Пароль можно поменять, биометрию — нет: почему важно знать терминологию доступа

В последнее время активно обсуждается внедрение биометрии на государственном уровне. Противники считают биометрию необратимой при компрометации, а сторонники указывают на защищённые шаблоны и единую биометрическую систему (ЕБС). Для того, чтобы понимать риски этого нововведения, важно четко понимать терминологию.

Идентификация, аутентификация, авторизация... Термины схожи, но даже мелкие различия способны привести к большой ошибке. И, чтобы ее не совершить, обсудим эту тему в рубрике «Без птичьего языка: разбираем ИТ-термины».

Идентификация ("Кто вы?"). Имя, номер телефона, адрес электронной почты, биометрические данные (внешность, голос, отпечатки пальцев), вообще любые данные, которые однозначно определяют пользователя. Это открытые данные, их может узнать кто угодно. А значит - представиться не своим именем, назвать чужой номер телефона, воспользоваться чужой внешностью при помощи фотографии или искусственного интеллекта.

Аутентификация ("Чем докажете?"). Пароль, который никто не знает. СМС-код, который может получить только владелец телефона. Можно попробовать угадать пароль, перебирая варианты, но если он сложный и время от времени меняется (СМС-коды вообще одноразовые), то это рецепт абсолютной защиты.

Авторизация ("Что вам можно?"). Пользователь видит только свой профиль, а администратор — настройки сервера. Авторизация пользователя может совмещаться с аутентификацией и поэтому их часто путают. А может выполняться перед каждым действием, и тогда доступ можно мгновенно отозвать. Например, если окажется, что аутентифицированный пользователь на самом деле нарушитель, который узнал чужой пароль, а настоящий пользователь вовремя предупредил службу безопасности.

Именно на этом противники биометрии строят свои возражения. Биометрия не является секретом, то есть ее можно получить. И биометрический ключ нельзя заменить, исключая экстремальные методы смены внешности, голоса и отпечатков пальцев. Поэтому в целом использование идентификации вместо аутентификации — плохое решение.

Есть много моделей разграничения доступа и все они основаны на правильном понимании этих терминов. Сохраняйте пост в закладки, чтобы быть компетентными.

Подробнее об инициативе с биометрией в статье SecPost.

Наш сайт. Мы в МАХ и ВК

#иттермины #GETMOBIT #безопасность #экспертное_мнение #аутентификация #идентификация