Анализ систем защиты информации, построенных на принципах биометрии

     Оптические  датчики сканируют отпечаток  в виде изображения и используются главным образом в приложениях  массового применения. Поскольку  погодные условия не влияют на работу этих устройств, их устанавливают на пограничных пропускных пунктах  или под открытым небом, к примеру  на стадионах или в парках.

     Наиболее  широко распространены ультразвуковые сканеры, которые обследуют не только поверхность кожи, но и внутренний слой и тем самым предлагают максимальную защиту от подделки. Они позволяют  свести к минимуму вероятность мошенничества  путем намеренного нанесения  травмы.

     Главный принцип биометрических приложений: сначала устанавливается и регистрируется личность пользователя на основе его биометрических данных, к примеру отпечатков пальцев — этот процесс называется регистрацией. Для этого сканер проверяет приложенный палец трижды. Считанные биометрические особенности сохраняются централизованно или децентрализованно — на смарт-карте, в частности.

     Затем в зависимости от установленной  системы выбирается один из двух вариантов  для опознания человека — идентификацию  или верификацию. В первом случае, при идентификации, пользователь не сообщает свои личные сведения. После  приложения пальца к специально предназначенной  для этого поверхности начинается поиск аналогичного отпечатка.

     В случае верификации, напротив, пользователь сообщает идентификационную информацию при помощи смарт-карты, пароля или  удостоверения. Система сопоставляет их с распознанными признаками — с тем же отпечатком пальца. Примером может служить биометрическое удостоверение, когда система сравнивает владельца удостоверения с

сохраненными  на документе данными. Преимущества такого подхода заключаются в  том, что он позволяет обеспечить как всеобъемлющую защиту личных данных, так и высокий уровень  безопасности.  
 
 
 
 
 

2. КЛАССИФИКАЦИЯ И ОСНОВНЫЕ ХАРАКТЕРИСТИКИ СОВРЕМЕННЫХ БИОМЕТРИЧЕСКИХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ

 

    Все биометрические средства характеризуются  высоким уровнем безопасности, прежде всего потому, что используемые в  них данные не могут быть утеряны  пользователем, похищены или скопированы. В силу своего принципа действия многие биометрические системы пока еще  отличаются сравнительно малым быстродействием  и низкой пропускной способностью.

    Японская компания Fujitsu, в преддверие выставки CES, анонсировала инновационный продукт — компьютерную мышь, основанную на биометрических технологиях.

    Биометрическая  система распознавания (основана на сравнении данных о кровяных тельцах  в сосудах человека с образцом из базы) не новинка и разработана  довольно давно. Прототип подобного  можно увидеть в банковской системе.

    Компания Fujitsu решила выпустить технологию «в массы». Так и появилась компьютерная мышь Fujitsu PalmSecure LOGONDIRECTOR, мышь со встроенным биометрическим сканером, которая может  защитить компьютер и хранящуюся в нём информацию от несанкционированного доступа. [http://www.compress.ru].

    Сенсоры сканируют ладонь и передают изображение  в компьютер, где специальное  ПО (поставляется в комплекте с  мышью) сравнивает полученное изображение  со снимками, хранящимися в базе. Если всё в порядке, ПО разрешает  работу с компьютером.

    Внешне  мышь не сильно отличается от обычной. Ко всему, если пользователь не хочет, чтобы сенсоры в процессе работы периодически проверяли его руку, то существует вариант раздельного  устройства: мышь + сканер.

    Классификация биометрических средств защиты информации, представленных на российском рынке, по биометрическим признакам, принципам  действия и технологии реализации приведена  на рис. 4.

    В число современных биометрических систем контроля доступа к информации входят системы проверки по голосу, форме кисти руки, рисунку кожи пальцев, сетчатке или радужной оболочке глаза, фотографии лица, термограмме  лица, динамике подписи, фрагментам генетического  кода и др. 
 
 
 
 
 
 
 
 
 

 

 

 

Рис. 4. Классификация современных биометрических средств защиты информации 
 
 
 
 
 
 
 

Глава 2. Анализ систем защиты информации, построенных  на принципах биометрии

2.1. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ НА ОСНОВЕ ИДЕНТИФИКАЦИИ ЛИЧНОСТИ

      Наибольшее  применение в настоящее время  нашли биометрические системы защиты информации, использующие идентификацию  личности по отпечатку пальца.

     Этот  признак используется в качестве контрольного образа. Записываемый в  виде контрольного образа трехмерный отпечаток пальца сканируется оптической системой, анализируется, оцифровывается, хранится в памяти терминала или  в памяти управляющего компьютера и  используется для проверки каждого, кто выдает себя за авторизованного  пользователя. При этом в памяти устройства не содержится реальных отпечатков пальцев, что не позволяет их украсть  нарушителю. При совпадении предъявляемого и контрольного отпечатков пользователь получает доступ в систему.

     В настоящее время, как в России, так и за рубежом, работы по созданию новых БСЗИ, поиску новых биометрических технологий интенсивно развиваются. Ведутся  работы по созданию технических средств  идентификации, использующих такие  индивидуальные признаки как код  ДНК, характеристики кардиограммы, запаха, походки и др. Однако указанные  средства обладают ещё целым рядом  недостатков (нестабильность результатов, недостаточная надёжность и т. п.) и пока не готовы для широкого внедрения.

     Основными формами практического внедрения рассмотренных средств биометрического контроля доступа к информации в настоящее время являются:

1. электронная торговля;
2. страхование;
3. защита систем связи
4. общий контроль доступа к информационным объектам (мобильным и стационарным)
5. контроль доступа в компьютерные и сетевые системы
6. контроль доступа в различные информационные хранилища, банки данных и др.
7. идентификация личности, паспортизация.

