Чувствуете себя не комфортно с идентификатором лица и другими биометрическими данными? Тогда эта новость может быть вам интересна.
Команда исследователей Университета в Баффало обнаружила, как идентифицировать смартфоны, изучив всего одну фотографию, сделанную устройством. Это новшество открывает возможность использования смартфонов — вместо частей тела — в качестве средства идентификации для предотвращения киберпреступлений.
«Как и снежинки, нет двух одинаковых смартфонов. Каждое устройство, независимо от производителя или марки, может быть идентифицировано по образцу микроскопических дефектов изображения, которые присутствуют в каждом снимке, который они делают», — говорит Куи Рен, ведущий автор исследования. «Это как сопоставление пуль с пистолетом, только мы сопоставляем фотографии с камерой смартфона».
Новая технология, которая будет представлена в феврале на конференции по безопасности сетей и распределенных систем 2018 года в Калифорнии, пока еще не доступна для общественности. Тем не менее, она может стать частью процесса аутентификации — как и PIN-коды и пароли — которые клиенты проходят в кассах, банкоматах и во время онлайн-транзакций.
Для людей, у которых были украдены личные идентификационные данные, это также может помочь предотвратить использование киберпреступниками этой информации для совершения покупок от их имени, говорит Рен, доктор философии, профессор по инновациям SUNY Empire на факультете компьютерных наук и инженерии в Инженерной и прикладной школе UB.
Как каждая камера уникальна
Исследование… «Эй-Би-Си»: Включение проверки подлинности смартфона со встроенной камерой» — сосредотачивается на непонятном недостатке в цифровой визуализации под названием фото-ответа неравномерности (PRNU).
Цифровые камеры построены, чтобы быть идентичными. Тем не менее, производственные дефекты создают крошечные вариации в датчиках каждой камеры. Эти вариации могут привести к тому, что некоторые из миллионов пикселей датчиков проецируют цвета, которые немного ярче или темнее, чем они должны быть.
Невидимый невооруженным глазом, это отсутствие однородности формирует системные искажения на фото, называемые шумом узора. Извлеченный специальными фильтрами, шаблон уникален для каждой камеры.
Впервые наблюдаемый в обычных цифровых фотоаппаратах, анализ PRNU широко распространен в цифровой криминалистике. Например, он может помочь в урегулировании исков по авторскому праву, связанных с фотографиями.
Но он не применялся к кибербезопасности — несмотря на повсеместное распространение смартфонов — потому что для его извлечения потребовалось проанализировать 50 фотографий, сделанных камерой, и эксперты, хотя заказчики не были бы готовы предоставить такое количество фотографий. Кроме того, проницательные киберпреступники могут подделать картинку, анализируя снимки, сделанные с помощью смартфона, которые жертвы размещают на незащищенных веб-сайтах.
Применяя эту технику к кибербезопасности
В исследовании рассматривается вопрос о том, как можно преодолеть каждую из этих проблем.
По сравнению с обычной цифровой камерой датчик изображения смартфона намного меньше. Уменьшение усиливает неравномерность размеров пикселей и создает намного более сильный PRNU. В результате, можно сопоставить фотографию со смартфоном, используя одну фотографию вместо 50, которые обычно требуются для цифровой криминалистики.
«Я думаю, что большинство людей предполагало, что для идентификации камеры смартфона понадобится 50 изображений». Но наши исследования показывают, что это не так», — говорит Рен, член IEEE (Института инженеров по электротехнике и электронике) и ACM (Ассоциации вычислительной техники), заслуженный деятель науки.
Чтобы предотвратить подделки, Ren разработал протокол — это часть процесса аутентификации, описанного ниже, — который обнаруживает и останавливает два типа атак.
Как работает новый протокол безопасности
В исследовании обсуждается, как такая система может работать. Во-первых, клиент регистрируется в каком-либо бизнесе — например, в банке или ритейлере — и предоставляет этому бизнесу фотографию, которая служит справочным материалом.
Когда клиент инициирует транзакцию, ритейлер просит клиента (скорее всего, через приложение) сфотографировать два QR-кода (тип штрих-кода, который содержит информацию о транзакции), представленные на банкомате, кассовом аппарате или другом экране.
Используя приложение, клиент затем отправляет фотографию обратно продавцу, который сканирует фотографию для измерения PRNU смартфона. Продавец может обнаружить подделку, потому что PRNU камеры злоумышленника изменит компонент PRNU фотографии.
Более сообразительные киберпреступники могут потенциально удалить PRNU из своего устройства. Но протокол Ren может обнаружить это, потому что QR-коды содержат встроенный сигнал зонда, который будет ослаблен процессом удаления.
На основании этих тестов сделка либо одобряется, либо отклоняется.
Результаты и что дальше
Протокол опровергает три наиболее распространенные тактики киберпреступников: атаки на подделку отпечатков пальцев, атаки типа «человек в середине» и повторные атаки. Точность 99,5% в тестах, включающих 16 000 изображений и 30 различных смартфонов iPhone 6s и 10 различных смартфонов Galaxy Note 5s.
Рен планирует в будущем провести эксперименты со смартфонами, включающими две камеры, которые, по его словам, могут быть использованы для усложнения атак на подделку.
Помимо Рена, в соавторы проекта входят Чжунцзе Ба (UB), Сику Пьяо (UB), Димитриос Кутсониколас (UB), Азиз Мохайзен (ранее UB, а теперь Университет Центральной Флориды) и Синьвен Фу (Университет Центральной Флориды).
