Apakah otentikasi sidik jari aman?

Apakah otentikasi OS lebih aman dengan menggunakan pembaca sidik jari daripada kata sandi (kuat)? Bisakah itu diretas dengan mudah?

Omong-omong, di mana sidik jari disimpan? Pada chip perangkat keras atau pada sistem file?

Apakah itu tergantung dari perangkat keras pembaca?

Apakah itu tergantung dari implementasi perpustakaan / OS?

Masalah dengan sebagian besar sistem biometrik adalah bahwa mereka pada dasarnya 'berisik', yang membutuhkan perangkat lunak untuk menyaring kebisingan ke sinyal yang sebenarnya. Kata sandi adalah beberapa byte di mana ketelitian harus sempurna. Sidik jari biometrik, atau pemindaian iris, atau pemindaian retina, atau cetak suara, semua harus memiliki ambang batas 'cukup dekat' karena perubahan biometrik dari hari ke hari atau minggu ke minggu. Mengalahkan sistem seperti itu mengambil keuntungan dari sifat 'cukup dekat' dari teknologi otentikasi biometrik.

Karena itu, biometrik sederhana, menurut pendapat saya, kurang aman daripada kata sandi yang dipilih dengan benar. Dan itu bahkan tidak masuk ke detail implementasi seperti menangkap sinyal / kemungkinan replay antara pemindai dan autentikator, atau sensor konduktivitas kulit yang mudah ditumbangkan (jilat kertas!).

Ketika digunakan bersama dengan kata sandi, itu dapat meningkatkan keamanan. Tapi seperti yang saya katakan, itu tidak boleh digunakan sebagai pengganti kata sandi.

Keamanan pemindai kemungkinan besar tergantung pada kualitas perangkat keras. Saya menduga sebagian besar scanner yang datang dengan laptop saat ini cukup murah dan tidak ditujukan untuk situasi keamanan tinggi. Bahkan pemindai berkualitas lebih tinggi yang dimaksudkan untuk kunci pintu tidak tahan terhadap duplikasi sidik jari. Klip Mythbusters ini membuktikan sebanyak mungkin.

Seperti yang dikatakan Harley, banyak tantangan selalu lebih aman daripada tantangan tunggal.

Sidik jari umumnya lebih aman daripada kata sandi, tetapi semuanya relatif.

Tapi tahukah Anda apa yang lebih aman daripada sidik jari? Sidik jari dan kata sandi. Sesuatu yang Anda miliki plus sesuatu yang Anda tahu jauh, jauh lebih aman daripada sendirian.

Masalah dengan semua biometrik adalah ketika bahan keamanan Anda (seperti sidik jari, retina atau DNA) Anda dikompromikan, sangat sulit untuk diubah.

Biometrik adalah bentuk identifikasi, bukan otentikasi.

Sunting: Menindaklanjuti, saya menemukan artikel yang luar biasa ini: Otentikasi dan Identifikasi.

• Apakah otentikasi OS lebih aman dengan menggunakan pembaca sidik jari daripada kata sandi (kuat)? Bisakah itu diretas dengan mudah?

Pada satu titik, itu dianggap demikian. Sejak saat itu, ada beberapa metode yang dikembangkan untuk mengalahkan versi yang lebih murah dari pemindai ini.

Jika digunakan sebagai bagian dari proses otentikasi dua faktor atau multi-faktor, maka saya percaya ini akan meningkatkan keamanan dengan meningkatkan kesulitan masuk. Inilah seseorang yang mendiskusikan hal ini.

• Omong-omong, di mana sidik jari disimpan? Pada chip perangkat keras atau pada sistem file?

Biasanya sistem file. Banyak pemindai hanya mengubah kesan menjadi hash yang dikirim ke PC host. Kronos Touch ID adalah solusi perusahaan yang dimaksudkan untuk digunakan sebagai kunci waktu; itu menyimpan data dalam tabel Paradox (!) sebagai hash , jadi cukup jelas dari mana margin keuntungan mereka berasal dari perangkat ini ....

• Apakah itu tergantung dari perangkat keras pembaca?

