Nå kan hackere stjele fingeravtrykket ditt kun ved hjelp av et bilde av hånden din

[AfterGlow]

Plutselig er fingeravtrykk som identifikasjonsmetode litt mindre trygg.

Nå kan hackere stjele fingeravtrykket ditt kun ved hjelp av et bilde av hånden din

[raWrz]

Folk har enda ikke skjønt at fingeravtrykk bare skal brukes til identifisering og aldri verifisering av en identitet?

[tommyb]

Det har aldri vært det minste trygt å bruke fingeravtrykk til autentisering, strengt tatt gjelder det for alle former for biometri. Identifisering, ja, autentisering og tilgangskontroll, nei.

 

Så lenge "ingen" klarer å skjønne noe såpass grunnleggende, kan jeg heller ikke tiltro dem med å lagre en digital kopi av mitt fingeravtrykk, hashet eller ikke.

[Rudde]

Det har aldri vært det minste trygt å bruke fingeravtrykk til autentisering, strengt tatt gjelder det for alle former for biometri. Identifisering, ja, autentisering og tilgangskontroll, nei.

 

Så lenge "ingen" klarer å skjønne noe såpass grunnleggende, kan jeg heller ikke tiltro dem med å lagre en digital kopi av mitt fingeravtrykk, hashet eller ikke.

 

Hvilken verdi har et hashet fingeravtrykk?

[ZeRKoX]

Hvilken verdi har et hashet fingeravtrykk?

Det kommer ann på hashingalgoritmen. All data som lagres på en pc kan hashes, sånn for å kverulere.

 

Fingeravtrykk kan ikke hashes på samme måte som ett passord, siden en er avhengig av litt marginer for endring når avtrykkene leses inn. Flipper du ett bitt på vei inn i en hashfunksjon, flippes ca halvparten på andre siden, og det er dermed ikke mulig å bruke på fingeravtrykk. Det som derimot gjøres er å lage det de kaller for ett "template", som konstrueres slik at det er vanskelig å gjenskape ett fingeravtrykk fra det.

Endret 30. desember 2014 av ZeRKoX

[oepoep]

Kanskje vil man en dag kan slutte å drømme om diverse kroppsdeler for autentisering, og konsentrere seg om løsninger som faktisk er sikre.

Det hadde vært noe...

[G]

Hvordan kan det være sikrere enn: "og at den fremdeles er sikrere enn PIN-koder og passord", som artikkelen hevder?

 

Jeg synes utsagnet virker selvmotsigende med kopieringsmuligheten som artikkelen gjør rede for.

[tommyb]

 

Det har aldri vært det minste trygt å bruke fingeravtrykk til autentisering, strengt tatt gjelder det for alle former for biometri. Identifisering, ja, autentisering og tilgangskontroll, nei.

 

Så lenge "ingen" klarer å skjønne noe såpass grunnleggende, kan jeg heller ikke tiltro dem med å lagre en digital kopi av mitt fingeravtrykk, hashet eller ikke.

 

Hvilken verdi har et hashet fingeravtrykk?

Mulig det ikke heter "hash" for fingeravtrykk, men prinsippet er at man i stedet for å lagre fingeravtrykket rått leser av endel egenskaper, som hver gang man viser fingern skal kunne leses av likt. Dette kjøres da gjennom en enveis-algoritme og resultatet lagres. Da kan dette sammenlignes flere ganger uten at man kan si så mye om selve fingeravtrykket fra det.

[Kikert]

"Fingeravtrykk kan som kjent allerede innhentes fysisk via for eksempel glatte overflater på objekter som tilhører offeret"

 

Betyr ikke det at offeret eier saken? Bedre å skrive objekter offeret har tatt på synes jeg. Bare til å plukke med seg et glass fra en resturant etter at offeret har gått vekk fra bordet det så har man det man trenger

 

"Dermed er det tilsynelatende store kunnskaper og ferdigheter som skal til før man potensielt kan omgå den biometriske sikkerhetsløsningen dersom man bare er i besittelse av det riktige utstyret"

 

Mangler det et ord der, som for eksempel "ikke"? Virker som om man ikke trenger store kunnskapene for å gjøre dette

 

For å kommentere saken litt så har det aldri vært vanskelig å få fingeravtrykk av noen på gamlemåten, å ta det fra et objekt som det står. Men dette gjør det nok mye enklere å få tak i fingeravtrykk fra kjente personer som man ikke har fysisk tilgang til. Politikere, filmstjerner etc blir det jo tatt ganske mange bilder av som det er fri tilgang på.

 

Artig sak dette her, får håpe det kommer en sak snart hvor dette har skjedd og fått en eller annen konsekvens, for underholdningens skyld da selvfølgelig

[Dubious]

Hva med øyeskannere?

 

Med tablet så kan en jo kreve hele håndflaten for å logge inn (i teorien)

[007CD]

Ett av grunnproblemene med fingeravtrykk er at du etterlater deg det over alt, og du kan ikke endre den.

Så her stiller fortsatt passord og PIN koder sterkere da disse kan endres og etterlates ikke over alt uten at du er klar over det.

 

Personlig var fingeravtrykk en perfekt løsning på laptopen for sudoing i Linux, så slapp jeg å taste inn det lange passordet hver gang jeg skulle inn i ett root shell , riktignok var ikke fingeravtrykket godt nok for innlogging fra hverken innsiden eller utsiden.

