Czy można oszukać urządzenia biometryczne?

Odciski palców, tęczówka oka, wygląd twarzy, podpis czy nawet sposób chodzenia - to niepowtarzalne cechy człowieka, za pomocą których można go zidentyfikować lub zweryfikować jego tożsamość. Dane biometryczne coraz częściej strzegą dostępu do informacji, ale czy rzeczywiście są niemożliwe do sfałszowania?

O tym, czy można oszukać zabezpieczenia biometryczne i jaka może być przyszłość biometrii, mówi prof. Andrzej Pacut z Wydziału Elektroniki i Technik Informacyjnych Politechniki Warszawskiej i kierownik Pracowni Biometrii w Naukowej Akademickiej Sieci Komputerowej (NASK).

"Dotychczas w biometrii najbardziej skutecznymi metodami identyfikacji człowieka były odcisk palca i obraz tęczówki, a nieco mniej skutecznymi - inne starsze metody, tzn. obraz twarzy i odręczny podpis. Pojawiły się również nowe skuteczne metody bazujące na obrazie naczyń krwionośnych palców czy dłoni. Nieco mniej skuteczne są na razie odczyty kształtu dłoni, kształtu uszu czy głosu" - mówi prof. Andrzej Pacut.

Skuteczność tych technik zależna jest od badanej cechy biometrycznej i łatwości dokonywania pomiarów, ale również od trudności dokonania fałszerstw. Prof. Pacut opowiada, że stworzenie sztucznych odcisków palców jest bardzo proste. Wykonuje się je ze studentami w czasie ćwiczeń laboratoryjnych na Politechnice Warszawskiej.

"Wystarczy zrobić zdjęcie odciskom czyichś palców, np. zostawionych na szklance i wydrukować zdjęcie na folii. Barwnik drukarki na folii tworzy nierówności, analogiczne do odcisków palców. Folię taką wystarczy pokryć odpowiednią kleistą substancją i mamy gotowy odcisk palca" - tłumaczy naukowiec. Takie sztuczne linie papilarne da się rozpoznać oglądając z bliska palec. Ale, jak zaznacza naukowiec, wygląd palca jest bardzo rzadko kontrolowany przy pobieraniu odcisków. Rozwiązaniem może być nie tylko przestrzeganie tej procedury, ale też dokładniejsza analiza odcisku palca i dodatkowe badania, np. rozkładu porów skóry pomiędzy liniami papilarnymi. Urządzenia takie są już wprowadzane do użytku.

Sfałszować można również obraz tęczówki. Zdaniem prof. Pacuta wystarczy na przykład zaopatrzyć się w wydrukowane zdjęcie oka o rozdzielczości 600 dpi. Zdjęcie musi mieć dziurkę na źrenicę, aby na źrenicy widoczne były odblaski. Kiedy przyłoży się zdjęcie tego oka do swojego oka, jest duża szansa, że urządzenie nas "przepuści". Prof. Pacut zdradza, że zdjęcie oka może być szybciej akceptowane niż oko prawdziwe, które czasem bywa np. źle oświetlone czy zasłonięte przez rzęsy. Jeśli urządzenie jest nadzorowane przez człowieka, trudniej o oszustwo takiego typu, dlatego Pacut przestrzega przed pozostawianiem takich zabezpieczeń bez dodatkowej kontroli.

W najnowszych urządzeniach do rozpoznawania tęczówki stosowane są dodatkowe zabezpieczenia przed fałszerstwami, np. rozbłyski światła, dzięki którym urządzenie bada rozszerzanie się i kurczenie źrenicy. Taka dodatkowa funkcja sprawia, że urządzenie w czasie pomiaru rozpozna nie tylko zdjęcie oka, ale też osobę z nadrukiem tęczówki na spreparowanych szkłach kontaktowych.

