Итак, пока миллионы "яблочных" фанатов ломали голову, куда Apple собирается установить сканер отпечатка пальца в своем новом флагмане, сама компания на своей последней презентации, совершенно неожиданно ответила на этот вопрос: никуда! То есть сканера отпечатка в новом iPhone X нет... вообще... Вместо него пользователям предложили нечто совершенно новое - технологию FaceID.
FaceID - это новый способ разблокировать телефон путем распознавания лица пользователя. Причем, как уверяет Apple, в отличие от простого распознавания черт лица или сканирования радужной оболочки глаза, как у нового флагмана Samsung, которое легко "взломать" приличной фотографией, технология Apple создает трехмерную математическую модель лица пользователя и распознает его особенности исключительно с помощью нейронных самообучающихся алгоритмов.
Хотя, "простым смертным" про все эти премудрости знать, как бы, и не обязательно. А просто - показать смартфону свое лицо, тем самым его разблокировав. Но все ли так просто, как выглядит со стороны? Давайте разберемся...
На момент написания данной статьи никаких серьезных сторонних тестов технологии Face ID не проводилось, равно как и попыток и способов ее взлома. А потому давайте исходить из раннего опыта работы различных систем распознавания лиц и других форм биометрической идентификации в целом.
Исторически биометрическая идентификация была небезопасной. Все потому, что любые камеры можно обмануть, голоса можно записать, а отпечатки пальцев - скопировать разными способами.
И если в ряде стран, включая США, полиция может только юридически заставить вас использовать ваш отпечаток пальца, чтобы разблокировать телефон, то с Face ID и ей подобным все еще проще - полицейский может "показать" вас вашему же телефону, чтобы разблокировать его даже против вашей воли.
А потому, если вы цените безопасность своих данных - электронную почту, учетные записи социальных сетей, семейные фотографии, историю каждого места, где вы когда-либо были с ваши телефоном, - тогда вам лучше изначально забыть про биометрическую идентификацию. Вместо этого используйте код доступа, чтобы разблокировать телефон.
Намного проще поменять свой пароль, чем изменить свое лицо
Кстати, вот отличная сцена из фильма 2007 года "Ультиматум Борна", где персонаж Мэтта Дэймона легко обходит 2-факторную биометрическую идентификацию на сейфе:
Несмотря на то, что этому фильму уже 10 лет, он отлично и вполне актуально иллюстрирует некоторые проблемы, присущие биометрической идентификации.
На сегодняшний день сколько существует ваших фотографий? А недавних? А лица? Наверняка - немало. И даже если вы подумали, что это всего лишь фотографии, а Face ID нужен "3D-слепок" лица, то не забывайте, что любое 3D-изображение формируется из двухмерных сканов объекта, в том числе - лица, сделанных с разных ракурсов. Сколько таких картинок с вами можно набрать? Вы уверены, что не соберется достаточно, чтобы "сшить" их вместе и сделать 3D-модель с точностью, необходимой для взлома Face ID, со всеми его инфракрасными подсветками и и системой точечной проекции?
На самом деле, это - всего лишь вопрос времени. Рано или поздно (а с нынешними технологиями и ушлыми "айтишниками", скорее - рано) появятся надежные способы взломать как Face ID от Apple, так и другие, подобные ей, системы, как уже взломали разблокировку Samsung, включая систему сканирования радужной оболочки глаза.
Да, друзья. То, в чем мы были так уверены еще совсем недавно, тоже можно взломать, причем для этого не нужно никаких ультра-секретных и дорогих приборов и технологий.
В радужной оболочке глаза человека находятся миллионы клеток составляющих уникальный узор, что, казалось бы, делает глаз - неплохим кандидатом для биометрической идентификации.
Однако вот как активные исследователи безопасности, еще в мае этого года, смогли обойти защитные механизмы сканера радужной оболочки в Samsung Galaxy 8. Причем для этого им понадобился лишь цифровой фотоаппарат, принтер и контактные линзы.
