Компания Bundesdruckerei представила на прошедшей в Ганновере выставке CeBIT облачные сервисы аутентификации и хранения данных, предлагающие защитные механизмы повышенной надежности.

Bundesdruckerei — полиграфическая компания с 250-летней историей. Первоначально она занималась печатью банкнот и паспортов, а сегодня предлагает различные виды сервисов цифровой аутентификации. В частности, на CeBIT прошла презентация сервиса Bdrive для корпоративных заказчиков, позволяющего защищенно хранить важные файлы в облаке.

В отличие от сервисов вроде Dropbox, Bdrive хранит не сами файлы, а только их метаданные. При этом задача хранения возлагается на другие публичные облачные сервисы, у которых тоже нет доступа к содержанию файлов: клиентское программное обеспечение Bdrive шифрует файлы и делит их на фрагменты, распределяя между несколькими сервисами таким образом, что ни один из них не содержит какой-либо файл целиком. Как объяснил представитель Bundesdruckerei Максим Шнякин, сборка файла при его загрузке происходит с использованием избыточного кода (erasure coding), что позволяет восстановить данные даже в случае отсутствия отдельных фрагментов. Необходимый уровень избыточности выбирается пользователем.

Bdrive запоминает, в каких облачных сервисах хранятся различные фрагменты файла, кому из пользователей он принадлежит, а также кому и с какими привилегиями предоставлен доступ. Клиент вносит абонентскую плату Bundesdruckerei, а об оплате сторонних облачных сервисов компания заботится сама.

С какими именно сервис-провайдерами она сотрудничает, не уточняется, но возможно, что один из них — Simple Storage Service (S3) в облаке Amazon.

Доступ к файлам контролируется с помощью клиентского ПО, которое встраивается в Windows 10. Bdrive отображается в «Проводнике» наряду с «Рабочим столом», «Загрузками» и «Документами», и для него в контекстном меню, вызываемом по щелчку правой кнопки мыши, доступны операции отправки ссылок на скачивание файла и назначения прав доступа.

Пользователь, которому дают доступ к файлу, получает сообщение электронной почты со ссылкой. Если нужен пароль, он передается по другому, защищенному каналу. При переходе по ссылке для скачивания Bdrive запускает код JavaScript, который загружает необходимые фрагменты из различных хранилищ, собирает файл и декодирует его.

Для дополнительной безопасности доступ к управлению файлами Bdrive предоставляется только после проверки ряда параметров авторизованного устройства и удостоверения личности владельца данных.

Чтобы обеспечить более сильную защиту по сравнению с обычными паролями, Bundesdruckerei также предлагает систему дактилоскопической аутентификации на основе смарт-карт — GoID.

Один из недостатков систем биометрической аутентификации состоит в том, что они пользуются централизованными хранилищами и системами сопоставления биометрических характеристик, что повышает риск утечки данных. GoID лишена этого недостатка: операции по считыванию, сохранению и сопоставлению отпечатков пальцев выполняются на смарт-карте. Единственная информация, которую карта передает во внешний мир, — это заверенное с помощью электронной подписи сообщение о том, прошла ли аутентификация успешно.

Карты GoID несколько толще, чем кредитки, но в бумажнике умещаются. Они оснащены встроенным сканером отпечатков пальцев — таким, как на смартфонах старшего класса, а не протяжным, как на некоторых ноутбуках. Сканер получает электропитание и обменивается данными через RFID-интерфейс: для активации карты требуется внешний ридер, подключенный, например, к порту USB компьютера.

Чтобы пройти аутентификацию, пользователь помещает карту на ридер и прикладывает к ней палец. На случай, если дактилоскопическая аутентификация не сработает, на карте предусмотрена цифровая клавиатура.

Регистрация выполняется с помощью тех же карты и ридера. Эта процедура проходит под контролем программного обеспечения, работающего на ПК, но сами данные отпечатка пальца никогда не покидают карты, подчеркивают в Bundesdruckerei.

В компании уже пользуются картами для собственных нужд и предлагают их заказчикам в составе пакета услуг по управлению учетными данными и аутентификации. Как сообщают в Bundesdrukerei, стоимость карт варьируется в зависимости от того, с какими сервисами они предлагаются.

