Insieme a un collega abbiamo discusso del metodo dell'autenticazione biometrica e di come funziona.
Entrambi siamo interessati solo alla sicurezza, ma lungi dall'essere un esperto dal punto di vista tecnico. Pertanto, ti stiamo contattando.
Il seguente caso dovrebbe servire come esempio:
Un dipendente desidera accedere ad un'area riservata e deve autenticarsi tramite impronta digitale per farlo. Quindi, mette il dito sullo scanner che ovviamente analizza le sue minuzie e lo confronta con le minuzie note per quell'utente. Se il risultato si trova all'interno di un corridoio di errore accettabile, lo scanner segnala il meccanismo dello sportello da sbloccare.
Finora, tutto bene.
Ma come funziona da un lato pratico e tecnico?
- In che modo lo scanner memorizza le informazioni di autenticazione? Supponiamo che il sistema analizzi probabilmente l'impronta digitale e calcoli un valore specifico del fornitore da quella scansione. Questa informazione viene quindi sottoposta a hash e archiviata in qualche database / contenitore.
- In che modo lo scanner confronta le informazioni in caso di richiesta accesso? Il dispositivo di scansione stesso produce un valore di hash e lo invia a un server di autenticazione? È possibile l'autenticazione offline come il passaggio dei valori di hash direttamente sul dispositivo di autenticazione?
Vedo i seguenti rischi:
- Appena riesco a mettere le mani sul valore dell'hash, è una questione di tempo finché il problema di fondo per l'algoritmo di hashing sarà affrontato e posso ricalcolare i dati reali delle impronte digitali e quindi potrebbe copiare quella persona fintanto che il venditore (produttore del dispositivo) non cambia il suo modo di creare i dati delle impronte digitali.
- Posso intercettare la trasmissione dei valori tra dispositivo e server.
Esistono altri attacchi noti su tali dispositivi, ad eccezione degli attacchi contraffatti come la simulazione di un'impronta digitale per ingannare l'attività di scansione stessa? Siamo più concentrati sul lato tecnico.
Qualsiasi idea su questo argomento sarebbe molto apprezzata.