Question L'authentification par empreinte digitale est-elle sécurisée?


L'authentification du système d'exploitation est-elle plus sécurisée à l'aide du lecteur d'empreinte digitale qu'un mot de passe (fort)? Cela peut-il être piraté facilement?

Au fait, où est-ce que l'empreinte digitale est stockée? Sur la puce matérielle ou sur le système de fichiers?

Est-ce que cela dépend du matériel du lecteur?

Est-ce que cela dépend de l'implémentation de la bibliothèque / du système d'exploitation?


24
2018-05-20 21:21


origine


Question intéressante +1 - splattne


Réponses:


Le problème avec la plupart des systèmes biométriques est qu’ils sont intrinsèquement «bruyants», ce qui nécessite un logiciel permettant de filtrer le bruit au vrai signal. Un mot de passe est quelques octets où l'exactitude doit être parfaite. Une empreinte biométrique, ou le balayage de l'iris, de la rétine ou de la voix doit avoir un seuil «suffisamment proche», car la biométrie change de jour en jour ou de semaine en semaine. Vaincre de tels systèmes tire parti de la nature «assez proche» de la technologie d'authentification biométrique.

Pour cette raison, une simple biométrie est, à mon avis, moins sécurisée qu'un mot de passe correctement sélectionné. Et cela ne rentre même pas dans les détails de mise en œuvre tels que les possibilités de capture / lecture du signal entre le scanner et l'authentificateur, ou les capteurs de conductivité cutanée facilement renversés (lécher le papier!).

Utilisé conjointement avec un mot de passe, il peut améliorer la sécurité. Mais comme je l'ai dit, il ne devrait pas être utilisé au lieu d'un mot de passe.


11
2018-05-20 22:13



Je pense que cela est très probablement vrai dans un environnement professionnel bien discipliné. Cependant, dans de nombreux environnements (la plupart?) Des entreprises, les mots de passe ne sont pas pris au sérieux: ils sont systématiquement laissés sur des notes attachées aux murs des compartiments, sous les claviers, dans les tiroirs de bureau, etc. Selon la culture de l'entreprise, les administrateurs peuvent avoir peu ou pas d'autorité pour appliquer de manière proactive les politiques de sécurité. Il n’est pas difficile d’imaginer des environnements dans lesquels même une authentification par empreinte digitale à facteur unique offrirait une sécurité accrue par rapport à des mots de passe correctement sélectionnés (mais mal protégés). - Skyhawk


La sécurité du scanner dépend en grande partie de la qualité du matériel. Je suppose que la plupart des scanners fournis avec les ordinateurs portables de nos jours sont assez bon marché et ne sont pas conçus pour des situations de haute sécurité. Même les scanners de qualité supérieure destinés aux serrures de porte ne sont pas insensibles à la duplication d’empreintes digitales. Ce Clip Mythbusters le prouve.

Comme Harley l'a dit, plusieurs défis sont toujours plus sûrs qu'un seul défi.


14
2018-05-20 21:48



+1 pour le clip. Cet épisode a démystifié un tas de choses pour moi. - Dana the Sane
Bien que, gardez à l'esprit ... dans ce clip ... c'était un processus de trois jours pour qu'ils piratent le verrou. Si c'est quelque chose d'extrêmement sensible et que vous avez besoin d'une bonne sécurité, vous feriez mieux d'utiliser un lecteur d'empreintes digitales qui vous permettra d'exiger une empreinte digitale et un mot de passe. - Brett G


Les empreintes digitales sont généralement plus sécurisées qu'un mot de passe, mais elles sont toutes relatives.

Mais vous savez quoi de plus sûr qu'une empreinte digitale? Une empreinte digitale et Un mot de passe. Quelque chose que vous avez, plus quelque chose que vous savez, est bien plus sûr que seul.


10
2018-05-20 21:34





Le problème avec toutes les données biométriques est que lorsque votre matériel de sécurité (comme vos empreintes digitales, votre rétine ou votre ADN) est compromis, il est très difficile de le modifier.

La biométrie est une forme d'identification, pas d'authentification.

Modifier: Suite à cela, j'ai trouvé cet excellent article: Authentification et identification.


4
2018-05-20 23:49





  • L'authentification du système d'exploitation est-elle plus sécurisée à l'aide du lecteur d'empreinte digitale qu'un mot de passe (fort)? Cela peut-il être piraté facilement?

À un moment donné, cela a été pensé. Depuis ce temps, plusieurs méthodes ont été développées pour défaite les versions moins chères de ces scanners.

