Анализ систем защиты информации, построенных на принципах биометрии

СОДЕРЖАНИЕ 

ВВЕДЕНИЕ                                                                                                     

Глава 1. Роль и  место биометрических средств защиты информации

1. НАЗНАЧЕНИЕ БИОМЕТРИЧЕСКИХ СРЕДСТВ ЗАЩИТЫ         стр. 5
2. КЛАССИФИКАЦИЯ И ОСНОВНЫЕ ХАРАКТЕРИСТИКИ СОВРЕМЕННЫХ БИОМЕТРИЧЕСКИХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ                                                                                    стр. 9

Глава 2. Анализ систем защиты информации, построенных  на принципах биометрии

2.1. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ НА ОСНОВЕ ИДЕНТИФИКАЦИИ ЛИЧНОСТИ                                                            стр. 11

2.2.  ПРАКТИЧЕСКОЕ ПРИМЕНЕНИЕ БИОМЕТРИЧЕСКИХ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ                                                                         стр.13

2.3.  ТЕХНИЧЕСКИЕ СРЕДСТВА БИОМЕТРИЧЕСКОЙ ЗАЩИТЫ    стр.17

2.4.  ПЕРСПЕКТИВЫ РАЗВИТИЯ РОССИЙСКОГО РЫНКА БИОМЕТРИЧЕСКИХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ                 стр.21

ЗАКЛЮЧЕНИЕ                                                                                                  

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ                                              

ПРИЛОЖЕНИЕ                                                                                               
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

     ВВЕДЕНИЕ 

     Работа  современного предприятия во многом зависит от функционирования его  информационной системы, призванной своевременно предоставлять информацию для нужд управления. Система информационной безопасности призвана обеспечить надежное и устойчивое функционирование информационной системы предприятия. Эта проблема является актуальной в условиях появления все новых и новых угроз информационной безопасности предприятия, это и хакерские атаки, и кража конфиденциальной информации.

     Сегодня одним из основных способов защиты информации являются системы идентификации (распознавания) и аутентификации (проверки подлинности) пользователей к ресурсам компьютерной системы. Целью систем защиты является получение от пользователя информации, удостоверяющей его личность, проверка ее подлинности и предоставление (или запрет) этому пользователю возможности работы с системой.

     При построении таких систем защиты возникает проблема выбора вида информации, на основе которой осуществляются процедуры идентификации и аутентификации пользователя. Такая информация может быть двух типов:

     -секретная  информация, которой обладает пользователь (пароль, секретный ключ, персональный  идентификатор и т. п.);

     -физиологические  параметры человека (отпечатки пальцев,  рисунок радужной оболочки глаз  и т. п.).

     Системы защиты, основанные на информации первого типа, называются традиционными, а основанные на втором типе информации – биометрическими.

     Слово биометрия образовано от слов “bio” (жизнь) и “metron” (мера) и обозначает как науку, так и технологию измерения  и статистической оценки биологических  данных. [http://www.osp.ru]. В рамках информационных технологий речь идет о характеристиках человеческого тела — отпечатках пальцев, геометрии ладони, сетчатке и радужной оболочке глаз, образце голоса или овале лица — специально в целях аутентификации или идентификации.

     Помимо  статических биометрических характеристик  для идентификации человека можно  использовать и динамические. К ним  относятся:

• особенности поведения при выполнении каких-либо действий (усаживание за рабочий стол, работа с клавиатурой компьютера, походка);
• особенности реакции на образ, или “гештальт” (например, по зрительному каналу — предъявление рисунков, реакция на которые связана с «гистерзисом перцепции» (см. рисунок 1); по аудиоканалу — регионально-ориентированные интонации (кубанская, пермская, вологодская); различная активность в речевых зонах мозга при употреблении родного и выученного языков и многое другое).

Рисунок 1. Пример рисунка, реакция на который  связана с «гистерзисом перцепции».

     Объединение статических и динамических характеристик помогает избежать целого ряда проблем, связанных с тем, что индивидуальные особенности человека могут меняться: например, он простудился или потерял зубы, а в результате его голос стал другим. Однако по динамическим характеристикам можно установить реальный профиль человека: если его силой заставляют приложить палец к считывателю, то, сопротивляясь, он сделает это совсем не так, как при добровольном действии и т.д.

     Может показаться, что фиксировать динамические характеристики намного сложнее, чем статические, но это не так. Для динамической аутентификации пользователя достаточно встроить датчик давления. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

Глава 1. Роль и место  биометрических средств  защиты информации.

