As empresas precisam ser cuidadosas sobre como implementam seus sistemas de autenticação biométrica para evitar a violação da privacidade de funcionários ou clientes ou a exposição inadequada de informações confidenciais. Afinal de contas, embora seja fácil emitir uma nova senha quando a antiga é comprometida, é impossível dar a alguém um novo olhar.
A autenticação biométrica usa características humanas físicas ou comportamentais para identificar digitalmente uma pessoa para conceder acesso a sistemas, dispositivos ou dados. Exemplos desses identificadores biométricos são impressões digitais, padrões faciais, voz ou cadência de digitação. Cada um desses identificadores é considerado exclusivo do indivíduo e pode ser combinado com outros meios de autenticação para garantir maior precisão na identificação dos usuários.
Como a biometria pode fornecer um nível razoável de confiança na autenticação de uma pessoa, ela tem o potencial de melhorar drasticamente a segurança. Computadores e dispositivos podem desbloquear automaticamente quando detectam as impressões digitais de um usuário autorizado. As portas da sala do servidor podem se abrir ao reconhecerem o rosto de administradores de sistemas confiáveis. Os sistemas de help desk podem extrair automaticamente todas as informações relevantes quando reconhecem a voz de um funcionário na linha de suporte.
De acordo com pesquisa recente da Ping Identity, 92% das empresas classificam a autenticação biométrica como "eficaz" ou "muito eficaz" para proteger dados de identidade armazenados on-premise e 86% afirmam que é eficaz para proteger dados armazenados em uma nuvem pública. Outra pesquisa, divulgada no ano passado pela Spiceworks, informa que 62% das empresas já estão usando autenticação biométrica e outros 24% planejam implantá-la nos próximos dois anos. Além disso, 48% dos participantes consideram dados biométricos roubados como um alto risco de segurança.
Outras barreiras à adoção incluem custos, citados por 67% dos entrevistados, seguidos por preocupações com confiabilidade (59%).
Para empresas que utilizam especificamente a biometria para proteger a infraestrutura de TI em nuvem, SaaS, ambientes locais e híbridos, as taxas de adoção são ainda mais baixas, de acordo com a pesquisa Ping Identity. Apenas 28% das empresas usam biometria on-premise e, menos ainda, 22%, usam para aplicativos na nuvem.
Tipos de biometria
Um identificador biométrico é aquele que está relacionado a características humanas intrínsecas. Eles se enquadram em duas categorias: identificadores físicos e identificadores comportamentais. Os identificadores físicos são, na maior parte, imutáveis e independentes de dispositivos. Entre eles estão:
1 - Impressões digitais: Os scanners de impressão digital tornaram-se onipresentes nos últimos anos devido à sua implantação generalizada em smartphones. Qualquer dispositivo que possa ser tocado, como uma tela de telefone, mouse de computador ou touchpad, ou um painel de porta, tem o potencial de se tornar um scanner de impressão digital fácil e conveniente. De acordo com a Spiceworks, a digitalização de impressões digitais é o tipo mais comum de autenticação biométrica, usada por 57% das empresas.
2 - Foto e vídeo: se um dispositivo estiver equipado com uma câmera, ele pode ser facilmente usado para autenticação. Reconhecimento facial e exames de retina são duas abordagens comuns.
3 - Reconhecimento fisiológico: O reconhecimento facial é o segundo tipo mais comum de autenticação, de acordo com a Spiceworks, presente em 14% das empresas. Outros métodos de autenticação baseados em imagem incluem reconhecimento de geometria da mão, usado por 5% das empresas, leitura de íris ou retina, reconhecimento de veias da palma da mão e reconhecimento de ouvido.
4 - Voz: Assistentes digitais baseados em voz e portais de serviços baseados em telefone já estão usando reconhecimento de voz para identificar usuários e autenticar clientes. De acordo com a Spiceworks, 2% das empresas usam reconhecimento de voz para autenticação dentro da empresa.
5 - Assinatura: os scanners de assinatura digital já estão em uso geral nos caixas de varejo e nos bancos e são uma boa opção para situações em que usuários e clientes já esperam assinar seus nomes.
