Seminar istražuje sigurnosne izazove biometrijskih sustava, posebno fokusirajući se na napade otiske prstiju. Biometrijski sustavi, iako namijenjeni poboljšanju sigurnosti, suočavaju se s inherentnim ranjivostima poput pouzdanosti senzora, nepouzdanosti algoritama te nesigurnosti komunikacije. Nedostatak edukacije korisnika također predstavlja ranjivost, a stvarni primjeri napada, poput masovnog napada na Ured za upravljanje osobljem SAD-a 2015. i replikacije otisaka prstiju putem 3D printanja, ističu ozbiljnost prijetnji.

KLJUČNE RIJEČI: Biometrijski sustavi, napadi, otisci prstiju, ranjivosti, sigurnosne mjere obrane, enkripcija podataka

U današnjem digitalnom dobu, biometrijski sustavi, poput prepoznavanja lica, skeniranja rožnice i otisaka prstiju, postali su neizostavan dio naše svakodnevice. Svrha im je povećati razinu sigurnosti pristupa uređajima i informacijama, nudeći istovremeno visok stupanj praktičnosti. No, unatoč inicijalnom dojmu o neprobojnoj sigurnosti, posljednjih godina bilježimo porast napada na biometrijske sustave, otvarajući pitanje o njihovoj pouzdanosti.

Ovaj seminar istražuje metode napada na biometriju otiska prsta [1] te neovlaštene pristupe biometrijskim podacima pojedinca. Iako se biometrijski podaci smatraju jedinstvenima za svaku osobu i načelno sigurnijima od tradicionalnih metoda poput lozinki ili PIN-ova, postavlja se pitanje može li se i ta vrsta identifikacije zaobići. U tekstu ćemo raspravljati o različitim tehnikama napada, uključujući korištenje uređaja poput skimmera, tehniku prijevare koja uključuje izradu lažnih otisaka prstiju ili slika rožnice, te tzv. “replay attack” u kojem napadači snimaju biometrijske podatke ovlaštenog korisnika i reproduciraju ih za pristup sustavu. Nadalje, analizirat ćemo stvarne slučajeve biometrijskih napada, uključujući veliki incident iz 2015. kada je Ured za upravljanje osobljem SAD-a doživio masovno probijanje sigurnosti s gubitkom podataka milijuna ljudi. Ovaj incident izazvao je značajnu zabrinutost u vezi s pouzdanošću biometrijskih podataka i njihovom potencijalnom zloupotrebom u svrhu krađe identiteta ili ostvarivanja drugih zlonamjernih ciljeva. Analizom raznovrsnih metoda obrane, uključujući, ali ne ograničavajući se na, višefaktorsku autentifikaciju, educiranje korisnika te implementaciju sigurnosnih mjera na razini korporacije, predstojeći seminar ima za cilj pružiti sveobuhvatan uvid u trenutačno stanje biometrijske sigurnosti.

Biometrijski sustavi, unatoč svojoj namjeri poboljšanja sigurnosti, nisu pošteđeni inherentnih ranjivosti koje mogu biti iskorištene u napadima. Stoga ćemo za svaku potencijalnu točku napada opisati ranjivost:

1.Pouzdanost senzora: Ranjivost može započeti s samim senzorima koji prikupljaju biometrijske podatke. Napadači mogu iskoristiti slabosti senzora, uključujući lažne pozitivne i lažne negativne rezultate.

2.Nepouzdanost algoritama: Algoritmi koji obrađuju biometrijske podatke nisu uvijek savršeno zaštićeni. Razne tehnike, poput generiranja lažnih otisaka prstiju, mogu dovesti do neuspjeha sustava u pravilnom prepoznavanju identiteta.

3.Nesigurnost komunikacije: Tijekom prijenosa biometrijskih podataka, od senzora do centralne baze podataka, postoji rizik od presretanja (Man in the middle attack).

4. Nedostatak enkripcije: Nedostatak adekvatne enkripcije biometrijskih podataka čini ih ranjivima na neovlaštene pristupe jer napadači mogu presresti ili čak manipulirati podacima tijekom pohrane.

