Fingerprint

Transcrição

Fingerprint

IT-SecX
Fingerprint
Biometrische Fingerabdruckverfahren im Zutrittsund Anmeldebereich auf dem Prüfstand
Ing. Eva Rein, BSc
Information Security [Master]
Agenda
> Fingerprint allgemein
> Funktionalität
> Fingerprintreader
> Sicherheitsrisiken
> Experiment
IT-SecX | 06. November 2009 | Eva Rein – is091515
2
Wie alles begann …
> „Die Biometrie (auch Biometrik) beschäftigt sich mit
Messungen an Lebewesen und den dazu erforderlichen
Mess- und Auswerteverfahren.“ [wikipedia.org]
• Bios – Leben
• Metron – Maß
> 1841 Christoph Bernoulli
3
Wie alles begann …
> 1879: Alphonse Bertillon – biometrische Merkmale
> 1892: Sir Francis Galton – Fingerprint
> 1893: Home Ministry von UK
> 1899: Henry System
> 1924: 810.000 Fingerprintkarten
> 1960er: AFIS - Automatic Fingerprint Identification Systems
4
Einsatzmöglichkeiten heute
> Grenzkontrollen
> Reisepässe
> Zeiterfassung
> Zutrittskontrollen
> Zugriffskontrollen
5
Fingerprint – Voraussetzungen
> Universalität
> Einzigartigkeit
> Konstanz
> Messbarkeit
> Akzeptanz
> Performanz
6
Fingerprint – Definition
> … ist eine aktive Erfassung von biometrischen Daten, zur
Authentifikation gegenüber einem System.
> „… ist ein Abdruck der feinen Linien (Papillarleisten) an den
Fingerspitzen …“ [www.kinderpolizei.at]
> Jeder Mensch besitzt einen einzigartigen Fingerabdruck
(sogar eineiige Zwillinge).
7
Fingerprint – Merkmale I
> Muster
Handbook of Fingerprint Recognition, D. Maltoni
8
Fingerprint – Merkmale II
> Minutien
Handbook of
Fingerprint
Recognition,
D. Maltoni
9
Fingerprint – Merkmale III
> Schweißporen
Handbook of
Fingerprint
Recognition,
D. Maltoni
10
Funktionalität I
> Enrollment
vgl. Handbook of Fingerprint Recognition, D. Maltoni
11
Funktionalität II
> Verifikation
12
Funktionalität III
> Identifikation
13
Fingerprint
> False Rejection Rate (FRR)
• Berechtigte Personen werden abgewiesen
> False Acceptance Rate (FAR)
• Nicht berechtigte Personen werden akzeptiert
> Failure to Enroll
• Es kann kein Profil von Personen angelegt werden
14
Fingerprint
Handbook of
Fingerprint
Recognition,
D. Maltoni
15
Fingerprintreader I
> Offline Fingerprintsensoren
• Tinte
• von Nagel zu Nagel gerollt
• Scanner
16
Fingerprintreader II
> Optische Fingerprintsensoren
• Leuchtkörper
• Prisma
• optische Linse
• benötigt dreidimensionale Vorlage
17
Fingerprintreader III
Handbook of
Fingerprint
Recognition,
D. Maltoni
18
Fingerprintreader IV
Handbook of
Fingerprint
Recognition,
D. Maltoni
19
Fingerprintreader V
20
Fingerprintreader VI
> Elektrooptische Fingerprintscanner
21
Fingerprintreader VII
> Solid State Sensoren
• keine optischen Komponenten
• siliziumbasierender Chip
• elektrisches Feld (Erdung!)
22
Fingerprintreader VIII
23
Fingerprintreader IX
> Ultraschall Sensoren
• akustische Signale
• benötigt mehrere mechanische Teile
• größer und teurer
24
Fingerprintreader X
25
Fingerprintreader XI
> Thermische Sensoren
• erzeugt thermisches Abbild
• höhere Sicherheit gegen Fingerprintfälschungen
• keine Erdung erforderlich
Firma ekey
26
Sicherheitsrisiken
> False Acceptance Rate (FAR)
> Fotografie
> Fingerprint Attrappe
> Finger eines Toten
> Abhören der Daten
> Hacken des Datenbankservers
> Erpressung
27
Sicherheitsrisiken – False Acceptance Rate
> Nicht berechtigte Personen werden akzeptiert
> Regulierung der Akzeptanzschwelle bringt Einbußen bei der
False Rejection Rate!
> zusätzlicher PIN
28
Sicherheitsrisiken – Fotografie