Помимо работы с Bdrive и аутентификации в Windows, карты можно использовать для ограничения доступа к зданиям. В компании выражают уверенность в том, что, поскольку биометрические данные никогда не покидают карту, система будет пользоваться более высоким спросом среди коммерческих заказчиков в тех странах, где конфиденциальность ценят особенно высоко.

Samsung совместно с Microsoft работают над механизмами входа в Windows 10 с помощью смартфонов. В южнокорейской компании создали программное обеспечение Samsung Flow, которое связывает ее новые смартфоны на Android с ПК на основе Windows. В частности, в дальнейшем предполагается возможность входить в Windows, минуя Hello, путем сканирования радужной оболочки глаза смартфоном Galaxy. При этом изображение будет храниться на нем самом.

А сейчас с помощью Flow можно войти в Windows, проведя по Galaxy пальцем или нарисовав графический ключ — этот аутентификационный механизм работает независимо от Windows Hello. Им можно пользоваться, например, для входа в гибридные персональные компьютеры Samsung Galaxy Book, представленные компанией на Mobile World Conference. Связь между смартфоном и ноутбуком осуществляется по технологии NFC. В Samsung вместе с Microsoft работают и над другими способами биометрической аутентификации.

В корейской компании также задумываются об обеспечении связи между ее Android-фонами, ПК с Windows и устройствами на ОС Tizen. В этом отношении Samsung пока проигрывает Apple, чьи продукты объединены в тесно связанную экосистему.

Судя по всему, в этом году владельцы хромбуков со встроенными дактилоскопическими сканерами смогут разблокировать их, прикладывая палец: как сообщил сайт Chrome Story, в Chrome OS Canary (ежедневная пробная сборка для разработчиков) появился экспериментальный флаг, активизирующий поддержку «Быстрой разблокировки по отпечатку пальцев».

Упоминания дактилоскопической аутентификации также присутствуют в списке изменений девелоперской версии Chrome OS 58.0.3007.0, вышедшей в середине февраля. А впервые сведения, указывающие на планы поддержки сканеров отпечатков пальцев в Chrome OS, появились еще в сентябре прошлого года.

Хромбуки с возможностью аутентификации по Bluetooth с помощью смартфона поступили в продажу в начале 2015 года — аналогичная функция, возможно, скоро появится в Windows 10. Но в плане поддержки биометрической аутентификации Chrome OS отстает от Windows и macOS.

Неизвестно, сможет ли Chrome OS работать с внешними сканерами, как Windows, или только со встроенными в ноутбук. Можно отметить, что дактилоскопическая аутентификация поддерживается некоторыми приложениями Android — возможно, эта их особенность будет доступна и на новых хромбуках.

Выход стабильной версии Chrome OS 58 для всех платформ ожидается в апреле.

В Facebook разработали и опубликовали в исходных кодах протокол, позволяющий восстанавливать забытые пароли через аккаунт в социальной сети, — подобно тому, как это делается через электронную почту.

Механизм восстановления работает через HTTPS, не требуя установки каких-либо плагинов для браузера. Опция привязки пароля к Facebook появится на сайтах, владельцы которых решат воспользоваться протоколом. Первым таким сайтом станет GitHub — в ближайшее время на нем появится двухфакторная процедура восстановления пароля с использованием Facebook.

Успокаивая опасения по поводу превращения Facebook в центр восстановления всех паролей, в компании подчеркивают, что протокол является открытым и не рассчитанным на поддержку исключительно Facebook. Таким образом, пользователь сможет выбирать сервисы, которым он доверяет, и применять их для восстановления паролей.

Сравнив новый протокол с OAuth, открытым стандартом защищенного доступа сторонних приложений к пользовательским аккаунтам без использования паролей, в Facebook выразили надежду, что разработка компании позволит создать «гетерогенную экосистему», позволяющую сайтам пользоваться надежными сервисами восстановления доступа к учетным записям.

Смотрели ли вы фильм «Из машины» (Ex machina. — Прим. перев.), эту увлекательную историю про миллиардера-затворника из Кремниевой долины, в которой искусственный интеллект представлен в виде весьма симпатичного робота? Сюжет относит нас к тезису, выдвинутому еще в 1950 году Аланом Тьюрингом, отцом современной компьютерной науки, который предложил считать искусственным интеллектом такое состояние машины, когда человек не в силах распознать, что общается с роботом, и принимает его за реального собеседника.