5. Fizički napadi: Postavljanjem skimmer-a na uređaje za skeniranje otisaka prstiju ili drugih biometrijskih uređaja.

6. Replay napadi: Tehnika replay napada, prilokom kojeg napadači koriste snimljene biometrijske podatke.

7. Nedostatak obuke korisnika: Ljudski čimbenik također može biti ranjivost. Nedostatak obuke korisnika o sigurnosti biometrijskih podataka može rezultirati neopreznim postupcima koji olakšavaju napade.

8. Odsutnost pravne regulative: Nedostatak jasnih zakonskih smjernica o korištenju i zaštiti biometrijskih podataka stvara pravnu prazninu koja može biti iskorištena u zlonamjerne svrhe.

Slika 1: Točke napada [2]

Skimming uređaji su mali, često prijenosni uređaji postavljeni na biometrijske senzore. Ovi uređaji skeniraju i prikupljaju podatke tijekom uporabe, obično bez dopuštenja korisnika, omogućujući napadačima prikupljanje biometrijskih podataka bez znanja vlasnika.

Slika 2: Skimmer

Za razliku od skimmer tehnike koja se bazira na prikupljanju stvarnih podataka, spoofing [4] tehnika uključuje korištenje lažnih biometrijskih podataka kako bi se prevarili senzori. Na primjer, koristeći lažni otisak prsta ili lažnu sliku lica, napadači mogu prevariti sustav koji ih uspješno identificira kao legitimne korisnike.

Ove metode dodatno ističu izazove s kojima se biometrijski sustavi suočavaju, naglašavajući potrebu za naprednijim sigurnosnim mjerama kako bi se očuvao integritet biometrijskih podataka. Arhitektura biometrijskog sustava igra ključnu ulogu u određivanju njegove otpornosti na napade, te sustavi koji integriraju višefaktorsku autentifikaciju, čvrstu enkripciju podataka i sustave za praćenje nepravilnosti povećavaju svoju sposobnost obrane od raznovrsnih prijetnji i napada.

U ovom poglavlju fokusirati ćemo se na konkretne sigurnosne mjere koje su ključne za očuvanje integriteta biometrijskih podataka i sprječavanje neovlaštenog pristupa.

1. Enkripcija biometrijskih podataka: Primjenom jakih algoritama enkripcije poput AES (Advanced Encryption Standard), prilikom pohrane i prijenosa podataka, postiže se sprječavanje neovlaštenog pristupa i čini biometrijske podatke nečitljivima za neautorizirane entitete, čime se osigurava privatnost korisnika.

2. Protokoli zaštite prijenosnih kanala: Implementacija SSL/TLS protokola osigurava siguran prijenos podataka između uređaja i serverskih sustava. Korištenje sigurnih protokola sprječava presretanje ili manipulaciju biometrijskih podataka tijekom komunikacije, osiguravajući integritet i povjerljivost.

3. Detekcija i sprječavanje napada: Integracija sustava praćenja ponašanja korisnika i analize anomalija za prepoznavanje neuobičajenih aktivnosti omogućuje brzu identifikaciju i sprječavanje potencijalnih prijetnji, čime se održava visoka razina sigurnosti sustava.

4. Edukacija korisnika: Organiziranje edukativnih programa i tečaja o sigurnosnim praksama u korištenju biometrijskih sustava služi za osvještavanje korisnika o rizicima i pravilnim postupcima, te se time smanjuje vjerojatnost neodgovornog ponašanja koje može predstavljati ranjivost i potencijalno ugroziti sigurnost.

5. Analiza stvarnih napada: Istraživanje stvarnih slučajeva napada na biometrijske sustave dovodi do razumijevanja uzoraka i strategija napadača što pomaže u prilagodbi sigurnosnih protumjera kako bi se ojačala otpornost sustava na poznate prijetnje.