Давайте теперь сделаем шаг назад и рассмотрим, казалось бы, самый верный и исключительно надежный биометрический идентификатор: вашу ДНК.
На самом деле ваша ДНК, как и любая другая - это просто длинная строка данных. Геном человека составляет 3 миллиарда пар оснований. Вы сами могли бы хранить запись вашего генома на жестком диске вашего ноутбука или даже в памяти телефона, так как это - файл объемом менее гигабайта или одного эпизода сериала "Игра престолов". Не удивляйтесь, пресловутые суперкомпьютеры, применяющиеся в исследовании ДНК, необходимы только для расшифровки ее кода, не не для его хранения.
Кроме того, сегодня технология секвенирования чьего-то генома стала очень дешевой, и ее стоимость продолжает падать намного быстрее, чем затраты на вычисления в целом.
Таким образом, если бы последовательность вашей ДНК просочилась в открытый доступ, ее было бы довольно сложно изменить, как изменить ваш голос, отпечатки пальцев или структуру вашего лица. А значит вы сами, в некотором роде, перестали бы быть уникальным для систем биометрической идентификации.
Поэтому, никогда не полагайтесь на биометрическую идентификацию. Да, это удобно, но небезопасно. А потому - используйте числовой пароль.
Хороший пароль почти невозможно угадать и, при необходимости, - легко сменить
Разве что, его бывает сложно запомнить самому, но это уже - цена надежности.
Например, с помощью iPhone вы получаете только 10 попыток разблокировать телефон кодом доступа.
Предположим, что ваш пароль доступа представляет собой 4-значный цифровой PIN-код. А это, между прочим, 104 возможных комбинаций. Другими словами, - у кого-то, кто пытается разблокировать ваш телефон, есть всего один шанс на тысячу попыток, чтобы это сделать.
Это может выглядеть не так убедительно, как шанс "один на миллион", которые Apple озвучивает в отношении своей технологии Face ID, поскольку именно такова вероятность того, что кто-то может выглядеть достаточно похожим на вас, чтобы разблокировать ваш iPhone. Однако с вашим числовым паролем злоумышленник не имеет вообще ничего общего, а потому, если вам пароль - действительно случайный набор цифр, то это сделает его намного более безопасным, чем FaceID.
Вот 20 наиболее распространенных 4-хзначных числовых паролей. Обязательно избегайте их использования, чтобы максимизировать безопасность вашего смартфона.
И если вам нужен собственный генератор случайных паролей, вставьте вот такую строку в консоль jаvascript вашего браузера (ищите в меню пункт "Инструменты разработчика") и нажмите "Ввод":
Получится четырехзначный пароль, который придумали даже не вы сами. Не понравился - введите команду еще раз. Только не забывайте, что те, кто вас хорошо знает, могут догадаться о вашем любимом наборе чисел и ввести их в разных комбинациях. А потому - выбирайте первое попавшееся.
Большинство телефонов, включая iPhone, поддерживают многозначные коды доступа. Каждая дополнительная цифра дает вам еще один математический порядок для дополнительной безопасности. Но учитывая, что вы будете вводить свой пароль много раз за день, четыре цифры, пожалуй, наиболее практичный размер для него.
Для ясности: никто юридически (не считая особого распоряжения суда), не может заставить вас сменить ваш пароль. Этот код доступа существует в вашей голове, а вы - один. Это - ваша собственность и не может использоваться для доступа к вашим данным, если вы добровольно откажетесь их открыть.
Безопасность и душевное спокойствие, которые вы получаете от вашего кода доступа, стоят тех двух секунд, что необходимы для его ввода.
Пути развития для биометрической идентификации
Вместо, сложившегося сейчас, подхода - "все или ничего", то есть, вы,- либо - аутентифицированы, либо - нет, производители устройств должны применять многоуровневый подход, требующий разных уровней аутентификации для доступа к различным приложениям и данным.
Это похоже на традиционный контроль доступа на основе предоставляемых прав в программном обеспечении. И телефоны, кстати, уже делают это с экранами блокировки.