Можно провести интересную параллель между тестом Тьюринга и сегодняшним состоянием цифровой идентификации.

Руководитель направления глобальной информационной безопасности Citigroup Боб Блейкли нарисовал весьма занятную модель «столика на троих», иллюстрирующую проблему идентификации.

Итак, представьте себе «стол», за которым собираются интернет-банк, клиент и мошенник. Вам отводится роль интернет-банка, свет выключен, и ваша задача заключается в том, чтобы в ходе беседы определить, кто является клиентом, а кто мошенником. И клиент, и мошенник представляются как Джон Смит, родившийся 2 июля 1960 года. Вы продолжаете задавать вопросы. Однако и мошенник, и клиент весьма убедительно и безошибочно называют свой нынешний и прошлый адреса места жительства, дату рождения, девичью фамилию матери, прежние и текущие ипотечные и автокредиты, учебные заведения, которые они посещали, и любимые цвета.

Такую методику называют аутентификацией на основе знаний (Knowledge-Based Authentication, KBA). Идея ее заключается в том, чтобы задавать вопросы, ответы на которые знают только легитимные пользователи. Это должно упростить прохождение аутентификации клиенту и затруднить ее мошеннику. В действительности же, как ни парадоксально, задача усложняется для клиента и упрощается для мошенника, черпающего нужные сведения из социальных сетей и Интернета. Клиенты не могут пройти тест, например, потому, что забыли, у кого они оформляли последний кредит, мошенник не забывает ничего. Еще печальнее то, что легитимный пользователь не имеет никакого представления о том, что мошенник зарегистрирован в информационных системах под позаимствованными у него учетными данными.

Таково на сегодняшний день состояние цифровой идентификации.

Нужно искать способ, который заслуживал бы доверия и был достаточно эффективным с точки зрения провайдеров сервисов, оставаясь при этом удобным для клиентов. И прежде всего необходимо повышать уровень конфиденциальности частной жизни, а не снижать его.

Классический тест Тьюринга соответствовал предъявляемым к нему требованиям, если искусственному интеллекту не удавалось обмануть человека. Применительно к цифровой идентификации цель заключается в том, чтобы создать аналогичный тест, отвечающий требованиям в тех ситуациях, когда «темная сторона» Сети не может обмануть человека. Цифровая идентификация считается успешной, если человек сохраняет полный контроль над информацией, которую он предоставляет сервису. В настоящее время при оформлении подписки на какой-то сервис клиент должен сообщить определенные данные, которые подтверждали бы его идентичность и обеспечивали доступ к заданным ресурсам при повторных визитах. Чтобы процедура цифровой идентификации была более безопасной, необходимо убедиться в том, что объем и важность предоставляемой информации пропорциональны ценностям, которые вы предполагаете получить от указанного сервиса.

Примером успешного решения задач аутентификации, которое внесло немалый вклад в обеспечение безопасности глобальных платежных систем, являются чипованные карты стандарта EMV, отличающиеся устойчивостью к клонированию и подделке, а также простотой использования PIN-кода из четырех цифр. Банк и пользователь совместно следят за правомерностью использования карт и решением возникающих вопросов. Банковские системы, анализирующие поведение пользователя, оперативно выявляют нехарактерные для него операции и блокируют карты в случае их кражи или утери.

Важнейшая роль в надежной аутентификации отводится вовлечению пользователей в деятельность по совершенствованию защиты. Ключевое значение здесь имеют два условия: во-первых, пользователь должен своевременно обнаруживать появление проблемы, и, во-вторых, оперативно уведомлять о ней доверенный сервис (например, банк). Как правило, клиенты действительно сообщают о том, что сразу бросается в глаза, но зачастую игнорируют нехарактерные операции и мелкие детали, что позволяет злоумышленникам достаточно легко взламывать учетные записи и похищать информацию.

Какими особенностями должны обладать средства цифровой идентификации? Действия пользователей необходимо проектировать таким образом, чтобы они были достаточно простыми и предусматривали активное вовлечение клиентов, обеспечивая при этом надежную защиту от мошеннических транзакций.

Сервисы идентификации, созданные для вещей, мотивация к восстановлению которых у пользователей велика (среди них банковские карты, мобильные телефоны, водительские права), призваны остановить злоумышленников. Попытки выдать себя за легитимного клиента теряют смысл, если взломщикам приходится:

1) похитить пользовательское устройство;

2) пройти в нем процедуру аутентификации;

3) воспрепятствовать попыткам пользователя заблокировать потерянное устройство.