Kroz iduća tri primjera ilustrirat će ozbiljnost prijetnji s kojima se susreću biometrijski sustavi:

1. Napad na Ured za upravljanje osobljem SAD-a (OPM), 2015. godine [5]: Ured za Upravljanje Osobljem SAD-a postao je žrtvom masivnog napada u kojem su osobne informacije više od 21 milijuna ljudi bili kompromitirani. Posebno zabrinjavajuća činjenica bila je ta što su napadači uspjeli doći do podataka otisaka prstiju 5.6 milijuna pojedinaca, čineći ovaj incident jednim od najvećih poznatih slučajeva ugrožavanja biometrijskih podataka.

2. Replikacija otisaka prstiju pomoću 3D printanja, 2017. godina: otkriven je propust u načinu obrade otisaka prstiju na određenim Android uređajima. Otkriveno je da napadač može ekstrahirati podatke otisaka prstiju iz uređaja i koristiti ih za stvaranje trodimenzionalne replike otiska prsta.

3. “BrutePrint” [6]: Istraživanje provedeno od strane kineskih znanstvenika Yu Chena i Yiling He otkirlo je ranjivosti u implementaciji generičkog senzora otiska prsta na Android pametnim telefonima, nazvavši napad “BrutePrint”. Otkriveni nedostaci - Cancel-After-Match-Fail (CAMF) i Match-After-Lock (MAL), omogućuju napadaču da izvede napad bez fizičkog kopiranja otiska prsta. CAMF iskorištava multisampling metodu senzora, omogućujući ciklus pokušaja autentikacije i ponovni početak nakon pogreške, dok MAL omogućuje slanje novih slika čak i nakon neuspješnog pokušaja autentikacije. Svi testirani pametni telefoni su bili ranjivi na barem jedan od ovih napada.

Slika 3: Arhitektura CAMF napada

U ovom seminaru istražili smo ključne aspekte biometrijske autentifikacije, posebno usmjerene na sigurnosne izazove i načine obrane. Biometrijski sustavi pružaju visok stupanj sigurnosti, ali nisu neosjetljivi na prijetnje. Sve češće prijetnje pokazuje da su napadi na biometrijske sustave postali ozbiljna prijetnja što ugrožava integritet osjetljivih biometrijskih podataka i sigurnost korisnika. U prvom poglavlju analizira se arhitektura i ranjive točke biometrijskog sustava, a naglasak se stavlja na moguće metode napada. Skimming uređaji, tehnika spoofinga, i tzv. “replay attack” predstavljaju značajne prijetnje sigurnosti biometrijskih podataka. U drugom dijelu, navode se sigurnosne protumjere i načini prevencije napada. Kroz primjenu enkripcije podataka, zaštitu prijenosnih kanala, sustave detekcije napada, edukaciju korisnika te analizu stvarnih napada, može se unaprijediti sigurnost biometrijskih sustava. Sveobuhvatna sigurnosna strategija i integracija tih mjera ključna je za održavanje povjerenja u biometrijskim sustavima. Posljednje poglavlje opisuje dva napada na biometrijske sustave, stvaranjem lažnih otisaka prstiju i zloupotrebom podataka u Android uređajima. Unatoč izazovima, biometrijski sustavi zadržavaju ključnu ulogu u osiguravanju identiteta i pristupa osjetljivim informacijama, međutim prostora za napredak ima i kao i za sve grane kibernetičke sigurnosti potrebna su konstantna istraživanja i edukacija krajnjih korisnika.

https://ferhr-my.sharepoint.com/:f:/g/personal/lm119124544_fer_hr/EmDpk5B_n65Gqt-cXwK8bf0BWXHt_XPM_4WQO-O_EKtGHQ?e=Kf0lRl

[1] https://www.innovatrics.com/glossary/biometric-system/

[2] Umut Uludag, Anil K. Jain :Attacks on Biometric Systems: A Case Study in Fingerprints

[3] https://www.kaspersky.com/blog/fingerprint-brute-force-android/48303/

[4] https://facia.ai/blog/biometric-spoofing/

[5] https://www.washingtonpost.com/news/the-switch/wp/2015/09/23/opm-now-says-more-than-five-million-fingerprints-compromised-in-breaches/

[6] Yu Chen,Yiling He: BRUTEPRINT:ExposeSmartphone Fingerprint Authenticationto Brute-force Attack