Oto najgorsza metoda uwierzytelniania biometrycznego. Lepiej jej unikaj

Uwierzytelnianie głosowe, będące coraz częstszym narzędziem w elektronicznej bankowości, centrach telefonicznych i innych krytycznych dla bezpieczeństwa użytkowników miejscach, pozwala firmom weryfikować tożsamość klientów za pomocą jednego z elementów biometryki: głosu. Wielokrotnie opisywaliśmy już na Antywebie metody ataków z wykorzystaniem deepfake'ów: jeden z nich dotyczył próby wyłudzenia okupu w ramach porwania... którego nie było.

Autorzy badania - eksperci z dziedziny bezpieczeństwa komputerowego i prywatności wyjaśnili w badaniu, że podczas rejestracji w typowej usłudze, gdzie następuje uwierzytelnianie dostępu głosem, użytkownik jest proszony o powtórzenie określonej frazy, a system wyodrębnia z tego unikalną sygnaturę głosową i przechowuje ją na serwerze. Podczas uwierzytelnienia już, użytkownik musi powtórzyć inną frazę, a system ich sygnatury (na podstawie tego, co ma na serwerze) i ostatecznie decyduje, czy próba uzyskania dostępu do usługi jest udana.

Niemal równocześnie ze startem uwierzytelniania głosem, cyberprzestępcy znaleźli całkiem zręczny sposób na wykorzystanie oprogramowania "deepfake". Napędzany machine learningiem, doskonale nadaje się do generowania przekonujących kopii głosu ofiary. W odpowiedzi na fakt używania technologii deepfake przez cyberprzestępców rozpoczęto prace nad metodami takiego "zanieczyszczenia" wygenerowanego głosu, aby ten nigdy nie prezentował sygnatury podobnej do tej w ludzkim głosie. Zdarzało się też, że system odpowiedzialny za stworzenie kopii umieszczał w niej pewne porcje danych będące dla mechanizmu weryfikującego sygnaturę znacznikiem pozwalającym stwierdzić, iż głos należy do robota, a nie człowieka.

Typowe zabezpieczenia zawiodą

Naukowcy z University of Waterloo opracowali jednak mechanizm, który wykrywa markery świadczące o tym, że dźwięk jest wygenerowany komputerowo. Napisali program, który usuwa je sprawiając, że dźwięk staje się nieodróżnialny od tego ludzkiego na poziomie analizy wykonywaj przez system bezpieczeństwa.

Czytaj dalej poniżej

Bezpieczeństwo danych osobowych w Polsce - wysoka liczba prób wyłudzenia i wycieków Jakub Szczęsny

Wielki sukces CBZC! Osoby odpowiedzialne za ataki DDoS zatrzymane Piotr Kurek

Podczas niedawnych testów opracowanego mechanizmu na systemie uwierzytelniania głosowego Amazon Connect, badacze osiągnęli wahającą się od 10 do 40 procent. W przypadku niektórych mniej zaawansowanych systemów uwierzytelniania głosowego skuteczność wyniosła aż 99% po sześciu próbach. Zauważa się, że chociaż uwierzytelnianie głosowe jest lepsze niż brak jakichkolwiek zabezpieczeń, istniejące środki przeciwdziałania spoofingowi są w większości wadliwe i trudno jest wskazać w stu procentach skuteczną i niepoddającą się atakom metodę. Firmy polegające na uwierzytelnianiu głosowym jako jedynym czynniku uwierzytelniania powinny rozważyć wprowadzenie dodatkowych i silniejszych środków uwierzytelniania.

Badania naukowców z University of Waterloo, opisane w 44. sympozjum IEEE na temat bezpieczeństwa i prywatności wywołały duże poruszenie w kontekście bezpieczeństwa uwierzytelniania głosowego. Wykazanie luk na obecnie wykorzystywanych systemach ma na celu skłonić firmy do podjęcia działań mających na celu wzmocnienie bezpieczeństwa i ochronę tożsamości klientów. Powinno się myśleć tak, jak hakerzy, aby tworzyć odporne na ataki rozwiązania. Zastanawiam się jedynie, czy rzeczywiście da się jeszcze jakkolwiek "naprawić" uwierzytelnianie za pomocą głosu w taki sposób, aby było ono "nie do złamania"...