Система идентификации, спроектированная с учетом всего этого, прошла бы тест Тьюринга на идентичность.

Одной из модных тем сегодня является блокчейн – технология, обладающая достаточно высоким потенциалом для того, чтобы стать основополагающим элементом нового подхода к обеспечению конфиденциальности, безопасности и цифровой идентификации потребителей. Коммерческие компании и госструктуры всего мира со всей серьезностью рассматривают методологии ведения распределенного журнала, помогающие внести улучшения в самые разные области. Инновационные подходы предполагается использовать при разработке решений для нового поколения онлайн-сервисов, которые должны способствовать совершенствованию способов идентификации и подтвердить тезис о том, что ждать появления конфиденциальной и безопасной экосистемы цифровой идентификации осталось не так уж долго.

Андре Бойзен — директор по системам идентификации компании SecureKey Technologies

Исследователи из Бингемтонского университета предложили использовать показания электрокардиографа в качестве ключа для шифрования сведений о состоянии здоровья пациента.

По замыслу авторов идеи, пользователю можно было бы выдавать носимое устройство, непрерывно регистрирующее физиологические показатели и пересылающее врачам. При этом в числе прочего записывается электрокардиограмма, и система использует ее в качестве ключа при передаче всей информации. Так можно было бы исключить затраты на создание ключа шифрования, объясняют разработчики. По их словам, чтобы сформировать ключ, нужны сложные вычисления, на которые расходуется много электроэнергии, из-за чего уменьшается время работы устройства от батареи.

Аутентификация по ЭКГ менее надежна, чем другие виды биометрии, так как сигналы электрической активности сердца могут варьироваться в зависимости от уровня нагрузки на организм, психического состояния, возраста и заболеваний. Но по словам исследователей, ЭКГ может быть эффективным вторичным механизмом аутентификации, используемым в связке с основным.

Почти 70% руководителей ИТ-служб американских компаний, участвовавших в опросе, проведенном фирмой Wakefield Research по заказу компании SecureAuth, полагают, что в течение ближайших пяти лет они полностью откажутся от парольных методов аутентификации. Однако 42% опрошенных отмечают, что внедрению новых методов мешают привычки пользователей, а еще 42% говорят о сопротивлении со стороны руководителей компании.

Аутентификация с помощью пароля, несмотря на широкое распространение, слишком подвержена взлому, считают в SecureAuth. Эта компания, заказавшая опрос, разрабатывает альтернативные системы аутентификации, в которых применяются, как правило, комбинации разных методов, включающих, например, отсылку одноразовых кодов на мобильный телефон или электронный адрес пользователя. Используется и сканирование отпечатков пальцев и другие биометрические методы. Кроме того, можно принять во внимание, соответствует ли время и место, откуда пользователь пытается получить доступ к системе, его обычному поведению, и даже проанализировать его манеру набора текста и движений мыши. Одна из компаний-клиентов SecureAuth действительно намерена полностью отказаться от паролей, утверждают разработчики.

Часто в таких системах есть опция, при выборе которой сервис звонит вам на телефон и воспроизводит код голосом.

Прошлой осенью Свиннен выяснил, что если в Instagram ввести бизнес-номер, звонок на который который тарифицируется по увеличенной стоимости, и часть средств идет владельцу, сервис не отвергает его. Исследователь нашел способ заставить Instagram звонить ему каждые 30 секунд с помощью API — за 17 минут удалось заработать 1 британский фунт. В Facebook вначале заявили, что это не уязвимость, но впоследствии все же выплатили исследователю вознаграждение и устранили брешь.

В феврале тот разработал аналогичную атаку для сервисов Google. В компании в ответ на уведомление заявили, что имеют средства предотвращения таких злоупотреблений, хотя и не идеальные.

Самым «прибыльным», по словам Свиннена, оказался сервис Microsoft Office 365 — теоретически на нем можно было заработать миллионы. Корпорация тоже выплатила исследователю вознаграждение.

Как отмечает Свиннен, существует еще масса сайтов, пользующихся телефонной аутентификацией, и какие-то из них, возможно, тоже уязвимы.