6 - DNA: Hoje, os exames de DNA são usados principalmente na aplicação da lei para identificar suspeitos. Na prática, o sequenciamento de DNA tem sido muito lento para uso generalizado. Isso está começando a mudar. No ano passado, um scanner de US $ 1 mil chegou ao mercado que pode fazer uma correspondência de DNA em questão de minutos - e os preços devem continuar caindo.
Os identificadores comportamentais são uma abordagem mais recente e, em geral, estão sendo usados em conjunto com outro método devido à sua baixa confiabilidade. No entanto, à medida que a tecnologia melhora, esses identificadores comportamentais podem ter seu uso ampliado. Ao contrário dos identificadores físicos, que são limitados a um certo conjunto fixo de características humanas, os únicos limites para os identificadores comportamentais são a imaginação humana.
Hoje, esta abordagem é frequentemente usada para distinguir entre um humano e um robô. Isso pode ajudar uma empresa a filtrar spam ou detectar tentativas de força bruta para login e senha. À medida que a tecnologia melhore, é provável que os sistemas melhorem na identificação precisa de indivíduos, mas continuem menos eficazes na distinção entre humanos e robôs. Aqui estão algumas abordagens comuns:
1 - Padrões de digitação: todo mundo tem um estilo de digitação diferente. A velocidade na qual digitamos, o tempo que levamos para ir de uma letra a outra, o grau de impacto no teclado... tudo isso é considerado aqui.
2 - Movimentos físicos: a maneira como alguém anda é única para um indivíduo e pode ser usada para autenticar funcionários em um prédio ou como uma camada secundária de autenticação para locais particularmente sensíveis.
3 - Padrões de navegação: Os movimentos do mouse e os movimentos dos dedos em trackpads ou telas sensíveis ao toque são exclusivos para os indivíduos e relativamente fáceis de detectar com o software, sem a necessidade de um hardware adicional.
4 - Padrões de envolvimento: todos interagimos com a tecnologia de maneiras diferentes. Como abrimos e usamos aplicativos, os locais e horários do dia em que estamos mais propensos a usar nossos dispositivos, a maneira como navegamos em websites, como inclinamos nossos telefones quando os seguramos ou até mesmo com que frequência verificamos nossas contas de mídia social são todas características comportamentais potencialmente únicas. Hoje esses padrões de comportamento podem ser usados para distinguir pessoas de bots. E também podem ser usados combinados com outros métodos de autenticação ou, se a tecnologia melhorar o suficiente, como medidas de segurança independentes.
Quão confiável é a autenticação biométrica?
Credenciais de autenticação, como digitalizações de impressões digitais ou gravações de voz, podem vazar de dispositivos, de servidores da empresa ou do software usado para analisá-las. Há também um alto potencial para falsos positivos e falsos negativos. Um sistema de reconhecimento facial pode não reconhecer um usuário usando maquiagem ou óculos, ou alguém que esteja doente ou cansado. Vozes também variam.
As pessoas parecem diferentes quando acordam, ou quando tentam usar o telefone em um ambiente público lotado, ou quando estão com raiva ou impacientes. Os sistemas de reconhecimento podem ser enganados com máscaras, fotos e gravações de voz, com cópias de impressões digitais ou enganados por membros da família ou colegas de confiança quando o usuário legítimo está dormindo.
Os especialistas recomendam que as empresas usem vários tipos de autenticação simultaneamente e aumentem rapidamente se virem sinais de burla. Por exemplo, se a impressão digital for correspondente, mas a face não for, ou a conta estiver sendo acessada de um local incomum em um horário incomum, talvez seja hora de alternar para um método de autenticação de backup ou um segundo canal de comunicação. Isso é particularmente crítico para transações financeiras ou alterações de senha.
Quais são os riscos de privacidade na autenticação biométrica?
Alguns usuários podem não querer que as empresas coletem dados sobre, digamos, a hora do dia e os locais onde eles normalmente usam seus telefones. Se essa informação vazar, ela poderia ser usada por stalkers ou, no caso de celebridades, por jornalistas de tablóides sensacionalistas. Alguns usuários podem não querer que seus familiares ou cônjuges saibam onde estão o tempo todo.
