Является ли аутентификация ОС более безопасной при использовании считывателя отпечатков пальцев, чем (надежный) пароль? Можно ли это легко взломать?
Кстати, а где хранится отпечаток пальца? На аппаратном чипе или в файловой системе?
Это зависит от оборудования читателя?
Это зависит от реализации библиотеки / ОС?
Безопасность сканера, вероятно, во многом зависит от качества оборудования. Я предполагаю, что большинство сканеров, которые сейчас поставляются с ноутбуками, довольно дешевы и не предназначены для ситуаций с высоким уровнем безопасности. Даже более качественные сканеры, предназначенные для дверных замков, не защищены от дублирования отпечатков пальцев. это Брошь Mythbusters это доказывает.
Однако, как сказал Харли, несколько задач всегда безопаснее, чем одна задача.
Проблема с большинством биометрических систем заключается в том, что они по своей природе «шумные», и для этого требуется программное обеспечение, которое отсеивает шум до истинного сигнала. Пароль - это несколько байтов, точность которых должна быть идеальной. Биометрический отпечаток пальца, или сканирование радужной оболочки глаза, или сканирование сетчатки глаза, или голосовой отпечаток должны иметь «достаточно близкий» порог, потому что биометрические данные меняются от дня к дню или от недели к неделе. Для победы над такими системами используется «достаточно близкий» характер технологии биометрической аутентификации.
Из-за этого простой биометрический, на мой взгляд, менее безопасен, чем правильно подобранный пароль. И это даже не входит в детали реализации, такие как возможности захвата / воспроизведения сигнала между сканером и аутентификатором или легко поддающиеся разрушению датчики проводимости кожи (лизните бумагу!).
При использовании вместе с паролем это может повысить безопасность. Но как я уже сказал, его не следует использовать вместо пароля.
Отпечатки пальцев обычно более безопасны, чем пароль, но все это относительно.
Но знаете, что может быть безопаснее отпечатка пальца? Отпечаток пальца и пароль. То, что у вас есть, плюс то, что вы знаете, намного безопаснее, чем любое другое.
Проблема со всей биометрией заключается в том, что, когда ваш защитный материал (например, ваши отпечатки пальцев, сетчатка глаза или ДНК) подвергается опасности, его очень трудно изменить.
Биометрия - это форма идентификации, а не аутентификации.
Редактировать: В дальнейшем я нашел эту отличную статью: Аутентификация и идентификация.
Одно время так и считалось. С того времени было разработано несколько методов для поражение более дешевые версии этих сканеров.
Если он используется как часть процесса двухфакторной или многофакторной аутентификации, то я считаю, что это повысит безопасность за счет увеличения сложности входа. Вот кто обсуждение этот.
Обычно файловая система. Многие сканеры просто превращают слепок в хэш-код, который передается на главный компьютер. Кронос Touch ID корпоративное решение, предназначенное для использования в качестве таймера; он хранит данные в таблице Paradox (!) как хэш, так что довольно ясно, откуда их прибыль с этого устройства ....
Читателей много, у каждого свои методы. Хотя я не могу говорить об этом с каким-либо авторитетом, похоже, что «да» - довольно хороший ответ на этот вопрос.
Опять же, я думаю, это зависит от типа читателя. Некоторые на самом деле передают больше, чем хэш (фактическое изображение отпечатка пальца), а другие нет.
Брюс Шнайер написал отличный анализ биометрии, в котором он исследует положительные и отрицательные стороны использования таких методов, как считыватели отпечатков пальцев для аутентификации. Он отмечает, что отпечатки пальцев сложно подделать, но украсть их тривиально. Лично я провел взаперти в своей серверной комнате после того, как порезал палец настолько сильно, что повредил отпечаток пальца, и этого достаточно, чтобы заставить меня отказаться от считывателей отпечатков пальцев.
Я вернусь и отредактирую этот URL, как только я перестану быть «новым пользователем»
http://www.schneier.com/blog/archives/2009/01/biometrics.html
Я лично очень не люблю биометрию. Если бы я тратил деньги на систему отпечатков пальцев, я бы предпочел использовать PKI и пароль + сертификат для идентификатора.
В зависимости от приложения и требуемого уровня безопасности биометрия может иметь буквально фатальный недостаток. Давайте представим, что плохие парни действительно хотят того, что защищено системой безопасности, и готовы похитить и / или убить кого-нибудь, чтобы получить это.
Является ли аутентификация ОС более безопасной при использовании считывателя отпечатков пальцев, чем (надежный) пароль? Можно ли это легко взломать?
Да, довольно легко отрубить палец у уполномоченного лица и использовать его для передачи сканера отпечатков пальцев. Или злоумышленники могут подвергнуть человека принуждению и заставить его приложить палец к сканеру.
С другой стороны, система паролей может быть настроена с одним паролем для предоставления доступа и другим паролем «под принуждением», чтобы не только запретить доступ, но и вызвать помощь, если он введен.
Лично я не работаю ни над одной системой, которая настолько важна, что мне хотелось бы потерять хоть палец вверх. Если кто-то очень сильно хочет, я даже не хочу, чтобы они были соблазненный взять мой палец ...
Как крепится сканер отпечатков пальцев? Использует ли сканер, на который вы смотрите, какое-то шифрование между сканером и компьютером. Если этого не произойдет, что может помешать мне вставить устройство между вашим сканером и вашим компьютером, а затем записать ваш отпечаток пальца?
Вы действительно не можете изменить свой отпечаток пальца. Если я могу захватить отпечаток пальца таким образом, чтобы я мог просто отправлять одни и те же данные снова и снова, тогда ваша система сломается.
Защита отпечатков пальцев основана на биометрии, где простая концепция заключается в том, что отпечатки большого пальца у всех людей, живущих на Земле, различны. Логика верна, но это полностью зависит от технологии, которую вы используете, если программа или оборудование неисправны, тогда это тоже может быть рискованно.
Испытав ноутбук (HP по памяти), где и мой отпечаток пальца, и отпечаток моего коллеги предоставили доступ к одной и той же учетной записи, я должен сказать, что не может быть абсолютного ответа «да» или «нет». Большинство реализаций, которые я видел, используют только несколько тестовых точек для определения отпечатка пальца. На мой взгляд, менее пары десятков пунктов недостаточно для надлежащей безопасности. Итак, поскольку это будет зависеть от реализации, если мне придется дать ответ «да» или «нет», это должно быть «нет».