     Основополагающая  тенденция развития биометрических средств идентификации состоит  в постоянном снижении их стоимости  при одновременном улучшении  технических и эксплуатационных характеристик.

     В статье 11 Федерального закона от 27.07.2006 N 152-ФЗ № «О персональных данных» (принят ГД ФС РФ 08.07.2006) [приложение 2] сказано:

     1. Сведения, которые характеризуют  физиологические особенности человека  и на основе которых можно  установить его личность (биометрические  персональные данные), могут обрабатываться  только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

     2. Обработка биометрических персональных  данных может осуществляться  без согласия субъекта персональных  данных в связи с реализацией  международных договоров Российской  Федерации о реадмиссии, в связи  с осуществлением правосудия, а  также в случаях, предусмотренных  законодательством Российской Федерации  о безопасности, законодательством  Российской Федерации об оперативно-розыскной  деятельности, законодательством Российской  Федерации о государственной  службе, уголовно-исполнительным законодательством  Российской Федерации, законодательством  Российской Федерации о порядке  выезда из Российской Федерации  и въезда в Российскую Федерацию.

    В статье 19 (меры по обеспечению безопасности персональных данных при их обработке) Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» указывается:

    1. Оператор при обработке персональных  данных обязан принимать необходимые  организационные и технические  меры для защиты персональных  данных от неправомерного или  случайного доступа к ним, уничтожения,  изменения, блокирования, копирования,  распространения персональных данных, а также от иных неправомерных  действий.

    2. Правительство Российской Федерации  устанавливает требования к обеспечению  безопасности персональных данных  при их обработке в информационных  системах персональных данных, требования  к материальным носителям биометрических  персональных данных и технологиям  хранения таких данных вне  информационных систем персональных  данных.

    3. Контроль и надзор за выполнением  требований, установленных Правительством  Российской Федерации в соответствии  с частью 2 настоящей статьи, осуществляются  федеральным органом исполнительной  власти, уполномоченным в области  обеспечения безопасности, и федеральным  органом исполнительной власти, уполномоченным в области противодействия  техническим разведкам и технической  защиты информации, в пределах  их полномочий и без права  ознакомления с персональными  данными, обрабатываемыми в информационных  системах персональных данных.

    4. Использование и хранение биометрических  персональных данных вне информационных  систем персональных данных могут  осуществляться только на таких  материальных носителях информации  и с применением такой технологии  ее хранения, которые обеспечивают  защиту этих данных от неправомерного  или случайного доступа к ним,  уничтожения, изменения, блокирования, копирования, распространения.

    Таким образом, применение биометрических средств  защиты информации не противоречит закону «О персональных данных», сели получено письменное согласие человека, информация о котором будет использоваться в целях защиты информации.

2.2. ПРАКТИЧЕСКОЕ ПРИМЕНЕНИЕ БИОМЕТРИЧЕСКИХ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ

     Оптимальный выбор БСЗИ из средств, представленных на рынке, является достаточно трудной  задачей, для решения которой  в настоящее время используются следующие основные технические  характеристики:

• вероятность  несанкционированного доступа; 
• вероятность ложного задержания; 
• пропускная способность (время идентификации).

     С учетом вероятностного характера основных параметров большое значение имеет  объем выборки (статистика), при котором  произведены измерения. К сожалению, эта характеристика обычно не указывается  фирмами-производителями в сопроводительных и рекламных документах, что еще  больше затрудняет задачу выбора. В  приложении 4 приведены среднестатистические значения основных технических характеристик БСЗИ, отличающихся по принципу действия.

     Анализ  российского рынка БСЗИ показал, что в настоящее время на нем  представлен весьма широкий спектр устройств идентификации по биометрическим признакам, отличающихся друг от друга  по надежности, стоимости, быстродействию. Основополагающей тенденцией развития биометрических средств идентификации  является постоянное снижение их стоимости  при одновременном улучшении  их технических и эксплуатационных характеристик. 

1.Наибольшее применение в настоящее время нашли биометрические системы защиты информации, использующие идентификацию личности по отпечатку пальца.

     В частности, системы контроля доступа  к информации TouchLock американской фирмы Identix базируются на регистрации такого индивидуального признака человека, как отпечаток пальца руки. Записываемый в виде контрольного образа трехмерный отпечаток пальца сканируется оптической системой, анализируется, оцифровывается, хранится в памяти терминала или  в памяти управляющего компьютера и  используется для проверки каждого, кто выдает себя за авторизованного  пользователя. При этом в памяти устройства не содержится реальных отпечатков пальцев, что не позволяет их украсть  нарушителю. Типичное время занесения  в память одного контрольного отпечатка  пальца составляет 30 с. Каждый занесенный в память терминала авторизованный пользователь набирает PIN-код на клавиатуре терминала TouchLock и проходит стадию проверки идентичности, занимающую приблизительно 0,5-2 с. Под одним PIN-кодом обычно хранится образец отпечатка одного пальца, но в некоторых случаях возможна аутентификация по отпечаткам трех пальцев. При совпадении предъявляемого и  контрольного отпечатков терминал подает сигнал на исполнительное устройство: электрозамок, шлюз и т. д. Для организации  сетевой работы фирмой Identix разработано  специальное программное обеспечение (система Fingerlan III). На российском рынке указанные биометрические системы в настоящее время предлагаются компанией Trans-Аmeritech.