Jeśli chodzi o podpis tradycyjny, który również jest daną biometryczną, przy jego analizie przez komputer szansa na pomyłkę wynosi kilkanaście procent. Prof. Pacut wie jednak, jak zmniejszyć możliwość pomyłki do mniej niż 1 procenta. Badacz wraz ze swoim zespołem oprogramował tablet, za pomocą którego można w czasie bieżącym rozpoznać prawdziwość podpisu. Tablet ten mógłby służyć jako podkładka w czasie podpisywania rachunku przy płatności kartą. Zaraz po złożeniu podpisu informowałby, czy podpis jest właściwy. Tablet taki pozwala na analizę nie tylko wyglądu podpisu, ale również czasu podpisywania, nacisku czy nachylenia pióra, a więc znacznie większej liczby danych. Dane te mogłyby być zapisane na karcie płatniczej i nie musiałyby być gromadzone w żadnej instytucji.

Dane biometryczne należą do tzw. "danych wrażliwych", na których gromadzenie i przetwarzanie zgodę musi wyrazić Generalny Inspektor Ochrony Danych Osobowych (GIODO). GIODO ma jednak zastrzeżenia co do używania danych biometrycznych przy kontroli czasu pracy, nawet za zgodą pracowników. Profesor Pacut zaznacza jednak, że inne relacje mogą obowiązywać np. między firmą a klientem, kiedy zgoda na udostępnienie danych jest rzeczywiście dobrowolna.

"Urządzenia biometryczne są stosowane w Stanach Zjednoczonych np. przy wchodzeniu dzieci do autobusów szkolnych, przy wydawaniu posiłków studentom czy przy identyfikacji osób wychodzących z sal widzeń w więzieniach. Dodatkowo odczyt geometrii twarzy może być stosowany na lotniskach do wychwytywania osób, które mogą być na listach poszukiwanych. W Indiach natomiast biometria zostanie wykorzystana w całkiem inny sposób - opowiada kierownik Pracowni Biometrii - Proponuje się, by każdy mieszkaniec otrzymał numer identyfikacyjny, odpowiadający polskiemu PESEL-owi. Aby jednak nie była w tym numerze zawarta data urodzin i aby stworzenie takiego numeru nie wymagało łączności z centralnym systemem, do wygenerowania tych liczb posłużą łącznie odciski wszystkich palców, obraz twarzy i wzór tęczówki."

Warunkiem niezbędnym do rozwoju biometrii jest akceptacja społeczeństwa. Wielu ludzi jest niechętnych do ujawniania swoich danych - przekazywania zdjęć, odsłaniania twarzy, czy np. brzydzi się dotykania urządzeń, których dotykało wiele innych osób. Pacut mówi, że kiedy w Polsce były próby wprowadzania terminali biometrycznych do kontroli czasu pracy, były one niszczone przez pracowników. "Ważne jest to, aby pamiętać o granicy między tym, co jest dobre dla pojedynczego człowieka, a tym, co dobre dla społeczeństwa. Chciałbym pracować nad urządzeniami, które ułatwiają działanie pojedynczych osób, a nie służą tylko usprawnieniu prac instytucji" - zaznacza profesor.

Jeśli chodzi o przyszłość biometrii, prof. Pacut upatruje ją w zwiększaniu skuteczności już stosowanych metod: "Aby biometria była stosowana na większą skalę, konieczne jest wyeliminowanie możliwości fałszerstw - to ma być biometria, a więc mierzenie prawdziwego organizmu, a nie zdjęć czy kleju na rękach."

Potencjał ma też, według naukowca z Politechniki Warszawskiej i NASK, łączenie kilku już istniejących metod. W ten sposób w jednym urządzeniu mogłyby być analizowane np.: układ linii na dłoni, układ naczyń krwionośnych wewnątrz niej oraz jej geometria. Potencjał naukowiec widzi też w innych badaniach biometrycznych, np. skanowaniu trójwymiarowym twarzy, w rozpoznawaniu chodu czy głosu danej osoby. Ostatnie dwa podejścia mogłyby znaleźć zastosowanie w telefonach komórkowych, które rozpoznawałyby swojego właściciela po jego ruchach czy po głosie.

PAP - Nauka w Polsce