Ada banyak pembaca, masing-masing dengan metode mereka sendiri. Meskipun saya tidak dapat berbicara dengan otoritas apa pun tentang ini, tampaknya "ya" adalah jawaban yang cukup bagus untuk pertanyaan ini.

• Apakah itu tergantung dari implementasi perpustakaan / OS?

Sekali lagi, saya pikir itu tergantung pada jenis pembaca. Beberapa sebenarnya mengirimkan lebih dari hash (gambar sidik jari yang sebenarnya), sementara yang lain tidak.

Bruce Schneier menulis analisis biometrik yang bagus di mana ia mengeksplorasi sisi positif dan negatif dari penggunaan teknik seperti pembaca sidik jari untuk otentikasi. Dia menunjukkan bahwa sidik jari sulit dipalsukan, tetapi mudah untuk dicuri. Secara pribadi, minggu saya menghabiskan terkunci di ruang server saya sendiri setelah saya memotong jari saya cukup buruk untuk merusak sidik jari saya cukup untuk bersumpah saya pembaca sidik jari.

Saya akan kembali dan mengedit URL ini segera setelah saya bukan "pengguna baru"

http://www.schneier.com/blog/archives/2009/01/biometrics.html

Saya pribadi agak tidak menyukai biometrik. Jika saya mengeluarkan uang untuk sistem sidik jari saya lebih suka menggunakan PKI dan kata sandi + sertifikat untuk ID.

Bergantung pada aplikasi dan tingkat keamanan yang diperlukan, biometrik dapat memiliki cacat yang secara fatal fatal. Mari kita berpura-pura bahwa orang jahat benar-benar menginginkan apa pun yang dilindungi oleh sistem keamanan, dan bersedia menculik dan / atau membunuh seseorang untuk mendapatkannya.

Apakah otentikasi OS lebih aman dengan menggunakan pembaca sidik jari daripada kata sandi (kuat)? Bisakah itu diretas dengan mudah?

Ya, cukup mudah untuk memotong jari dari orang yang berwenang dan menggunakannya untuk melewati pembaca sidik jari. Atau, orang jahat mungkin membuat orang itu di bawah tekanan dan memaksa mereka untuk meletakkan jari mereka pada pemindai.

Di sisi lain, sistem kata sandi dapat diatur dengan satu kata sandi untuk memberikan akses, dan kata sandi "paksaan" lain untuk tidak hanya menolak akses, tetapi juga meminta bantuan jika dimasukkan.

Secara pribadi, saya tidak bekerja pada sistem apa pun yang sangat penting sehingga saya ingin kehilangan jari. Jika seseorang sangat ingin, saya bahkan tidak ingin mereka tergoda untuk mengambil jari saya ...

Bagaimana pemindai sidik jari terpasang? Apakah pemindai yang Anda cari menggunakan semacam enkripsi antara pemindai dan komputer. Jika tidak, apa yang akan menghentikan saya memasukkan perangkat antara pemindai Anda dan komputer Anda kemudian menangkap sidik jari Anda?

Anda tidak dapat benar-benar mengubah sidik jari Anda. Jika saya dapat menangkap sidik jari dengan cara yang saya bisa mengirim data yang sama berulang-ulang maka sistem Anda rusak.

Aman sidik jari didasarkan pada biometrik di mana konsepnya sederhana bahwa kesan ibu jari dari semua individu yang hidup di bumi ini berbeda. Logikanya benar tetapi itu benar-benar tergantung pada teknologi yang Anda gunakan jika kerusakan program atau perangkat keras itu bisa berisiko juga.

Setelah mengalami laptop (HP dari memori) di mana sidik jari saya dan rekan kerja memberikan akses ke akun pengguna yang sama, saya harus mengatakan bahwa tidak ada jawaban ya atau tidak. Sebagian besar implementasi yang saya lihat hanya menggunakan beberapa titik uji untuk menentukan sidik jari. Menurut saya, apa pun yang kurang dari beberapa lusin poin tidak memadai untuk keamanan yang tepat. Jadi, karena itu akan tergantung pada implementasinya jika saya harus memberikan jawaban ya atau tidak, itu pasti tidak.