Интеграция технологии ЭЦП и биометрии

Широкое использование средств вычислительной техники и телекоммуникаций для хранения, обработки и передачи информации делает особенно актуальным контроль доступа к банкам и базам данных современных вычислительных систем. Наиболее надежными, исключающими возможность получения доступа в случае подделки, хищения или утери ключевых носителей информации, следует считать системы, использующие биометрические методы аутентификации личности.

Существующие биометрические методы аутентификации личности следует разделить на две ветви. К первой следует отнести большую группу биометрических продуктов, построенных на анализе статических (неизменяемых) образов личности, присущих ей от рождения и хорошо наблюдаемых окружающими. Примерами этого типа биометрических продуктов являются устройства, построенные на анализе особенностей геометрии лица, особенностей геометрии руки, отпечатка пальца и т. д. Ко второй принципиально иной ветви биометрических продуктов следует отнести устройства и биометрические программные продукты, построенные на анализе динамических образов личности, отражающих особенности характерных для нее быстрых подсознательных движений в процессе воспроизведения контрольного слова рукописным почерком или в процессе передачи контрольного слова голосом.

Динамические биометрические технологии являются более предпочтительными по следующим причинам:

динамический биометрический образ является нематериальным объектом и злоумышленнику практически невозможно его заполучить или создать дубликат;
систему можно настроить так, чтобы она была чувствительна к психофизическому состоянию личности, которое идентифицируемо;
при желании владелец всегда может представить другой свой биометрический образ путем смены воспроизводимого слова (парольной фразы).

Снижение ошибок идентификации динамических биометрических образов мировыми производителями данных систем до 10–2 (см. Ложников П. С. Распознавание пользователей в системах дистанционного образования: обзор//Educational Technology & Society. 2001. Раздел 4(2). С. 211—216) объясняется бурным развитием этого направления в последние годы. Широкое распространение в последнее время получают алгоритмы анализа динамики подписи человека. В отличие от аутентификации по отпечаткам пальцев, геометрии ладони, сетчатки глаза основным преимуществом данного способа является то, что пользователю необходимо проделать определенный набор действий, характерный только для него, что исключает возможность обмана системы путем предъявления муляжа или использования специальных медицинских препаратов, воздействующих на психику человека. Достаточно высокая надежность, быстрые и не требующие специальной аппаратной поддержки алгоритмы, а также сравнительно недорогие устройства ввода ставят анализ динамики воспроизведения подписи в ряд наиболее широко используемых методов аутентификации. Современные графические планшеты, предназначенные для ввода подписи в компьютер помимо анализа изменения положения светового пера на плоскости, учитывают и изменение его давления во время письма, что значительно защищает информацию о динамике почерка от постороннего вмешательства.

Мировые производители систем биометрической аутентификации личности по рукописному почерку, такие как CADIX (www.cadix.com), Cоmmunication Intelligence Corporation (www.penop.com), Quintet (www.quintetusa.com), CyberSign (www.cybersign.com), Interlink Electronics (www.interlinkelectronics.com), значительно снизили цены на свои разработки за последние годы. Сегодня средняя цена за комплект специализированного программного обеспечения и графического планшета составляет 200—300 долл. Снижение цен объясняется повышенным спросом на данные системы. Сокращая расходы на хранение и передачу информации, все больше компаний, банков и правительственных учреждений переводят документооборот в электронную форму, где просто не обойтись без таких электронных подписей.

Пока мировой рынок данных биометрических систем развивается стихийно. Еще не появились соответствующие международные стандарты, регламентирующие требования к биометрическим устройствам и их интерфейсам, но предпосылки к этому уже имеются. Несколько лет назад в США был запущен ряд научно-исследовательских проектов, один из которых завершился разработкой спецификации BioAPI. Сейчас США пытаются создать соответствующие стандарты под интересы своих производителей, уже контролирующих существенные сегменты мирового биометрического рынка. Для того чтобы убедиться в последнем, достаточно ознакомиться со списком разработчиков BioAPI, каждый из них представляет интересы конкретной американской фирмы.

Проявляемый интерес США к биометрическим технологиям в целом не случаен. Данные технологии помимо того, что они являются технологиями двойного применения, обладают еще большим экономическим потенциалом. Наиболее перспективным и востребованным ожидается интеграция биометрической технологии аутентификации личности по почерку с электронной цифровой подписью (ЭЦП).

Известно, что ЭЦП под электронным документом формируется на основе секретного ключа пользователя, а проверка ЭЦП выполняется с помощью открытого ключа, парного секретному. Секретный ключ должен быть известен только самому владельцу, а открытый ключ может распространяться свободно в составе цифрового сертификата и должен быть доступен любому пользователю информационной системы. ЭЦП от обычной подписи отличается следующим:

наряду с информацией о владельце подписи есть гарантия, что подписанный электронный документ не был модифицирован;
имеется информационный носитель-посредник в процессе постановки ЭЦП на электронный документ владельцем ЭЦП.

В последнем пункте речь идет о персональном компьютере, магнитной карточке, жетоне или любом другом материальном носителе информации, на котором хранится секретный ключ владельца ЭЦП, необходимый для ее формирования. При построении ЭЦП вместо обычной связи между рукописной подписью и листом бумаги выступает сложная математическая зависимость между документом, секретным и открытыми ключами. Невозможность подделки ЭЦП опирается на очень большой объем необходимых математических вычислений. Допустим, что проблема подделки цифровой подписи будет решена, но никто не будет отрицать появления другой проблемы — кражи секретного ключа-генератора ЭЦП. Последняя проблема особо опасна еще тем, что владелец не всегда может немедленно установить сам факт похищения своего секретного ключа, так как ключ может быть просто скопирован на другой носитель информации.

Решение затронутой проблемы видится в применении биометрических ключей. Исследования и научные работы по данному направлению, проводимые в разных странах, говорят о практической возможности создания многобитных биометрических ключей из получаемой информации о динамике почерка (см. Иванов А.И. Биометрическая идентификация личности по динамике подсознательных движений. Монография. Пенза: Изд-во Пензенского гос. ун-та, 2000. С. 188). Биометрические ключи по своей сути во многом совпадают с обычными криптографическими ключами и, следовательно, могут использоваться по аналогии с ними. Однако совпадение сути биометрических и криптографических ключей пока еще сдерживает возможность их полностью замещать друг друга. Такие качества, как длина ключа и некоррелированность образующих его данных для биометрических ключей, на практике могут оказаться хуже, чем аналогичные параметры у криптографических ключей, полученных от проверенного генератора случайных чисел. Это означает, что при использовании биометрических ключей в достаточно важных и высоконадежных областях, таких как банковская сфера, необходим обязательный контроль их качества.

Принципиально важным преимуществом использования биометрических ключей является их неотделимость от личности владельца и исключение промежуточных носителей секретной информации, таких как магнитные карточки, смарт-карточки, дискеты и т. д.

В статье 3 Федерального закона РФ об ЭЦП, принятого в 2002 г., однозначно определен способ формирования электронной цифровой подписи — асимметричные криптографические преобразования с использованием сертификатов открытых ключей. Эта формулировка временно сдерживает внедрение вышеописанных систем в различные секторы экономики России, в том числе и в банковскую сферу. Однако российским банкам в ближайшее время придется вооружиться подобными биометрическими системами в связи с их широким внедрением за рубежом. Возможность увидеть свою подпись в том виде, в каком она будет вставлена в электронный документ (см. рис.) и отсутствие постоянного беспокойства о сохранности ключевой секретной информации являются неоспоримыми плюсами для клиентов любого банка.