[XmasB]

Folk har enda ikke skjønt at fingeravtrykk bare skal brukes til identifisering og aldri verifisering av en identitet?

 

Når folk ikke forstår noe så grunnleggende om fødselsnummer engang er det nok lite håp, dessverre.

[raWrz]

 

 

Det har aldri vært det minste trygt å bruke fingeravtrykk til autentisering, strengt tatt gjelder det for alle former for biometri. Identifisering, ja, autentisering og tilgangskontroll, nei.

 

Så lenge "ingen" klarer å skjønne noe såpass grunnleggende, kan jeg heller ikke tiltro dem med å lagre en digital kopi av mitt fingeravtrykk, hashet eller ikke.

Hvilken verdi har et hashet fingeravtrykk?

Mulig det ikke heter "hash" for fingeravtrykk, men prinsippet er at man i stedet for å lagre fingeravtrykket rått leser av endel egenskaper, som hver gang man viser fingern skal kunne leses av likt. Dette kjøres da gjennom en enveis-algoritme og resultatet lagres. Da kan dette sammenlignes flere ganger uten at man kan si så mye om selve fingeravtrykket fra det.

 

 

Skjønner ikke hvordan et fingeravtrykk blir lagra har noe som helst å si for mitt poeng.

 

Problemet med fingeravtrykk er at du legger dem fra deg overalt. Ved litt triksing og epoxzy så har hvilken som helst et fult fungerende print av fingeren din. Mythbusterst (faktisk) har testet dette.

 

Problemet her er som 007CD nevnte kort, fingeravtrykket ER deg så derfor bruker du noe som identifiserer deg som autentisering av deg.

 

For å dra strikken litt langt;

Ville du brukt navnet ditt som passord til en tjeneste?

 

Jeg tror ikke det.

 

 

 

Hva med øyeskannere?

 

Med tablet så kan en jo kreve hele håndflaten for å logge inn (i teorien)

Det er en del vanskeligere å fake. Men prinsippet er fortsatt det samme. Irisen er unik til ditt øye = passordet er identiteten din.

 

 

Som VentureBeat peker på betyr imidlertid ikke dette at løsningen er utdatert av den grunn, da den fremdeles har en viktig plass innen totrinnsverifikasjon og at den fremdeles er sikrere enn PIN-koder og passord.

 

 

Dette sitatet er så skremmende at jeg veit ikke hva jeg skal gjøre. Forfatteren av den artikkelen har ingen basic sikkerhet overhodet.

 

Edit:

 

Jeg kom på, best practice med sikkerhet er alltid noe du har + noe du "veit"

Så hvis du kombinerer fingeravtrykket ditt + noe du veit for å lage et passord så har du et (veldig diskuterbart) legitimt bruk av fingeravtrykk.

 

Her er eks. RSA kodebrikker et godt eksempel.

Der pleier man ha en 4 siffer kode som du veit + en kodebrikke som sammen lager et passord.

 

Men nå er det jo kjent at NSA har svekket hvordan RSA brikkene lager kodene. Så det er i praksis ikke veldig trygt lengre.

http://en.wikipedia.org/wiki/RSA_BSAFE

Endret 2. januar 2015 av raWrz

[tommyb]

 

 

Skjønner ikke hvordan et fingeravtrykk blir lagra har noe som helst å si for mitt poeng.

 

Problemet med fingeravtrykk er at du legger dem fra deg overalt. (...)

 

Nada. Det har ikke det sprøtt med ditt opprinnelige poeng å gjøre, som jeg forøvrig var helt enig i. Det var et helt frittstående poeng i seg selv. Den har kanskje noe med den neste setninga di der å gjøre; at man legger fra deg fingeravtrykk overalt. Inntil "ingen" har klart å skjønne noe såpass grunnleggende som det jeg sa, eller det du sa før meg, så tiltror jeg ikke dem å ha en gjenbrukbar kopi av mitt fingeravtrykk.

 

Det med lagringa var et uviktig sidespor.

 

 

 

Problemet her er som 007CD nevnte kort, fingeravtrykket ER deg så derfor bruker du noe som identifiserer deg som autentisering av deg.

 

For å dra strikken litt langt;

Ville du brukt navnet ditt som passord til en tjeneste?

 

 

Nope. Jeg ville heller ikke brukt postnummeret mitt som passord, men det vel er minst en nettbutikk som gjør det...

 

 

Jeg kom på, best practice med sikkerhet er alltid noe du har + noe du "veit"

 

Med biometri kan du øke et hakk, og kreve noe du har + noe du veit + noe du er. Dette er vel de tre primære former for menneskelig autentikasjon (Schneider). Mindre praktisk, naturligvis.

 

Fred B. Schneider, som naturligvis er mye flinkere enn meg, sier forøvrig noe annet enn det jeg sa oppi der, nesten motsatt, at:

 

 

Having looked at all these methods for authentication, we can see that as a secondary form of authentication (but not identification!) biometrics might be promising.

 

Så han er ikke like avvisende til biometri som det magerefleksen min tilsier.

 

Edit: Måtte nesten sjekke opp hva Bruce Schneider sa også:

 

 

Biometrics are easy, convenient, and when used properly, very secure; they're just not a panacea. Understanding how they work and fail is critical to understanding when they improve security and when they don't.

Endret 2. januar 2015 av tommyb