Публикуваха два нови доклада на ENISA за дигиталната идентификация: анализ на самосуверенната идентичност (SSI) и изследване на атаките за подправяне на лицеви изображения
На 20 януари 2022 г. Агенцията за киберсигурност на Европейския съюз ENISA публикува анализ на самосуверенната идентичност (SSI) и изследване на големи атаки за подправяне на лица.
В областта на идентификацията се появи нова тенденция през последните няколко години в технологиите за самосуверенна идентичност, наричани още SSI. Този доклад изследва потенциала на технологиите за самосуверенна идентичност (SSI) за гарантиране на сигурна електронна идентификация и удостоверяване за достъп до трансгранични онлайн услуги, предлагани от държавите-членки съгласно Регламента за eIDAS. Той оценява критично настоящата литература и доклади за текущия технологичен пейзаж на SSI и съществуващите eID решения, както и стандартите, общностите и пилотните проекти, които в момента се разработват в подкрепа на тези решения. Това проучване дава широк поглед върху децентрализираната електронна идентичност, разглежда възможните архитектурни елементи и механизми на управление и идентифицира рисковете и възможностите за сигурността, представени от SSI с оглед на трансграничната оперативна съвместимост, взаимното признаване и технологичната неутралност, както се изисква от eIDAS.
Докладът за отдалечена проверка на самоличността се основава на предишния доклад Remote ID Proofing на ENISA, който прави анализ на различните методи, използвани за извършване на проверка на самоличността от разстояние. Новият доклад анализира различните видове атаки за разпознаване на лица и предлага контрамерки. Той също така потвърждава контролите за сигурност, въведени в предишния доклад, и предлага допълнителни препоръки за това как да смекчат идентифицираните заплахи.
При отдалечена идентификация процесът на проверка обикновено се извършва през уеб камера или мобилно устройство. Потребителят показва лицето си, за да представи официални документи като лична карта или паспорт.
Престъпниците обаче са измислили редица тактики, за да заобиколят сигурността на тези системи и да се представят за някой друг.
Анализът, представен в доклада, идентифицира различните методи за отдалечена проверка на самоличността и обяснява различните характеристики на основните атаки за подправяне на лице. Една от възможните измами е фото атака, която използва изображение на лице, отпечатано или показано през екрана на устройството. При видео атака пред камерата се поставя екранът на устройството на нападателя. Описани са и атаки с 3D маски, при които 3D маските са изработени, за да възпроизвеждат истинските черти на човешкото лице и дори включват дупки за очи за заблуда. Атаките deepfake използват софтуер за реалистично представяне на някой друг.
Какво може да се направи, за да се предотвратят?
Проучването включва препоръки и идентифицира различните видове контрол на сигурността, които включват:
- контрол на околната среда, като например задаване на минимално ниво на качество на видеото;
- контрол на документи за самоличност, като проверка дали даден документ не е загубен, откраднат или с изтекъл срок на валидност в съответните бази данни;
- откриване на атака при представяне, като например проверка на дълбочината на лицето на потребителя, за да се потвърди, че е триизмерно или търсене на несъответствия на изображенията, произтичащи от манипулация на дълбоко фалшифициране;
- организационни контроли, като например спазване на индустриалните стандарти.
Няма идеален избор, когато става въпрос за избор на противодействието, което да се приложи. Според доклада противодействието е в зависимост от типа бизнес, профила и броя на потребителите и степента на увереност, която искате да постигнете, пише в доклада.