Nam, zwykłym ludziom, autoryzacja odciskiem palca może się wydawać niezwykle bezpieczna. Hackerzy już od dawna są innego zdania. Sądzą oni, że odcisk palca może być co najwyżej loginem, ale nigdy nie powinien być hasłem. Nie da się go bowiem zmienić, a poza tym możemy go nieświadomie zostawiać w różnych miejscach na gładkich powierzchniach. 

Odciski wyciągane ze zdjęć

Odcisk palca ma też inną wadę, której nie powinno mieć hasło. Można go zobaczyć i nawet sfotografować. Czy to wystarczy, aby złamać zabezpieczenia? Najwyraźniej tak, o czym mówił Jan Krissler w czasie konferencji Chaos Communication Congress (31C3).

Krissler twierdzi, że udało mu się odtworzyć odcisk palca niemieckiej minister obrony Ursuli von der Leyen. Posłużyły do tego zdjęcia zrobione zwykłymi aparatami. Jedno z nich przedstawiało zbliżenie kciuka, a inne zdjęcia zrobione pod innymi kątami uzupełniały informacje o odcisku. Były to zdjęcia z konferencji prasowej, zatem dość dobre jakościowo, niemniej robione ogólnodostępnym sprzętem.

Źródło: YouTube (nagranie z konferencji znajdziesz niżej)

Hacker twierdzi też, że używał dostępnego w handlu oprogramowania, m.in. VeriFinger. Gdy zapowiadano wystąpienie Krisslera, grupa Chaos Computer Club ogłosiła, że "po tym wystąpieniu politycy zaczną nosić rękawiczki, mówiąc do publiczności". 

Wszyscy wiemy, że politycy nie zaczną nosić rękawiczek. Nie jest zresztą pewne, czy zaprezentowane rozwiązanie jest naprawdę skuteczne. Niemniej politycy powinni mieć to na uwadze, jeśli sami zechcą angażować się w promowanie rozwiązań biometrycznych. W Brazylii już wykorzystywano odciski palców do identyfikowania głosujących. Oczywiście trudno uwierzyć w to, aby ktoś chciał użyć tej techniki do sfałszowania wyborów, ale politycy po prostu powinni mieć świadomość, że odcisk palca nie jest najlepszym hasłem. 

Grupa Chaos Computer Club (CCC) nie od dziś interesuje się odciskami palców. Już wcześniej demonstrowała ona sposób na oszukanie czytnika palców w iPhonie 5s. Wystarczył do tego celu aparat fotograficzny, zwykła drukarka, klej i oczywiście umiejętność wykorzystania tego wszystkiego. 

Oczywiście biometryczne technologie autoryzacji nie kończą się na odciskach palców. Można zamiast nich stosować np. biometrię naczyń krwionośnych palca. Dokonanie Krisslera nie przekreśla całej biometrii, ale jednak podważa bezpieczeństwo coraz modniejszej metody autoryzacji. 

Lepiej mieć w głowie niż na palcu?

Inna rzecz, że to, co da się ochronić przed hackerami, może być dostępne dla władz. W październiku tego roku pisaliśmy o ciekawym wyroku w sprawie Davida Bausta. Sąd orzekł, że policja ma prawo zażądać odcisku palca do autoryzacji, choć nie ma prawa zmuszać oskarżonego do podania hasła. Istnieją bowiem przepisy pozwalające na zbieranie odcisków palców, ale nie można zmuszać człowieka do zeznawania przeciwko sobie. Największą zaletą haseł będących w głowie jest to, że ich wyciągnięcie jest o wiele trudniejsze niż zeskanowanie palca czy innej części ciała. 

Poniżej nagranie wystąpienia Jana Krisslera.