1. НАЗНАЧЕНИЕ БИОМЕТРИЧЕСКИХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ

     В настоящее время биометрические системы контроля доступа к информации завоевывают все большую популярность в банках, фирмах, связанных с  обеспечением безопасности в телекоммуникационных сетях, в информационных отделах фирм. Эти средства нашли применение, в основном, в государственных учреждениях, требующих наиболее высоких уровней защиты, в военных организациях, вычислительных и научных центрах, центрах хранения архивных материалов. Например, биометрическая система может контролировать доступ к информации и хранилищам в банках, ее можно использовать на предприятиях, занятых обработкой ценной информации, для защиты ЭВМ, средств связи и т. д. По оценкам специалистов, более 85% установленных в США средств биометрического контроля доступа предназначались для защиты машинных залов ЭВМ, хранилищ ценной информации, исследовательских центров, военных установок и учреждений.

     Благодаря высоким оперативно-техническим  характеристикам биометрические средства защиты уже почти 20 лет за рубежом  пользуются заслуженным вниманием  специалистов. Однако основным сдерживающим фактором до настоящего времени являлась высокая стоимость биометрических средств защиты, которая ограничивала массовое их использование. Но уже в настоящее время стоимость биометрической защиты компьютеров была снижена, что предвещает широкое массовое использование биометрических средств защиты в самое ближайшее время. [http://st.ess.ru]

     Расширение  применения систем этого типа можно  объяснить как снижением их стоимости, так и повышением требований к  уровню безопасности. Биометрические системы на российском рынке появились благодаря фирмам «Identix», «SAC Technologies», «Eyedentify», «Biometric Identification Inc.», «Recognition Systems», «Trans-Ameritech», «BioLink», «Sonda», «Elsys», «Эдванс», «ААМ Системз», «Полми групп», «Маском», «Биометрические системы» и др.

     Биометрическая  технология – наиболее перспективное из последних достижений в области методов идентификации и контроля доступа к информации.

     В число современных биометрических систем контроля доступа к информации входят системы проверки по форме  кисти руки, рисунку кожи пальцев, сетчатке или радужной оболочке глаза, фотографии лица, динамике подписи  и по голосу.

     Все биометрические системы характеризуются  высоким уровнем безопасности прежде всего потому, что используемые в  них данные не могут быть утеряны  пользователем, похищены или скопированы. В силу своего принципа действия биометрические системы пока еще отличаются сравнительно малым быстродействием и низкой пропускной способностью. Тем не менее они представляют собой единственное решение проблемы контроля доступа на особо важных объектах с малочисленным персоналом.

     В настоящее время имеется большое  количество алгоритмов и методов  биометрической идентификации, отличающихся точностью, стоимостью реализации, удобством  использования и т. п. Однако у  всех биометрических технологий существуют общие подходы к решению задачи идентификации пользователя. Обобщенный алгоритм биометрической идентификации, характерный для всех известных  биометрических систем защиты информации, приведен на рис.2. 

Рис. 2. Обобщенный алгоритм биометрической идентификации

     Как видно из рисунка 2, биометрическая система распознавания устанавливает соответствие конкретных поведенческих или физиологических характеристик пользователя некоторому заранее заданному шаблону. Как правило, биометрическая система, реализующая этот обобщенный алгоритм, состоит из трех основных блоков и базы данных (рис. 3).

Рис. 3. Блок-схема типовой системы биометрической защиты информации

      Признаки, делающие человека уникальным, могут  быть разными. Сегодня биометрические средства позволяют распознавать практически  любую особенность тела — но не всегда в равной степени простым  и удобным для пользователя образом.

     Часто выбор метода зависит от длительности распознавания: при большом потоке людей распознавание отпечатков пальцев удобнее сканирования радужной оболочки, которое занимает гораздо больше времени. Вместе с тем на принятие решения влияют аспекты стоимости и безопасности. Системы с высокими требованиями к безопасности, как правило, комбинируют распознавание двух признаков или одного биометрического метода и применения смарт-карт. И не последним критерием является положительное отношение пользователей.

     Тому, что примерно 44% всех биометрических решений составляют системы распознавания  отпечатков пальцев, есть логичное объяснение: «Согласно результатам многочисленных проектов, население охотнее всего принимает методы распознавания отпечатков пальцев: они сканируются быстро и удобно, проверка не требует много времени и больших затрат. Простые системы пользователи принимают более лояльно, в отличие от длительных и сложных, трудно воспроизводимых процедур», — уверен Мирко Панев, глава отдела общественной безопасности компании «Siemens IT Solutions and Services». [http://www.osp.ru]. Отрасль накопила уже богатый опыт, технология довольно зрелая и хорошо принимается. Уже есть обширные базы данных с отпечатками пальцев; кроме того, на рынке представлено множество недорогих и надежных устройств для широкого спектра применения.