S'il est utilisé dans le cadre d'un processus d'authentification à deux facteurs ou à plusieurs facteurs, alors je pense qu'il améliorera la sécurité en soulevant la difficulté d'entrée. Voici quelqu'un discuter ce.

  • Au fait, où est-ce que l'empreinte digitale est stockée? Sur la puce matérielle ou sur le système de fichiers?

Typiquement le système de fichiers. De nombreux scanners transforment simplement l'impression en un hachage transmis au PC hôte. Kronos Touch ID est une solution d'entreprise destinée à être utilisée comme une horloge; il stocke les données dans une table Paradox (!) en tant que hacher, il est donc assez clair d'où vient leur marge bénéficiaire avec cet appareil ...

  • Est-ce que cela dépend du matériel du lecteur?

Il y a beaucoup de lecteurs, chacun avec ses propres méthodes. Bien que je ne puisse parler avec aucune autorité à ce sujet, il semble que le "oui" soit une très bonne réponse à cette question.

  • Est-ce que cela dépend de l'implémentation de la bibliothèque / du système d'exploitation?

Encore une fois, je pense que cela dépend du type de lecteur. Certains transmettent en réalité plus qu'un hachage (l'image d'empreinte digitale réelle), alors que d'autres ne le font pas.


4
2018-05-20 22:42





Bruce Schneier a écrit une excellente analyse de la biométrie dans laquelle il explore les aspects positifs et négatifs de l'utilisation de techniques telles que les lecteurs d'empreintes digitales pour l'authentification. Il souligne que les empreintes digitales sont difficiles à créer, mais faciles à voler. Personnellement, la semaine que j'ai passée en lock-out dans ma propre salle de serveurs après avoir assez mal coupé mon doigt pour abîmer mon empreinte digitale suffit à me débarrasser de mes lecteurs d'empreintes digitales.

Je reviendrai et éditer cette URL dès que je ne suis pas un "nouvel utilisateur"

http://www.schneier.com/blog/archives/2009/01/biometrics.html


3
2018-05-27 13:57



Le même problème peut apparemment se produire avec certains traitements contre le cancer: timesonline.co.uk/tol/news/uk/health/article6368231.ece - David Hicks
C'est pourquoi vous devez enregistrer tous vos doigts avec l'appareil. - Brett G


Personnellement, je n'aime pas trop la biométrie. Si je dépensais de l'argent pour un système d'empreinte digitale, je préférerais utiliser une PKI et un mot de passe + certificat pour ID.


1
2018-05-20 21:57



+1 pour une solution plus sécurisée qui n'implique pas que mon doigt soit coupé lorsque M. Mafia souhaite obtenir les données de mon entreprise. - Commander Keen


En fonction de l'application et du niveau de sécurité requis, la biométrie peut avoir un défaut fatal. Supposons que les méchants veulent vraiment tout ce qui est protégé par le système de sécurité et sont prêts à kidnapper et / ou tuer quelqu'un pour l'obtenir.

L’authentification du système d’exploitation est-elle plus sécurisée par   en utilisant un lecteur d'empreintes digitales qu'un   Mot de passe (fort)? Ça peut être piraté   facilement?

Oui, il est assez facile de pirater un doigt d'une personne autorisée et de l'utiliser pour passer le lecteur d'empreintes digitales. Ou bien, les méchants peuvent mettre la personne sous contrainte et la forcer à mettre le doigt sur le scanner.

D'autre part, un système de mot de passe peut être configuré avec un mot de passe pour donner accès, et un autre mot de passe "forcé" non seulement pour refuser l'accès, mais également pour demander de l'aide s'il est entré.

Personnellement, je ne travaille sur aucun système si important que je voudrais perdre un doigt dessus. Si quelqu'un veut assez, je ne veux même pas qu'ils soient tenté prendre mon doigt ...


1
2018-05-21 04:07





Comment le scanner d'empreintes digitales est-il connecté? Le scanner que vous envisagez utilise-t-il un type de cryptage entre le scanner et l'ordinateur? Sinon, qu'est-ce qui m'empêcherait d'insérer un périphérique entre votre scanner et votre ordinateur, puis de capturer votre empreinte digitale?

Vous ne pouvez pas vraiment changer votre empreinte digitale. Si je peux capturer une empreinte digitale de manière à pouvoir simplement envoyer les mêmes données encore et encore, votre système est en panne.


0
2018-05-20 22:03