Dispositivo biometrico al posto della password - sicurezza della firma

Question

Dispositivo biometrico al posto della password - sicurezza della firma

#1 da (2 voti)
#2 da (-3 voti)

5

Supponiamo che esista un algoritmo di bio-metrica per l'autenticazione dell'utente che confronta le impronte digitali con la firma di un utente salvata in un database (la funzione di confronto non è importante qui). Successivamente, c'è un dispositivo con un sensore di impronte digitali e memoria per contenere la firma dell'utente. Ora abbiamo due opzioni:

Inserisci algoritmo e firma sul dispositivo: il dispositivo esegue il calcolo e invia al PC le informazioni relative alla corrispondenza dell'impronta digitale acquisita con la firma
Inserisci firma solo sul dispositivo: il dispositivo invia impronte digitali acquisite e firma al PC che eseguirà l'algoritmo di autenticazione

In ogni caso i dati sono crittografati e c'è un protocollo di sicurezza usato nella comunicazione.

La domanda è: quale metodo è più sicuro?

Non ho familiarità con la sicurezza IT ma vedo un rischio con entrambi i metodi. Nel caso 2, qualcuno potrebbe intercettare la firma e crackare la sua crittografia. Nel caso 1, vedo un problema con un messaggio inviato al PC. Quali informazioni sono necessarie per confermare che questo messaggio proviene dal nostro dispositivo e che contiene una risposta di corrispondenza vera? La crittografia della connessione fornisce tali informazioni?

encryption protocols biometrics

posta tobix10 26.07.2015 - 12:50

fonte

2 risposte

Leggi altre domande sui tag encryption protocols biometrics

OpenBSD, fbtab e X Window [chiuso] Mac OS hackerato via Bluetooth?

score 2 · Answer 1

Generalmente, il metodo 1 è più sicuro in quanto è possibile garantire che l'immagine dell'impronta digitale non lasci mai lo scanner quindi non può essere copiata banalmente tramite software compromesso. È possibile utilizzare una tecnologia anti-manomissione per rendere molto costoso provare a estrarre i dati dal dispositivo.

La tua preoccupazione su come lo scanner dimostra al computer che l'impronta digitale reale viene scansionata normalmente viene eseguita rendendo il dispositivo un segreto. Ad esempio, quando viene registrata un'impronta digitale, lo scanner accetta anche la chiave segreta con l'host. Ogni volta che un utente deve essere autenticato, l'host chiede al dispositivo di eseguire alcune operazioni che è possibile solo con la conoscenza del segreto.

Un tale scanner è in genere collegato ad un altro hardware di sicurezza (come un TPM su PC o un processo di sicurezza sui telefoni) in modo che l'impronta digitale corretta attivi la chiave di sicurezza per la crittografia dei dati. Tutti questi sono gestiti al di fuori della CPU principale, quindi i dati non possono essere decodificati praticamente senza l'impronta digitale.

score -3 · Answer 2

La sicurezza in questa particolare forma di realizzazione è generalmente piuttosto bassa. Ma una proposta che potrei fare, è di eseguire un po 'di hashing all'interno del dispositivo di impronte digitali se possibile. Quindi il software nel PC otterrà l'hash come password. In questo modo le tue impronte digitali sono piccole più sicure e hai una password veloce e strong .

Modifica

Mi dispiace per questa spiegazione sbagliata. Quello che ho assunto è che stai costruendo il dispositivo a cui ti stai riferendo. Quindi ho proposto che il dispositivo potesse inviare un hash standard prodotto e salvato in caso di corretto riconoscimento delle impronte digitali. Non l'impronta digitale stessa! Quindi nessuna informazione sulle impronte digitali lascia l'hardware. Solo l'hash.