     Гораздо реже используется распознавание лица — лишь в 19% случаев. [http://www.hardbroker.ru]. Оно применяется вместе с проверкой фотографии в паспорте, например, на пропускных пунктах на границе. «Довольно скоро технологии сканирования лица получат значительный технологический толчок: трехмерные методы распознавания активно развиваются, и их применение должно значительно ускорить процедуры проверки», — уверен Панев. [http://www.osp.ru]. Но при этом он критически относится к скрытому применению методов сканирования лица в общественных местах, к примеру, путем видеонаблюдения. Активное противодействие такому использованию наблюдается и со стороны защитников персональных данных.

     Хотя  распознавание радужной оболочки глаз считается наиболее точным методом, на него приходится около 6-7% биометрического рынка. [http://www.bytemag.ru]. Причина в том, что в большинстве случаев процедура проверки неприятна и довольно сложна. Так, пользователю приходится в течение секунды смотреть на источник яркого света, нагибаться или наоборот вставать на цыпочки, чтобы дотянуться до жестко закрепленного устройства. Кроме того, технология довольно дорога.

     Наряду  с утвердившимися методами имеются  экзотические варианты, которым на биометрическом рынке отводится  второстепенная роль. Распознавание  геометрии ладони, сканирование глазного дна (сетчатки), распознавание голоса, ДНК или формы ушей пока еще  рассматриваются как футуристические  технологии. Они используются параллельно  с другими биометрическими системами, когда требуется обеспечить особый уровень безопасности.

     Биометрические  приложения базируются на разных технологиях  сканирования. Так, кремниевые сканеры  часто используются для распознавания  отпечатков пальцев или ладони: примером может служить ID Mouse — компьютерная мышь с датчиком для распознавания  отпечатков пальцев, реализующая биометрический контроль доступа к компьютеру. Кремниевые сканеры встраивают в матричные формирователи видеосигналов, предназначенных для контроля доступа. Благодаря невысокой цене и простому принципу работы они нашли широкое применение в дорогих ноутбуках.

     Оптические  датчики сканируют отпечаток  в виде изображения и используются главным образом в приложениях  массового применения. Поскольку  погодные условия не влияют на работу этих устройств, их устанавливают на пограничных пропускных пунктах  или под открытым небом, к примеру  на стадионах или в парках.

     Наиболее  широко распространены ультразвуковые сканеры, которые обследуют не только поверхность кожи, но и внутренний слой и тем самым предлагают максимальную защиту от подделки. Они позволяют  свести к минимуму вероятность мошенничества  путем намеренного нанесения  травмы.

     Главный принцип биометрических приложений: сначала устанавливается и регистрируется личность пользователя на основе его биометрических данных, к примеру отпечатков пальцев — этот процесс называется регистрацией. Для этого сканер проверяет приложенный палец трижды. Считанные биометрические особенности сохраняются централизованно или децентрализованно — на смарт-карте, в частности.

     Затем в зависимости от установленной  системы выбирается один из двух вариантов  для опознания человека — идентификацию  или верификацию. В первом случае, при идентификации, пользователь не сообщает свои личные сведения. После  приложения пальца к специально предназначенной  для этого поверхности начинается поиск аналогичного отпечатка.

     В случае верификации, напротив, пользователь сообщает идентификационную информацию при помощи смарт-карты, пароля или  удостоверения. Система сопоставляет их с распознанными признаками — с тем же отпечатком пальца. Примером может служить биометрическое удостоверение, когда система сравнивает владельца удостоверения с

сохраненными  на документе данными. Преимущества такого подхода заключаются в  том, что он позволяет обеспечить как всеобъемлющую защиту личных данных, так и высокий уровень  безопасности.  
 
 
 
 
 

2. КЛАССИФИКАЦИЯ И ОСНОВНЫЕ ХАРАКТЕРИСТИКИ СОВРЕМЕННЫХ БИОМЕТРИЧЕСКИХ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ

    Все биометрические средства характеризуются  высоким уровнем безопасности, прежде всего потому, что используемые в  них данные не могут быть утеряны  пользователем, похищены или скопированы. В силу своего принципа действия многие биометрические системы пока еще  отличаются сравнительно малым быстродействием  и низкой пропускной способностью.

