指紋認証はどのように安全ですか？

Question

最近、バイオメトリクスはどこでも本人確認に使用されています。 e-ビザ、パスポート、さらには銀行取引（インドのUUIDAI Aadharシステムは、現在、身元確認、マイクロペイメントなどに使用されています）。それがいかに安全であることができるか私はまだ理解できません。システムをハッキングする可能性のあるいくつかの方法を次に示します。

ハッキングされた「バイオメトリックスキャン」デバイスは、たとえば、マイクロペイメントを受け入れる商人が使用できます。通常、スキャナー自体が指紋データを暗号化しますが、ハッキングされたデータは暗号化する必要はありません。したがって、マーチャントはバイオメトリックデータを持っているので、ユーザーの同意なしに何度でも支払いを承認できます。
テキストパスワードのリセットとは異なり、生体認証データが不変であるという通常の議論。
実際、ハッキングされたスキャナーは必要ありません。人のいたるところに文字通り残っている指紋から生体認証データを取得できます。次に、そのデータを使用してスマートチップを作成することにより、偽のパスポートを偽造できます。 smartchipsがデータを暗号化する方法がわかりません。使用されるチップごとに異なるキーで使用される一般的な暗号化技術はありますか？したがって、サーバーはこのキーの公開キーを格納し、それをチェックしますか？スマートチップが何らかのコンピューティングを実行することも読んだことがありますか？何が計算されていますか？

このような攻撃から認証システムはどのように保護されますか？

Lie Ryan · Answer

バイオメトリクスは認証に対して安全ではありませんが、バイオメトリクスが取得されたときに信頼できる証人がいる場合、多くのアプリケーションのID検証には十分安全です。バイオメトリックは、重複を検出するのにも役立ちます。生体認証支払いの場合、信頼できる証人は本質的には商人です。本人確認では、信頼できる証人は通常政府職員です。 4つのID検証で、主な問題は重複の検出と生体認証の記録が同じ人物に複数のIDカードが発行されるのを効果的に防ぐことに注意してください。

支払いに指紋を使用することは、計算されたビジネスリスクと利便性のトレードオフです。あなたが言及している指紋バンキングの詳細については知りませんが、生体認証を受け入れる販売者は、顧客が奇妙なこと（偽の指を使用するなど）を行わないようにする責任があると思います支払い機。取引が不正であると顧客または銀行が主張した場合、マーチャントは、マシンおよび/またはマーチャントアカウントを使用して発行された不正なトランザクションに対して責任があると見なされます。多くの正当な商人は、取引の制限と、オプションを提供することで受け取る追加のビジネスを考慮するとき、不正な取り消しのリスクはかなり低いと考えています。故意または過失により詐欺を助長する販売者は、支払いを払い戻す必要があり、異常なパターンの反転を検出してブラックリストに登録される可能性がある場合は、銀行の詐欺チームによって調査されます。

リスクとセキュリティの点で、これは手書きの署名とそれほど変わりません。この場合、販売者は視覚的に署名をカードの裏の署名と比較することになっています。詐欺商人は、改造された機械を使用して、取引中にカード番号と署名を記録できます。

銀行カードやIDカードで使用されるスマートチップは、本質的に非常に小型で低電力のコンピューターであり、安全な計算と、チップを破壊することなくカードから読み取ることのできないストレージ領域を備えています。安全なストレージには秘密鍵が含まれ、チップで実行されるカードプログラムは公開鍵暗号を使用してトランザクションの暗号署名を生成します。暗号署名は、秘密鍵の知識がないと計算できないデータに関する非常に大きな数であり、データの一部が変更されると無効になります。チップのみのトランザクション（PayWave、PayPassなど）では、ユーザーはカードでの認証を必要とせずに、カードが低額のトランザクションに署名します。チップアンドピントランザクションでは、ユーザーは、に保存されているピンと一致するピン番号を入力する必要がありますカードが取引に署名する前のカード。

暗号化署名を使用することでセキュリティが大幅に改善されたため、暗号化チップを含むトランザクションは、通常、商人に不正なトランザクションの責任を負わせません。代わりに、カードを安全に保つことは発行者と顧客の責任になります。

チップアンドフィンガープリントは、チップなしのスワイプアンドドロー署名のトランザクションよりもはるかに安全でありながら、チップアンドピンのより便利な代替手段として実装できます。

結論として、はい、指紋はあまり安全ではありません。しかし、チップアンドピンのようなより安全な代替手段がターゲット市場で不便だと考えられ、すぐに現金に切り替わる場合でも、スワイプアンドドロー署名にとどまるのに比べて、セキュリティが向上します。取引量の増加と支払い処理の高速化により詐欺責任の負担を負わなければならない場合、銀行や販売者はカードのセキュリティを気にしないことに注意してください。