Например, по умолчанию в iOS вы можете читать входящие текстовые сообщения без разблокировки телефона. Но, всякий раз, когда вы пытаетесь купить что-то в App Store, по умолчанию iOS требует ввести еще более длинный пароль для подтверждения вашей покупки.
Что-то вроде Face ID можно использовать для разблокировки вашего "читательского" разрешения на использование наименее личных приложений, которые вы используете, например, вашу электронную библиотеку или список музыкальных треков.
Однако, когда вам потребуется прочитать или написать электронное письмо, отправить длинный пост в соцсеть или короткий твит в мессенджер, только тогда ваш телефон может потребовать ввода пароля.
Подобный сценарий в значительной степени касается проблемы "Мне нужно разблокировать мой телефон по 80 раз в день", что, вероятно, является основной причиной, по которой 89% пользователей iPhone используют сканер отпечатка TouchID.
Вышеописанная доработка программного обеспечения может использоваться для всех iPhone - в том числе тех, которые уже имеются в распоряжении пользователей. И это сделает их намного более безопасными.
Да, технология биометрической идентификации, безусловно, привлекает своей простотой и своеобразной экзотикой, навеянной, главным образом, шпионскими и фантастическими фильмами. Но, посудите сами - можно ли позволять разблокировать весь телефон, включая все ваши данные, учетные записи в социальных сетях и даже банковские счета, которые в нем теперь тоже хранятся, всего лишь только вашим лицом?
На данный момент, ответ один: продолжать использовать коды доступа, будучи точно уверенным, что они - максимально секретные для всех, кроме вас самих.
Обновлено!
Face ID взломали!
Всего через 9 дней после выпуска iPhone X вьетнамские исследователи безопасности уже нашли надежный способ обмануть Face ID, чтобы разблокировать iPhone. Они используют силиконовую маску, натянутую на рамку, распечатанную на 3D-принтере, с нанесенными на нее печатными изображениями глаз и рта.
Говорят, что сделать маску им стоило всего около 150 долларов.
Вот видеодемонстрация взлома защиты FaceID (90-секундное видео):
Итак, пока миллионы "яблочных" фанатов ломали голову, куда Apple собирается установить сканер отпечатка пальца в своем новом флагмане, сама компания на своей последней презентации, совершенно неожиданно ответила на этот вопрос: никуда! То есть сканера отпечатка в новом iPhone X нет... вообще... Вместо него пользователям предложили нечто совершенно новое - технологию FaceID.
FaceID - это новый способ разблокировать телефон путем распознавания лица пользователя. Причем, как уверяет Apple, в отличие от простого распознавания черт лица или сканирования радужной оболочки глаза, как у нового флагмана Samsung, которое легко "взломать" приличной фотографией, технология Apple создает трехмерную математическую модель лица пользователя и распознает его особенности исключительно с помощью нейронных самообучающихся алгоритмов.
Хотя, "простым смертным" про все эти премудрости знать, как бы, и не обязательно. А просто - показать смартфону свое лицо, тем самым его разблокировав. Но все ли так просто, как выглядит со стороны? Давайте разберемся...
На момент написания данной статьи никаких серьезных сторонних тестов технологии Face ID не проводилось, равно как и попыток и способов ее взлома. А потому давайте исходить из раннего опыта работы различных систем распознавания лиц и других форм биометрической идентификации в целом.
Исторически биометрическая идентификация была небезопасной. Все потому, что любые камеры можно обмануть, голоса можно записать, а отпечатки пальцев - скопировать разными способами.
И если в ряде стран, включая США, полиция может только юридически заставить вас использовать ваш отпечаток пальца, чтобы разблокировать телефон, то с Face ID и ей подобным все еще проще - полицейский может "показать" вас вашему же телефону, чтобы разблокировать его даже против вашей воли.
А потому, если вы цените безопасность своих данных - электронную почту, учетные записи социальных сетей, семейные фотографии, историю каждого места, где вы когда-либо были с ваши телефоном, - тогда вам лучше изначально забыть про биометрическую идентификацию. Вместо этого используйте код доступа, чтобы разблокировать телефон.