    Японская компания Fujitsu, в преддверие выставки CES, анонсировала инновационный продукт — компьютерную мышь, основанную на биометрических технологиях.

    Биометрическая  система распознавания (основана на сравнении данных о кровяных тельцах  в сосудах человека с образцом из базы) не новинка и разработана  довольно давно. Прототип подобного  можно увидеть в банковской системе.

    Компания Fujitsu решила выпустить технологию «в массы». Так и появилась компьютерная мышь Fujitsu PalmSecure LOGONDIRECTOR, мышь со встроенным биометрическим сканером, которая может  защитить компьютер и хранящуюся в нём информацию от несанкционированного доступа. [http://www.compress.ru].

    Сенсоры сканируют ладонь и передают изображение  в компьютер, где специальное  ПО (поставляется в комплекте с  мышью) сравнивает полученное изображение  со снимками, хранящимися в базе. Если всё в порядке, ПО разрешает  работу с компьютером.

    Внешне  мышь не сильно отличается от обычной. Ко всему, если пользователь не хочет, чтобы сенсоры в процессе работы периодически проверяли его руку, то существует вариант раздельного  устройства: мышь + сканер.

    Классификация биометрических средств защиты информации, представленных на российском рынке, по биометрическим признакам, принципам  действия и технологии реализации приведена  на рис. 4.

    В число современных биометрических систем контроля доступа к информации входят системы проверки по голосу, форме кисти руки, рисунку кожи пальцев, сетчатке или радужной оболочке глаза, фотографии лица, термограмме  лица, динамике подписи, фрагментам генетического  кода и др. 
 
 
 
 
 
 
 
 
 

Рис. 4. Классификация современных биометрических средств защиты информации 
 
 
 
 
 
 
 

Глава 2. Анализ систем защиты информации, построенных  на принципах биометрии

2.1. СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ НА ОСНОВЕ ИДЕНТИФИКАЦИИ ЛИЧНОСТИ

      Наибольшее  применение в настоящее время  нашли биометрические системы защиты информации, использующие идентификацию  личности по отпечатку пальца.

     Этот  признак используется в качестве контрольного образа. Записываемый в  виде контрольного образа трехмерный отпечаток пальца сканируется оптической системой, анализируется, оцифровывается, хранится в памяти терминала или  в памяти управляющего компьютера и  используется для проверки каждого, кто выдает себя за авторизованного  пользователя. При этом в памяти устройства не содержится реальных отпечатков пальцев, что не позволяет их украсть  нарушителю. При совпадении предъявляемого и контрольного отпечатков пользователь получает доступ в систему.

     В настоящее время, как в России, так и за рубежом, работы по созданию новых БСЗИ, поиску новых биометрических технологий интенсивно развиваются. Ведутся  работы по созданию технических средств  идентификации, использующих такие  индивидуальные признаки как код  ДНК, характеристики кардиограммы, запаха, походки и др. Однако указанные  средства обладают ещё целым рядом  недостатков (нестабильность результатов, недостаточная надёжность и т. п.) и пока не готовы для широкого внедрения.

     Основными формами практического внедрения рассмотренных средств биометрического контроля доступа к информации в настоящее время являются:

1. электронная торговля;
2. страхование;
3. защита систем связи
4. общий контроль доступа к информационным объектам (мобильным и стационарным)
5. контроль доступа в компьютерные и сетевые системы
6. контроль доступа в различные информационные хранилища, банки данных и др.
7. идентификация личности, паспортизация.

     Основополагающая  тенденция развития биометрических средств идентификации состоит  в постоянном снижении их стоимости  при одновременном улучшении  технических и эксплуатационных характеристик.

     В статье 11 Федерального закона от 27.07.2006 N 152-ФЗ № «О персональных данных» (принят ГД ФС РФ 08.07.2006) [приложение 2] сказано:

     1. Сведения, которые характеризуют  физиологические особенности человека  и на основе которых можно  установить его личность (биометрические  персональные данные), могут обрабатываться  только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

     2. Обработка биометрических персональных  данных может осуществляться  без согласия субъекта персональных  данных в связи с реализацией  международных договоров Российской  Федерации о реадмиссии, в связи  с осуществлением правосудия, а  также в случаях, предусмотренных  законодательством Российской Федерации  о безопасности, законодательством  Российской Федерации об оперативно-розыскной  деятельности, законодательством Российской  Федерации о государственной  службе, уголовно-исполнительным законодательством  Российской Федерации, законодательством  Российской Федерации о порядке  выезда из Российской Федерации  и въезда в Российскую Федерацию.

