Beveiligingnieuws Logo

Onze partners

CDVI

Nimo Drone Security

Uniview

Hanwha Vision Europe

Eizo

Bydemes

SMC Alarmcentrale

2N

Eagle Eye Networks

GFT

Ajax Systems

ASSA ABLOY

Avigilon Alta

Sequrix

Paraat

Alphatronics

Kiwa

Lobeco

HID

VVNL

Dero Security Products

Centurion

SOBA

Top Security

NIBHV

ADI

SmartCell

Unii

JMB Groep

Nenova

Trigion

VEB

SmartSD

Milestone

Connect Security

ARAS

Secusoft

ASIS

Brivo

CSL

Paxton

HD Security

Seagate

Genetec

IDIS

Traka ASSA ABLOY

Akuvox

Bosch Security Systems

VBN

Add Secure

NetworxConnect

Masset Solutions

Nimo Dog Security

Hikvision

Optex

RoSecure

Multiwacht

De Beveiligingsjurist

VAIBS

Regio Control Veldt

Oribi ID Solutions

Gold-IP

VideoGuard

Service Centrale Nederland

DZ Technologies

Securitas

Alarm Meldnet

Advancis

PG Security Systems

Seris

CardAccess

i-Pro

Explicate

Crown Security Services

20face

OSEC

G4S

EAL

BHVcertificaat.online

Biometrische identificatie is niet per definitie veilig!

1 juni 2019
Redactie
06:29

Biometrische systemen, waarbij lichaamseigen kenmerken als sleutel dienen, worden tegenwoordig breder gebruikt dan ooit tevoren. Bijvoorbeeld voor het betreden van ruimtes, het ontgrendelen van een smartphone en bij grenscontrole. Wat is nodig om manipulatie van deze technologie tegen te gaan?

De meest gebruikte biometrische methode is het scannen van vingerafdrukken, zo verklaart ievo reader, een Britse specialist in biometrische scanners voor de hoogste beveiligingsniveaus. Dit komt volgens de fabrikant omdat het een bijzonder veilig, nauwkeurig, handig en efficiënt principe is waar de meeste gebruikers bekend mee zijn. Maar net als elk ander technologisch systeem kunnen biometrische systemen vatbaar worden voor aanvallen en inbreuken als niet de juiste veiligheidsmaatregelen worden getroffen. Dit artikel gaat in op verschillende manieren waarop biometrische systemen zonder deze maatregelen zijn te misleiden om toch ongeautoriseerd toegang te kunnen krijgen. Ook komen de noodzakelijke veiligheidsmaatregelen aan de orde.

Spoofing
Bij ‘Spoofing’ gebruikt een crimineel kunstmatige replicaties van biometrische gegevens om te proberen toegang te krijgen. Biometrie is zo veilig omdat het gegevens gebruikt die uniek zijn en die onlosmakelijk aan een individuele persoon zijn gekoppeld. Dat betekent dat alleen personen die op een systeem zijn geregistreerd, worden herkend. Kwaadwillenden kunnen echter proberen om het lichaamseigen kenmerk, zoals de vingerafdruk, na te maken. Denk aan een replica van de vinger van siliconen, een spraakopname of een masker. Er zijn verschillende methoden die fraudeurs gebruiken om biometrische systemen te misleiden. Dat kan met een valse vingerafdruk, maar ook met replicaties van het gezicht of de iris van het oog.

Valse kenmerken
‘Fake fingers’ kunnen met verschillende materialen worden gemaakt: gelatine, siliconen, latex en zelfs houtlijm. Meestal wordt dit gedaan door van een originele, bijvoorbeeld op een glas achtergelaten vingerafdruk het patroon te kopiëren op een ‘nepvinger’. Deze kan aan de optische lezer worden aangeboden om toegang te krijgen.
Bij gezichtsherkenning kunnen foto’s en maskers aan een lezer worden gepresenteerd om een ​​persoon te imiteren van wie de biometrische gegevens zijn opgeslagen. Deze methode is ook te gebruiken bij optische palm-, gezichts- en irisherkenning. Deze methode is minder geavanceerd dan andere spoofing-technieken, maar sommige biometrische gezichtsherkenningstechnologieën zijn hier nog steeds gevoelig voor.

Identiteitsmanipulatie
Deze methode kan op twee manieren. De minst complexe is het met make-up en haardracht imiteren van een persoon, van wie bekend is dat die geautoriseerd is voor toegang. Een veel moeilijkere, maar niet onmogelijke methode is het manipuleren van een in het systeem opgeslagen gezicht, zodat dit lijkt op dat van de persoon die ongeautoriseerd toegang wil. Dit kan met behulp van software voor fotobewerking. De eerste methode is ook in de ‘analoge wereld’ mogelijk, waarbij niet technologie, maar een bewaker of receptioniste de toegang controleert. Het menselijk brein is veel minder goed in staat om biometrische eigenschappen zo nauwkeurig te herkennen als een biometrisch systeem dat kan.