Намного проще поменять свой пароль, чем изменить свое лицо
Кстати, вот отличная сцена из фильма 2007 года "Ультиматум Борна", где персонаж Мэтта Дэймона легко обходит 2-факторную биометрическую идентификацию на сейфе:
Несмотря на то, что этому фильму уже 10 лет, он отлично и вполне актуально иллюстрирует некоторые проблемы, присущие биометрической идентификации.
На сегодняшний день сколько существует ваших фотографий? А недавних? А лица? Наверняка - немало. И даже если вы подумали, что это всего лишь фотографии, а Face ID нужен "3D-слепок" лица, то не забывайте, что любое 3D-изображение формируется из двухмерных сканов объекта, в том числе - лица, сделанных с разных ракурсов. Сколько таких картинок с вами можно набрать? Вы уверены, что не соберется достаточно, чтобы "сшить" их вместе и сделать 3D-модель с точностью, необходимой для взлома Face ID, со всеми его инфракрасными подсветками и и системой точечной проекции?
На самом деле, это - всего лишь вопрос времени. Рано или поздно (а с нынешними технологиями и ушлыми "айтишниками", скорее - рано) появятся надежные способы взломать как Face ID от Apple, так и другие, подобные ей, системы, как уже взломали разблокировку Samsung, включая систему сканирования радужной оболочки глаза.
Да, друзья. То, в чем мы были так уверены еще совсем недавно, тоже можно взломать, причем для этого не нужно никаких ультра-секретных и дорогих приборов и технологий.
В радужной оболочке глаза человека находятся миллионы клеток составляющих уникальный узор, что, казалось бы, делает глаз - неплохим кандидатом для биометрической идентификации.
Однако вот как активные исследователи безопасности, еще в мае этого года, смогли обойти защитные механизмы сканера радужной оболочки в Samsung Galaxy 8. Причем для этого им понадобился лишь цифровой фотоаппарат, принтер и контактные линзы.
Давайте теперь сделаем шаг назад и рассмотрим, казалось бы, самый верный и исключительно надежный биометрический идентификатор: вашу ДНК.
На самом деле ваша ДНК, как и любая другая - это просто длинная строка данных. Геном человека составляет 3 миллиарда пар оснований. Вы сами могли бы хранить запись вашего генома на жестком диске вашего ноутбука или даже в памяти телефона, так как это - файл объемом менее гигабайта или одного эпизода сериала "Игра престолов". Не удивляйтесь, пресловутые суперкомпьютеры, применяющиеся в исследовании ДНК, необходимы только для расшифровки ее кода, не не для его хранения.
Кроме того, сегодня технология секвенирования чьего-то генома стала очень дешевой, и ее стоимость продолжает падать намного быстрее, чем затраты на вычисления в целом.
Таким образом, если бы последовательность вашей ДНК просочилась в открытый доступ, ее было бы довольно сложно изменить, как изменить ваш голос, отпечатки пальцев или структуру вашего лица. А значит вы сами, в некотором роде, перестали бы быть уникальным для систем биометрической идентификации.
Поэтому, никогда не полагайтесь на биометрическую идентификацию. Да, это удобно, но небезопасно. А потому - используйте числовой пароль.
Хороший пароль почти невозможно угадать и, при необходимости, - легко сменить
Разве что, его бывает сложно запомнить самому, но это уже - цена надежности.
Например, с помощью iPhone вы получаете только 10 попыток разблокировать телефон кодом доступа.
Предположим, что ваш пароль доступа представляет собой 4-значный цифровой PIN-код. А это, между прочим, 104 возможных комбинаций. Другими словами, - у кого-то, кто пытается разблокировать ваш телефон, есть всего один шанс на тысячу попыток, чтобы это сделать.
Это может выглядеть не так убедительно, как шанс "один на миллион", которые Apple озвучивает в отношении своей технологии Face ID, поскольку именно такова вероятность того, что кто-то может выглядеть достаточно похожим на вас, чтобы разблокировать ваш iPhone. Однако с вашим числовым паролем злоумышленник не имеет вообще ничего общего, а потому, если вам пароль - действительно случайный набор цифр, то это сделает его намного более безопасным, чем FaceID.