    В статье 19 (меры по обеспечению безопасности персональных данных при их обработке) Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» указывается:

    1. Оператор при обработке персональных  данных обязан принимать необходимые  организационные и технические  меры для защиты персональных  данных от неправомерного или  случайного доступа к ним, уничтожения,  изменения, блокирования, копирования,  распространения персональных данных, а также от иных неправомерных  действий.

    2. Правительство Российской Федерации  устанавливает требования к обеспечению  безопасности персональных данных  при их обработке в информационных  системах персональных данных, требования  к материальным носителям биометрических  персональных данных и технологиям  хранения таких данных вне  информационных систем персональных  данных.

    3. Контроль и надзор за выполнением  требований, установленных Правительством  Российской Федерации в соответствии  с частью 2 настоящей статьи, осуществляются  федеральным органом исполнительной  власти, уполномоченным в области  обеспечения безопасности, и федеральным  органом исполнительной власти, уполномоченным в области противодействия  техническим разведкам и технической  защиты информации, в пределах  их полномочий и без права  ознакомления с персональными  данными, обрабатываемыми в информационных  системах персональных данных.

    4. Использование и хранение биометрических  персональных данных вне информационных  систем персональных данных могут  осуществляться только на таких  материальных носителях информации  и с применением такой технологии  ее хранения, которые обеспечивают  защиту этих данных от неправомерного  или случайного доступа к ним,  уничтожения, изменения, блокирования, копирования, распространения.

    Таким образом, применение биометрических средств  защиты информации не противоречит закону «О персональных данных», сели получено письменное согласие человека, информация о котором будет использоваться в целях защиты информации.

2.2. ПРАКТИЧЕСКОЕ ПРИМЕНЕНИЕ БИОМЕТРИЧЕСКИХ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ

     Оптимальный выбор БСЗИ из средств, представленных на рынке, является достаточно трудной  задачей, для решения которой  в настоящее время используются следующие основные технические  характеристики:

• вероятность  несанкционированного доступа; 
• вероятность ложного задержания; 
• пропускная способность (время идентификации).

     С учетом вероятностного характера основных параметров большое значение имеет  объем выборки (статистика), при котором  произведены измерения. К сожалению, эта характеристика обычно не указывается  фирмами-производителями в сопроводительных и рекламных документах, что еще  больше затрудняет задачу выбора. В  приложении 4 приведены среднестатистические значения основных технических характеристик БСЗИ, отличающихся по принципу действия.

     Анализ  российского рынка БСЗИ показал, что в настоящее время на нем  представлен весьма широкий спектр устройств идентификации по биометрическим признакам, отличающихся друг от друга  по надежности, стоимости, быстродействию. Основополагающей тенденцией развития биометрических средств идентификации  является постоянное снижение их стоимости  при одновременном улучшении  их технических и эксплуатационных характеристик. 

1.Наибольшее применение в настоящее время нашли биометрические системы защиты информации, использующие идентификацию личности по отпечатку пальца.

     В частности, системы контроля доступа  к информации TouchLock американской фирмы Identix базируются на регистрации такого индивидуального признака человека, как отпечаток пальца руки. Записываемый в виде контрольного образа трехмерный отпечаток пальца сканируется оптической системой, анализируется, оцифровывается, хранится в памяти терминала или  в памяти управляющего компьютера и  используется для проверки каждого, кто выдает себя за авторизованного  пользователя. При этом в памяти устройства не содержится реальных отпечатков пальцев, что не позволяет их украсть  нарушителю. Типичное время занесения  в память одного контрольного отпечатка  пальца составляет 30 с. Каждый занесенный в память терминала авторизованный пользователь набирает PIN-код на клавиатуре терминала TouchLock и проходит стадию проверки идентичности, занимающую приблизительно 0,5-2 с. Под одним PIN-кодом обычно хранится образец отпечатка одного пальца, но в некоторых случаях возможна аутентификация по отпечаткам трех пальцев. При совпадении предъявляемого и  контрольного отпечатков терминал подает сигнал на исполнительное устройство: электрозамок, шлюз и т. д. Для организации  сетевой работы фирмой Identix разработано  специальное программное обеспечение (система Fingerlan III). На российском рынке указанные биометрические системы в настоящее время предлагаются компанией Trans-Аmeritech.