> … stellt eigentlich kein Risiko dar
> Optische Fingerprintreader und Ultraschallreader benötigen
eine dreidimensionale Vorlage
> Solid State Reader bauen zusätzlich ein elektrisches Feld
auf
> Thermische Fingerprintreader bauen ein thermisches Feld
auf
29
Sicherheitsrisiken – Fingerprint Attrappe
> Von einem zurückgelassenen Fingerabdruck wird eine
Fingerprint Attrappe erstellt
> Verwendung von Thermischen Fingerprintreadern
> Zusätzliche Verwendung einer Chipkarte
> Zusätzliche PIN Eingabe
31
Sicherheitsrisiken – Finger eines Toten
> Verwendung von Thermischen Fingerprintreadern
> Lebenderkennung
> Weitere mögliche Ansätze:
• Ausbreitung von Schweiß
• Ausnutzung von Fingerabdruckverformungen
• Riechender Detektor
• Messung des Blutsauerstoffs mittels Pulsoximetrie (dabei wird
der Finger durchleuchtet)
32
Sicherheitsrisiken – Abhören der Daten
> Verschlüsselte Datenübertragung
33
Sicherheitsrisiken – Hacken d. DB-Systems
> ausreichende Absicherung des DB-Systems
> physische Sicherheit & Zugriffsberechtigungen
> getrennte Speicherung der biometrischen Referenzdaten
sowie der zugeordneten Benutzerdaten
> Verschlüsselung der Daten
> Verwendung von Signaturen
34
Sicherheitsrisiken – Erpressung
> Gegen eine Erpressung ist man niemals gefeit
> Verwendung einer Alarmfingerfunktion
• Mit Hilfe eines zuvor definierten Fingers wird ein stiller Alarm
ausgelöst
• Somit ist eine unbemerkte Alarmierung eines Wachdienstes
oder der Polizei möglich
35
Experiment
Das Experiment
Jetzt wird es spannend …
36
Experiment
> AET60 BioCARDKey
> Fingerprint Scanner SDK with Smart Card Reader
> Firma acs – Specialists in Card Readers
37
Experiment – Vorbereitung
> Enrollment
• Vom Testuser wird ein Userprofil angelegt
• Abnahme des Fingerabdruckes
38
Experiment I
Fingerprint Attrappe
Let´s have some fun …
39
Experiment I – Fingerprint Attrappe
> Fingerabdruck erstellen
40
> Fingerabdruck sichtbar machen
• Rußpulver
• weicher Pinsel
41
> Fingerabdruck abfotografieren
42
> Bearbeitung im Photoshop
43
> Anfertigung der Fingerprint Attrappe
• Laser-Ausdruck auf Folie
• Holzleim & Glycerin
• oder Gelatine
44
> Anmeldung mit
Fingerprint Attrappe
45
Experiment II
Wasserdampf
Warum kompliziert,
wenn es auch einfach geht …
46
Experiment II – Wasserdampf
> Bei Verwendung des Fingerprintreaders bleibt ein
Fingerabdruck auf dem Fingerprintsensor zurück
> Mit Hilfe von Anhauchen bzw. Wasserdampf ist eine
Anmeldung durch Dritte möglich
47
Fazit – Pro
> einzigartig & konstant
> geringe False Acceptance Rate
> benötigt wenig Speicher
> einfach & komfortabel
48
Fazit – Cons
> Akzeptanz der Benutzer
> Probleme bei der Fingerabdrucknahme
> hygienische Bedenken
> keine Willenserklärung
> keine 100%ige Sicherheit
49
Fazit
> adäquate Auswahl des Fingerprintreaders
> Kombination mit einem zweiten Verfahren
• PIN Eingabe
• SmartCard
> Lebenderkennung
> Verwendung einer Latenzbilddetektion
50
Fragen
51
Ende
Danke für Ihre Aufmerksamkeit 
52

Fingerprint

Transcrição

Documentos relacionados

OpenPGP-Schulung – Einrichtungs-Merkzettel (Version 1.3.1, 12.04

Online-Banking: Neue Fingerprints ab 13. November 2015

Erkennung von Fingerprints II

EVO 4.3 - Gecosoft GmbH

Verschraubung Poster V11

Aktuelles

Laborinformation Abstammung Katzen

Erfolg ist Zufall

Lesen

Verwenden des iEvo-Fingerabdrucklesers mit Net2

Conlan eXPress

Wie primed Angelina Jolie ihren Brad?

FLACHGLAS Wernberg stellt Multisafe Alarmglas vor