A informação também pode ser abusada por regimes governamentais repressivos ou por promotores criminais extrapolando limites. Poderes estrangeiros podem usar a informação na tentativa de influenciar a opinião pública. Comerciantes e anunciantes antiéticos podem fazer o mesmo. No ano passado, foi descoberto que um aplicativo de fitness coletava informações sobre locais de usuários e os expunha de maneira a revelar a localização de bases militares secretas e rotas de patrulha dos EUA.
Qualquer uma dessas situações poderia levar a constrangimento público significativo para a empresa que coletou os dados, multas regulamentares ou ações judiciais coletivas. Se as varreduras de DNA se generalizarem, elas poderão dar origem a toda uma nova área de preocupações com a privacidade, incluindo a exposição de condições médicas e relacionamentos familiares.
Quão segura é a autenticação biométrica?
A segurança dos dados de autenticação biométrica é de vital importância, até mais do que a segurança das senhas, já que as senhas podem ser facilmente alteradas se forem expostas. Uma impressão digital ou um exame de retina, no entanto, é imutável. A divulgação desta ou de outras informações biométricas pode colocar os usuários em risco permanente e criar uma exposição legal significativa para a empresa que perde os dados.
"No caso de uma violação, ela cria um desafio hercúleo porque atribuições físicas, como impressões digitais, não podem ser substituídas", diz o especialista em segurança de dados Kon Leong, CEO e co-fundador da ZL Technologies, sediada em San Jose. "Dados biométricos nas mãos de uma entidade corrupta, talvez um governo, também carregam implicações muito assustadoras, mas reais."
No fim das contas, toda empresa é responsável por suas próprias decisões de segurança. Você não pode terceirizar a conformidade, mas pode reduzir o custo da conformidade e as possíveis repercussões de um vazamento, escolhendo o fornecedor certo. Se uma empresa de pequeno e médio porte usa, digamos, a tecnologia de autenticação do Google ou da Apple e há uma violação de segurança comprometendo o Google ou a Apple, é provável que o Google ou a Apple tenham culpa.
Além disso, as empresas que não mantêm credenciais registradas têm algumas proteções legais. Por exemplo, muitos varejistas podem evitar custos substanciais de conformidade mantendo seus sistemas "fora do escopo". As informações de pagamento são criptografadas diretamente no terminal de pagamento e passam direto para um processador de pagamentos. Os dados brutos do cartão de pagamento nunca tocam nos servidores da empresa, reduzindo implicações de conformidade e possíveis riscos de segurança.
Se uma empresa precisar coletar informações de autenticação e mantê-las em seus próprios servidores, práticas recomendadas sde segurança devem ser aplicadas. Isso inclui criptografia para dados em repouso e dados em trânsito. Novas tecnologias estão disponíveis para criptografia em tempo de execução, que mantém os dados criptografados mesmo enquanto estão sendo usados.
A criptografia não é uma garantia absoluta de segurança, é claro, se os aplicativos ou usuários autorizados a acessar os dados estiverem comprometidos. No entanto, existem algumas maneiras pelas quais as empresas podem evitar manter dados de autenticação criptografados em seus servidores.
Autenticação local ou baseada em dispositivo
O exemplo mais comum de um mecanismo de autenticação local é o módulo de segurança de hardware em um smartphone. As informações do usuário - como uma digitalização de impressões digitais, imagem facial ou impressão de voz - são armazenadas dentro do módulo. Quando a autenticação é necessária, as informações biométricas são coletadas pelo leitor de impressões digitais, câmera ou microfone e enviadas para o módulo, onde são comparadas com o original. O módulo informa ao telefone se as novas informações correspondem ou não ao que já havia armazenado.
Com este sistema, a informação biométrica bruta nunca é acessível a nenhum software ou sistema fora do módulo, incluindo o próprio sistema operacional do telefone. No iPhone, isso é chamado de enclave seguro e está disponível em todos os telefones com chips a partir do Apple A7. O primeiro telefone com essa tecnologia foi o iPhone 5S, lançado em 2013. Tecnologia semelhante também está disponível em telefones Android. A Samsung, por exemplo, começou a implantar o ambiente de execução confiável ARM TrustZone já no modelo S3.