Вот 20 наиболее распространенных 4-хзначных числовых паролей. Обязательно избегайте их использования, чтобы максимизировать безопасность вашего смартфона.
И если вам нужен собственный генератор случайных паролей, вставьте вот такую строку в консоль jаvascript вашего браузера (ищите в меню пункт "Инструменты разработчика") и нажмите "Ввод":
Получится четырехзначный пароль, который придумали даже не вы сами. Не понравился - введите команду еще раз. Только не забывайте, что те, кто вас хорошо знает, могут догадаться о вашем любимом наборе чисел и ввести их в разных комбинациях. А потому - выбирайте первое попавшееся.
Большинство телефонов, включая iPhone, поддерживают многозначные коды доступа. Каждая дополнительная цифра дает вам еще один математический порядок для дополнительной безопасности. Но учитывая, что вы будете вводить свой пароль много раз за день, четыре цифры, пожалуй, наиболее практичный размер для него.
Для ясности: никто юридически (не считая особого распоряжения суда), не может заставить вас сменить ваш пароль. Этот код доступа существует в вашей голове, а вы - один. Это - ваша собственность и не может использоваться для доступа к вашим данным, если вы добровольно откажетесь их открыть.
Безопасность и душевное спокойствие, которые вы получаете от вашего кода доступа, стоят тех двух секунд, что необходимы для его ввода.
Пути развития для биометрической идентификации
Вместо, сложившегося сейчас, подхода - "все или ничего", то есть, вы,- либо - аутентифицированы, либо - нет, производители устройств должны применять многоуровневый подход, требующий разных уровней аутентификации для доступа к различным приложениям и данным.
Это похоже на традиционный контроль доступа на основе предоставляемых прав в программном обеспечении. И телефоны, кстати, уже делают это с экранами блокировки.
Например, по умолчанию в iOS вы можете читать входящие текстовые сообщения без разблокировки телефона. Но, всякий раз, когда вы пытаетесь купить что-то в App Store, по умолчанию iOS требует ввести еще более длинный пароль для подтверждения вашей покупки.
Что-то вроде Face ID можно использовать для разблокировки вашего "читательского" разрешения на использование наименее личных приложений, которые вы используете, например, вашу электронную библиотеку или список музыкальных треков.
Однако, когда вам потребуется прочитать или написать электронное письмо, отправить длинный пост в соцсеть или короткий твит в мессенджер, только тогда ваш телефон может потребовать ввода пароля.
Подобный сценарий в значительной степени касается проблемы "Мне нужно разблокировать мой телефон по 80 раз в день", что, вероятно, является основной причиной, по которой 89% пользователей iPhone используют сканер отпечатка TouchID.
Вышеописанная доработка программного обеспечения может использоваться для всех iPhone - в том числе тех, которые уже имеются в распоряжении пользователей. И это сделает их намного более безопасными.
Да, технология биометрической идентификации, безусловно, привлекает своей простотой и своеобразной экзотикой, навеянной, главным образом, шпионскими и фантастическими фильмами. Но, посудите сами - можно ли позволять разблокировать весь телефон, включая все ваши данные, учетные записи в социальных сетях и даже банковские счета, которые в нем теперь тоже хранятся, всего лишь только вашим лицом?
На данный момент, ответ один: продолжать использовать коды доступа, будучи точно уверенным, что они - максимально секретные для всех, кроме вас самих.
Обновлено!
Face ID взломали!
Всего через 9 дней после выпуска iPhone X вьетнамские исследователи безопасности уже нашли надежный способ обмануть Face ID, чтобы разблокировать iPhone. Они используют силиконовую маску, натянутую на рамку, распечатанную на 3D-принтере, с нанесенными на нее печатными изображениями глаз и рта.
Говорят, что сделать маску им стоило всего около 150 долларов.
Вот видеодемонстрация взлома защиты FaceID (90-секундное видео):
