометированный токен можно отозвать и перевыпустить, подобно паролю.
Другой метод — хранение отпечатков внутри Sim-карты. Защищенный шаблон отпечатка пальца находится в защищенном чипе SIM-карты, что является подходом, уже применяемым в банковских картах с отпечатками пальцев. Сопоставление происходит непосредственно на чипе, и сеть получает только подписанный ответ «да» или «нет». Третий вариант — зашифрованное сопоставление с органами внутренних дел. Сканирование шифруется до того, как покидает сканер, и сравнивается с записью органов внутренних дел в зашифрованном виде. Возвращается только подписанный результат совпадения или отсутствия совпадения, поэтому ни оператор, ни кто-либо, перехватывающий трафик, не видит отпечаток, и он никогда не хранится.
Четвертый подход — ключи, которые никогда не покидают телефон. Сканирование отпечатка пальца или лица может просто разблокировать криптографический ключ, хранящийся в собственном защищенном чипе телефона, что соответствует принципу работы ключей доступа, уже имеющихся в устройствах Apple и Android. Сеть или банк получает подписанное подтверждение от этого ключа, а не биометрические данные. Поскольку подтверждение привязано к устройству, а не к номеру телефона, мошенническая смена Sim-карты сама по себе ничего не дает злоумышленнику. Агентство по кибербезопасности и инфраструктуре США уже рекомендует аутентификацию, устойчивую к фишингу, подобную этой, вместо кодов, отправленных по SMS.
Ни один из этих методов не является теорией. После того как Индия внедрила более миллиарда человек в свою систему идентификации Aadhaar, копии идентификационных данных, разбросанные по банкам и мобильным компаниям, стали слабым местом. Их решением стала токенизация: граждане могут предъявлять отзывной виртуальный идентификатор из 16 цифр, и каждая компания получает уникальный токен, который нельзя связать между базами данных или проследить до биометрии. Индии пришлось адаптировать эту систему. Южная Африка может построить ее с нуля.
Независимо от выбранных операторами методов, они должны сопровождаться оповещением по SMS на существующий номер, уведомлением по электронной почте и 24-часовой приостановкой одноразовых PIN-кодов банка после каждой смены Sim-карты. Банки могут сделать больше прямо сейчас: стандартизированные сетевые интерфейсы уже позволяют им проверять в режиме реального времени, была ли недавно изменена учетная запись, не собирая при этом никаких биометрических данных. Новая смена должна рассматриваться как повод заморозить высокорискованные транзакции до подтверждения клиентом.
Те же правила могут помочь полиции поймать людей, стоящих за мошенничеством со сменой Sim-карты. Сканирование, которое не совпадает с владельцем счета, может поступить от мошенника, который предъявляет свой собственный отпечаток пальца или лицо на месте предполагаемого преступления. Или оно может поступить от честного клиента, например, пенсионера или рабочего, чьи отпечатки стерлись, или от кого-то, использующего неисправный сканер.
Поэтому наша концепция по умолчанию удаляет данные, а не наказывает. Каждое неудачное сканирование будет зашифровано таким образом, чтобы ни одна частная компания не могла его открыть или удалить, и будет храниться в течение 14 дней независимым хранителем вместе с магазином, сотрудником, устройством и временем. Оно будет передано только подразделениям по киберпреступности Полиции Южной Африки по судебному ордеру. Если клиент, банк, магазин или оператор в течение этого времени не возбудят уголовное дело, сканирование будет автоматически удалено. Годами преступники скрывались за украденными удостоверениями личности. При биометрической верификации каждая попытка смены оставляет их биометрию на стойке, и эти доказательства принадлежат следователям.
Безопасность — задача индустрии, а не клиента
Слишком долго бремя обеспечения безопасности ложилось на клиентов, которым говорят защищать свои PIN-коды, в то время как преступники взламывают системы вокруг них. Icasa права, устанавливая штрафы. Операторы, банки, розничные продавцы и государственные учреждения должны нанимать «красные команды» и инженеров по безопасности для атаки на собственные системы до того, как это сделают преступники. Предотвращение также требует участия полиции и специализированных подразделений по киберпреступности для раскрытия этих дел и привлечения виновных к ответственности, поскольку преступники останавливаются, когда ожидают быть пойманными.
Мы считаем, что Icasa должна определять ожидаемые результаты, оставляя методы на усмотрение операторов, вместо того чтобы прописывать конкретные технические приемы в законе. Методы мошенничества меняются быстрее, чем регулирование, и техника, закрепленная в законе сегодня, завтра станет публичной целью.
Уже существует международный стандарт для защиты биометрической информации — ISO/IEC 24745, который требует, чтобы сохраненные биометрические данные нельзя было обратить или связать между базами данных, а также чтобы их можно было отозвать. Icasa могла бы принять эти тесты в качестве критерия, которому должен соответствовать любой предлагаемый метод, независимо от лежащей в основе технологии.
Мы предлагаем, чтобы Icasa конфиденциально рассматривала методы противодействия мошенничеству, рассматривая каждый случай индивидуально, одобряя или отклоняя их без публикации деталей, которые могли бы изучить преступники.