Hoje, os módulos de segurança de hardware dos smartphones são usados para fornecer segurança para o Apple Pay, Google Pay e Samsung Pay, bem como para autenticar aplicativos de terceiros. O PayPal, por exemplo, pode usar o sensor biométrico de um telefone para autenticação sem que o PayPal veja os próprios dados biométricos. O Square Cash, o Venmo, o Dropbox e muitos apps bancários e aplicativos de gerenciamento de senhas também utilizam esse mecanismo de autenticação.
As empresas também podem usar leitores biométricos baseados em smartphones sempre que seus usuários ou clientes tiverem acesso a smartphones, sem nunca precisar coletar e armazenar informações biométricas de identificação em seus próprios servidores. Uma tecnologia semelhante está disponível para outros tipos de dispositivos, como cartões inteligentes, fechaduras inteligentes ou scanners de impressões digitais para PCs.
De acordo com a Spiceworks, o reconhecimento de impressão digital baseado em telefone é o mecanismo de autenticação biométrica mais comum hoje. Trinta e quatro por cento das empresas usam o sensor de impressões digitais Touch ID da Apple. Além disso, 14% das empresas usam o Apple Face ID e 7% usam o Android Face Unlock.
A autenticação baseada em smartphone oferece benefícios significativos de usabilidade. Primeiro, os usuários tendem a ficar sabendo imediatamente se perderam o smartphone, tomando medidas imediatas para localizá-lo ou substituí-lo. Se, no entanto, eles perdem um distintivo que só usam para acessar um prédio durante as horas de folga, eles podem não perceber por um tempo que ele não está mais em sob sua posse.
Fabricantes de smartphones também estão no meio de uma corrida armamentista para tornar sua tecnologia melhor e mais fácil de usar. Nenhuma outra indústria - ou empresa individual - pode igualar a escala do investimento móvel ou os testes de usabilidade e segurança que os telefones recebem.
Finalmente, a autenticação por telefone oferece aos usuários flexibilidade máxima. Eles podem optar por telefones com identificação facial, scanners de impressão digital ou reconhecimento de voz, ou alguma outra tecnologia nova que ainda não tenha sido inventada, mas que dominará o mercado amanhã. No entanto, o uso de um mecanismo de terceiros, como smartphones de consumo, coloca o processo de autenticação fora do controle da empresa.
Outro ponto negativo da autenticação baseada em dispositivos, em geral, é que as informações de identidade são limitadas a esse único dispositivo. Se as pessoas usarem uma impressão digital para desbloquear o smartphone, elas também não poderão usar a mesma impressão digital para desbloquear a porta do escritório sem autorizar separadamente a trava da porta ou para desbloquear o computador sem autorizar separadamente o scanner de impressão digital do computador.
As empresas que precisam autenticar usuários ou clientes em vários dispositivos em vários locais precisam ter algum tipo de mecanismo centralizado para armazenar as credenciais de autenticação ou aproveitar um dispositivo que o usuário carregue consigo em todos os momentos. Por exemplo, as empresas podem colocar o mecanismo de autenticação dentro de um selo inteligente que os funcionários usam no escritório. Eles também podem usar um smartphone para autenticar o funcionário e, em seguida, comunicar a confirmação de identidade a outros dispositivos e sistemas via Bluetooth, NFC, Wi-Fi ou pela Internet.
Tokenização ou criptografia
Outra abordagem para permitir que novos dispositivos reconheçam usuários autorizados é a função de tokenização, criptografia unidirecional ou hash. Digamos, por exemplo, que a identificação de retina, voz ou impressão digital seja usada para reconhecer e autenticar funcionários onde quer que eles possam ir dentro de uma empresa, mas a empresa não quer ter a imagem ou arquivos de áudio armazenados em servidores onde hackers ou funcionários mal-intencionados possam fazer uso indevido eles.
Em vez disso, a empresa usaria um dispositivo que, digamos, digitaliza o rosto ou a impressão digital de uma pessoa, converte essa imagem em um código exclusivo e, em seguida, envia esse código para o servidor central para autenticação. Qualquer dispositivo que use o mesmo método de conversão poderá, então, reconhecer o funcionário e os dados de identificação brutos nunca estarão disponíveis em nenhum sistema.