Riscurile breșelor de date biometrice și atenuarea lor

O breșă de date biometrice are consecințe pe care o parolă furată nu le poate avea niciodată: în timp ce o parolă compromisă poate fi pur și simplu schimbată, un șablon de amprentă sau de față scurs descrie o trăsătură fizică pe care victima nu o poate reemite. Înțelegerea modului în care apar breșele și a modului în care sistemele moderne atenuează daunele este esențială pentru evaluarea oricărei implementări biometrice.

Problema centrală este permanența. O persoană are un număr fix și mic de degete, iriși și o singură față; odată ce un șablon biometric legat de identitatea sa scapă și este asociat definitiv cu ea, utilitatea acelei trăsături specifice ca secret este degradată permanent pentru orice sistem care nu a fost proiectat ținând cont de acest risc. Tocmai de aceea sistemele biometrice serioase evită stocarea imaginilor brute sau a șabloanelor direct reversibile, bazându-se în schimb pe tehnici care fac datele scurse mult mai puțin utile unui atacator.

• Baze de date slab securizate care stochează imagini biometrice brute, nu șabloane protejate
• Furnizori terți sau contractori cu controale de securitate mai slabe decât organizația principală
• API-uri nesecurizate care expun punctele de potrivire biometrică fără autentificare adecvată
• Amenințări interne, cu acces legitim la depozitele biometrice, care abuzează de acest acces
• Sisteme de backup și jurnale care păstrează din greșeală date biometrice neprotejate

Cea mai eficientă atenuare este arhitecturală: nu stoca niciodată date care pot fi transformate invers în trăsătura biometrică originală. Schemele de biometrie revocabilă și protecție a șablonului transformă datele brute de caracteristici printr-un proces ireversibil și revocabil, astfel încât, chiar dacă șablonul stocat scapă, acesta nu poate fi folosit pentru reconstruirea amprentei sau feței originale, iar un șablon nou, transformat diferit, poate fi emis pentru a-l înlocui pe cel compromis, ceva ce o imagine biometrică brută nu poate oferi niciodată.

• Criptarea șabloanelor atât în repaus, cât și în tranzit, cu chei stocate separat de date
• Separarea depozitelor biometrice de alte date personale identificabile, astfel încât o singură breșă să nu expună un profil de identitate complet
• Controale stricte de acces și jurnalizare de audit pentru orice componentă de sistem care poate interoga înregistrări biometrice
• Teste de penetrare regulate, direcționate special către API-urile biometrice și serviciile de potrivire
• Planuri de răspuns la incidente care abordează explicit datele biometrice, deoarece procedurile standard de tip „resetează-ți parola" nu se aplică

Legile privind notificarea breșelor tratează tot mai des datele biometrice ca o categorie specială, care necesită dezvăluire mai rapidă și obligații de remediere mai stricte decât datele personale obișnuite. Organizațiile care suferă o breșă biometrică se confruntă cu un prejudiciu de reputație mai greu de recuperat decât în cazul unei breșe de parole, tocmai pentru că persoanele afectate nu își pot pur și simplu „schimba" fața sau amprenta, ceea ce întărește motivul pentru care apărarea în profunzime și protecția șablonului sunt tratate ca cerințe de bază, nu ca întărire opțională.