Eeneiige tweeling
Interessant is dat ook identieke tweelingen als spoofs voor elkaar kunnen dienen. In sommige gevallen is een gezichtsherkenningssysteem niet in staat onderscheid te maken tussen de gezichten van identieke tweelingen, wat betekent dat ze in theorie deze systemen onderling uitwisselbaar zouden kunnen gebruiken. Criminelen zouden met behulp van social engineering de tweelingbroer of -zus ertoe kunnen bewegen mee te werken. Met sommige vingerafdruksensoren is dit te voorkomen. Deze kunnen namelijk de verschillen tussen een reeks identieke tweelingen onderscheiden met behulp van geavanceerde sensoren om de gegevens te analyseren.

Spraak afspelen
Bij spraakherkenningssystemen kan een ongeautoriseerde persoon eenvoudig een opname van een geautoriseerde persoon gebruiken. Dit kan worden gedaan met behulp van een telefoon of een laptop. Eventueel zou de crimineel voice morphing-software kunnen gebruiken om een ​​transcriptie te creëren die herkenbaar is voor de lezer of om de stem van een ander zodanig te vervormen, dat die wordt herkend door het biometrische systeem.

Anti-Spoofing-methoden
Er zijn verschillende methoden voor spoofing, maar er zijn ook veel methoden om spoofing tegen te gaan. Een daarvan is detectie of levend weefsel wordt aangeboden. Liveness detection, ook wel vitaliteitsdetectie genoemd, is het vermogen van een biometrisch systeem om te kunnen herkennen of het aan een lezer aangeboden monster in feite levend en legitiem is. Deze werkwijze detecteert niet alleen of het monster levend is (dat wil zeggen een echte huid met daar onder stromend bloed), maar zorgt er ook voor dat elke lezer alleen toegang verleent aan geregistreerde en geautoriseerde gebruikers. Dit betekent dat als een spoof-monster aan de lezer wordt gepresenteerd, zelfs als het een zeer nauwkeurige replica van het gegeven is, toegang niet wordt verleend. Dit beveiligingsniveau wordt verhoogd naarmate elk vingerafdrukgegeven in een algoritme wordt omgezet en zo wordt opgeslagen, waarbij het originele gegevensbestand (het vingerafdrukpatroon) wordt vernietigd. Dit betekent bovendien dat er nooit gevoelige, persoonlijke gegevens worden opgeslagen en dat deze niet te gebruiken zijn als ze door een hacker worden gestolen.

Geavanceerde gegevensopslag
Lezers van ievo kunnen nauwkeurig vaststellen of het gepresenteerde voorbeeld het exacte levende stuk gegevens is, aangezien de opgeslagen gegevens een biometrisch algoritme van de originele vingerafdruk zijn en niet de afdruk zelf. Dit betekent dat de opgeslagen gegevens eenvoudigweg een wiskundige weergave van de vingerafdruk zijn en dus niet kunnen worden gemanipuleerd, gerepliceerd of gestolen. Elke replicatie van de originele vingerafdruk werkt niet bij de lezer, omdat deze alleen de unieke biometrische sjabloon herkent die is opgeslagen op de ievo-besturingskaart. De besturingskaarten zijn geïnstalleerd in het beveiligde deel van het gebouw, dus van buitenaf kunnen geen gegevens worden verkregen. Dit betekent ook dat er geen gegevens in de lezer zelf worden opgeslagen, waardoor extra beveiliging wordt toegevoegd waar dit het hardst nodig is.

Uitdagingen tegen spoofing
Biometrische technologie vordert in een zeer snel tempo en hetzelfde geldt voor de spoofing-methoden. Dit betekent dat het cruciaal is om anti-spoofing-methoden continu te ontwikkelen en te implementeren. Bij ievo wordt ervoor gezorgd dat alle biometrische systemen en lezers de nieuwste technologie bevatten, geïntegreerd met de beste software die regelmatig wordt bijgewerkt om de beveiliging te verbeteren. Dit betekent dat ongeacht welke replicatiemethoden in de praktijk worden toegepast, altijd geprobeerd wordt deze onmiddellijk of zelfs van te voren tegen te gaan om risico’s rond de biometrische invoer- en authenticatiesystemen zo klein mogelijk te houden.

Ievo reader wordt in de Benelux door SmartSD op de markt gebracht.

 

Deel dit artikel via:

Vlog 5

Premium partners

Suricat

Seagate

Videoguard

Wordt een partner