Twarzowy dostęp

[KopalniaWiedzy.pl 322]

By raz na zawsze rozwiązać problem z hasłami dostępu (krótkie są łatwe do złamania, a długie trudno zapamiętać), naukowcy odwołali się do sposobu, w jaki nasz mózg rozpoznaje twarze. Efektem ich prac jest Facelock, czyli "Twarzowy zamek".

W przeszłości psycholodzy zademonstrowali różnicę w rozpoznawaniu znajomych i nieznajomych twarzy. Te pierwsze zidentyfikujemy w rozmaitych pozach i kontekstach na szeregu różnych zdjęć. W przypadku tych drugich rozpoznanie ogranicza się do konkretnego obrazu (często różne fotografie tej samej nieznanej twarzy są uznawane za wizerunki różnych osób).

Zdolność identyfikowania konkretnej twarzy na różnych zdjęciach można wykorzystać do stworzenia spersonalizowanego zamka. Aby móc się logować do systemu, użytkownik wyznacza zestaw twarzy, które są znane jemu, ale nie innym ludziom. Łącząc twarze z dziedzin, którymi ktoś się interesuje (np. sportu i muzyki), naukowcy byli w stanie wygenerować zestaw fizjonomii znanych wyłącznie danej osobie. Kluczem do Facelocka jest znajomość wszystkich wybranych twarzy.

Zamek składa się z serii "siatek" z twarzami; w każdej z nich znajduje się jedna znana fizjonomia, którą należy wskazać. Autoryzacja polega na dotknięciu znanej twarzy z każdego zestawu. Dla uprawnionego użytkownika to łatwe zadanie, bo znana twarz rzuca się w oczy. Potencjalnemu oszustowi demonstrowane twarze nic nie mówią.

Takie podejście ma kilka plusów. Po pierwsze, nie trzeba zapamiętywać niczego nowego. Po drugie, twarzy nie trzeba nazywać w jakiejś kolejności. Wystarczy wskazać znane elementy zestawów.

Podczas testów autoryzacja systemu z twarzami nie sprawiała problemu nawet po rocznej przerwie. Dla odmiany, nieużywane hasła ulegają zapomnieniu już na przestrzeni dni.

Oceniając podatność na złamanie, akademicy prosili ochotników, by przyjrzeli się sekwencji uzyskiwania dostępu za pomocą wskazywania 4 twarzy. Okazało się, że by uniemożliwić atak, wystarczyło zastosować inne ujęcia fizjonomii.

Udawanie, że zna się nieznajomą twarz, jest jak udawanie, że zna się nieznany język. To po prostu niemożliwe - podkreśla dr Rob Jenkins z University of York.

Kolejnym krokiem ma być opracowanie aplikacji oraz zoptymalizowanie użyteczności systemu.

« powrót do artykułu

[radar 103]

Coś mi się to nie podoba.

Jak trudno będzie wybrać zestaw, który jest znany tylko mi?

Jak trudno będzie złamać hasło osobie nam bliskiej/dzielącej zainteresowania/przyjacielowi/współpracownikowi?

Jak trudno będzie wyłuskać rzeczone zdjęcie metodą eliminacji, czyli które zdjęcie nie pasuje do pozostałych w przypadku, gdy będzie jeden muzyk i po 2 piłkarzy, malarzy etc.?

Skąd system będzie brał zdjęcia? Jeśli z internetu to wybranie potrzebnych będzie trudne (patrz pkt. 1) oraz niebezpieczne (do sprawdzenia zestaw ściąganych zdjęć). Jeśli wgrywane przez użytkownika to też słabość, bo znowu sprawdzamy co zostało wgrane.

 

Nie lepiej edukować jak wybierać mocne hasła?

T0jestBardzoMocne#asloIPoCoWiecej!?!

 

[Flaku 26]

Nie takie mocne jak jak mogloby sie wydawac

[radar 103]

Oglądałem to już.

 

Nie, no pewnie, nie jest za dobre, bo zawiera słowa, ale do codziennych zastosowań jest wystarczające, zwłaszcza, że to nie jest typowe passphrase, ale zawiera cyfry i znaki specjalne.

 

Inną metodą są pierwsze litery wyrazów, NWcntpsrbdck (Natenczas Wojski... plus oczywiście jakieś cyfry i znaki specjalne).

 

Polityka stosowania haseł powinna być mocna, ale... nie za mocna.

Innymi słowy mówiąc "niewygodne" w stosowaniu polityki haseł są omijane przez użytkowników, np. poprzez zapisywanie ich na karteczkach albo wymyślanie bzdur.

Z tymi twarzami jest podobnie, nie musisz niby pamiętać hasła, ale utworzenie nowego hasła to może być koszmar.

Mało tego, jeśli do każdego systemu masz mieć inne, unikalne hasło, jak duży powinien być zasób osób, które kojarzysz tylko Ty i nikt inny?

 

EDIT: Inna rzecz, nawet obok jest artykuł o diagnozie ze zdjęcia. Obecny poziom rozpoznawania ludzi na zdjęciach jest już wystarczający, aby jakiś program sobie z tym poradził. Do tego dojdzie wyciągnięcie "zainteresowań" z fejsa, linkedIn czy innych takich i masz babo placek

[wilk 103]

Największą słabością tego systemu jest jego bardziej uwypuklona indywidualność. Tzn. wiedząc kogo atakujemy znacznie łatwiej będzie wytypować poprawne zdjęcia. Kolejnym problemem jest fakt, że zbiór jednocześnie prezentowanych do wyboru twarzy jest ograniczony i jest ograniczeniem możliwości dobrowolnego wyboru (obniża to znacząco entropię hasła). Ponadto system ten ma taką wadę, że wizualizuje niejawnie sekret (security by obscurity). Mam nadzieję, że nikt nie wpadł tam na pomysł, by randomizować wybory i pozwalać na ponowne wprowadzenie hasła (atak przez powtórki i analizę niezmienników). Kolejną wadą jest to, że wystarczy wskazać jedynie zbiór stanowiący hasło, a kolejność wyborów nie ma znaczenia.

[pogo 102]

To wciąż siedzimy na hasłach jednorazowych?

 

Osobiście to mnie dziwi, że nigdy nie miałem żadnego włamu, szczególnie biorąc pod uwagę jak prostego hasła używam (mam ich kilka, ale tam gdzie mi nie zależy na jakości zabezpieczenia zawsze wpisuję to samo).

Fakt, żadne słownikowe metody nie działają... i szukanie w google po hashach md5 też nie... ale kilku znajomych zna to hasło i wszyscy się śmieją z jego prostoty.

[radar 103]

Jesteśmy dość niewielkim i dość biednym krajem o dziwnym, trudnym języku. Ataki są, ale raczej jak wejdziesz na stronę zachodnią.

 

Wilku, security by obscurity to chyba coś innego

[wilk 103]

No właśnie tak nie do końca coś innego. Zazwyczaj masz zaobfuskowany kod lub w inny sposób zrealizowane ukrycie. Tutaj zaś masz hasło podawane wprost na wyświetlaczu, jest ono jedynie ukryte poprzez dodanie nadmiarowych zdjęć. Jak dla mnie to rozwiązanie nadaje się wyłącznie na CAPTCHA, a nie na uwierzytelnianie.

[radar 103]

W sumie może i masz rację. W pierwszym odruchu potraktowałem to jako hash hasła, ale to przecież nie jest hash tylko jawne hasło. Nie mniej jednak security by obscurity kojarzy mi się bardziej z ukrywaniem specyfikacji systemu niż z ochroną samego hasła.