Спocoб безoпаcнoй биoметричеcкoй аутентификации
Автoры: Иванoв Алекcандр Иванович, Безяев Алекcандр Викторович
Изобретение отноcитcя к технике автоматизированной аутентификации личноcти человека по его биометричеcкому образу и может иcпользоватьcя при голоcовании, электронных покупках, авторизации электронных документов, в электронных паcпортах и удоcтоверениях личности, при ограничении доступа к информации. Техническим результатом является повышение безопасности мультибиометрической аутентификации пользователя по нескольким его биометрическим образам при одновременном обеспечении высокой дружественности мультибиометрических систем и безопасной индикации правильности ввода каждого из биометрических образов. Использование самокорректирующихся кодов индикацией красного, желтого и зеленых цветов светофора для каждого образа, анализом самокорректирующихся кодов через выделение в них стабильных и нестабильных разрядов, направленным перебором нестабильных разрядов и комбинированием входных биометрических данных. Комбинирование входных биометрических данных осуществляют путем вычисления их средних значений и отбрасывания наиболее отличающихся от среднего значений примеров контролируемых биометрических параметров. Контроль правильности составного скорректированного кода осуществляют его хэшированием и сравнением, полученного значения с эталонным значением хэш-функции. 5 ил.
Известны способ и система для генерирования набора ключа доступа, а так же для аутентификации человека на основе его биометрического параметра [1], по которому выбирают наиболее стабильные параметры рисунка отпечатка пальца. Далее на их основе формируют преобразователь этих параметров в код ключа доступа. При аутентификации контролируемые биометрические параметры подают на уже сформированный преобразователь биометрических параметров в код ключа доступа, получают с выхода этого преобразователя код доступа, если предъявлен биометрический образ «Свой». Если биометрический образ предъявляет «Чужой», то преобразователь биометрия-код дает на выходе случайный код, который не может запустить процедуры криптографической аутентификации.
Основным недостатком этого способа является его низкая стойкость к атакам подбора. Так, в описании к изобретению [1] указано, что поле кодовых комбинаций для рисунка отпечатка пальца составляет всего 1000 или 10000 (страница 9 описания, строка 12). В случае доступа злоумышленника к кодам программы автоматически перебрать столь малое поле кодовых комбинаций крайне просто. Реализация атаки займет всего несколько секунд машинного времени.
Известен способ идентификации человека по его биометрическому образу [2], основанный на использовании нейросетевого преобразователя биометрия-код с повышенной стойкостью к атакам подбора. В случае сохранения рукописного биометрического пароля из пяти букв в тайне способ [2] позволяет получить стойкость на уровне порядка 1012 попыток атаки подбора (см. таблицу А2 приложения А стандарта [3]).
Основным недостатком способа [2] является недостаточная стойкость его к атакам подбора. Так, если требуется безопасно обеспечивать доступ к криптографическому ключу длиной 256 бит (стойкость к атакам подбора 1077), потребуется организовывать ввод рукописного пароля, состоящего из примерно шести слов по пять букв. Пользователь обязательно ошибется хотя бы в одном из шести слов и вынужден будет вновь писать шесть рукописных слов. Написать одно рукописное слово обычно удается с 1 или с 2 попыток. Для безошибочного написания двух слов пароля требуется от 1 до 4 попыток. Для написания трех слов необходимо уже порядка 12 попыток. При этом пользователь не знает, в каком слове он ошибся в связи с запретом стандарта [3] (см. п.7.6 ГОСТ Р52633-2006) снабжать однозначными индикаторами верного результата фрагменты составного биометрического пароля (ключа).
Наиболее близким к предложенному техническому решению является изобретение [4]. В соответствии с этим изобретением код доступа перекодируют в код с обнаружением и исправлением ошибок (стр.12 описания, п.7 формулы изобретения, строка 34). Фактически по изобретению [4] преобразователи биометрия - код всегда должны иметь выходной код, способный обнаруживать и исправлять ошибки. При этом естественная нестабильность данных биометрического образа не должна выходить за рамки способности кода исправлять ошибки. Чем более нестабилен биометрический образ, тем больше должен иметь используемый самокорректирующийся код избыточности.
Основным недостатком изобретения [4] является его низкая способность исправлять нестабильные биометрические данные. Современные коды способны обнаруживать до 80% ошибок, но исправлять они могут не более 5% ошибок. По этой причине при разработке нечетких экстракторов типа [4] приходится использовать только малую часть наиболее стабильной биометрической информации. Биометрические данные со стабильностью менее 5% приходится отбрасывать. Как следствие, нейросетевые преобразователи биометрия-код [2] оказываются эффективнее нечетких экстрактов [4], так как они используют все данные и могут работать с произвольными кодами.
Вторым недостатком прототипа [4] является то, что примеры биометрических образов, введенных с некоторыми ошибками, далее при аутентификации не используются. Это делает все описанные выше способы неэффективными при мультибиометрической аутентификации, когда один человек использует несколько своих разных биометрических образов или аутентифицируется группа друг друга контролирующих лиц, поочередно предъявляющих свою биометрию системе.
Третьим и главным недостатком [4] является то, что его реализация для нескольких совместно используемых биометрических образов не дает экспоненциального выигрыша по стойкости биометрической защиты к атакам подбора. Например, линейное последовательное объединение шести устройств (каждое из устройств хранит свою 1/6 часть ключа), выполненных по способу [4], не дает экспоненциального выигрыша, так как сложность восстановления каждой из частей ключа будет примерно одинаковой и каждую из частей составного ключа можно подбирать независимо. На такие процедуры ГОСТ [3] накладывает запрет, злоумышленник не должен иметь возможности разбить составную задачу защиты на части и решать их независимо. Действительно безопасное устройство не должно позволять упрощать задачу подбора и решать ее по частям.
Целью предлагаемого изобретения является повышение надежности биометрической аутентификации за счет использования нескольких биометрических образов при обеспечении приемлемого уровня дружественности системы, безопасно подсказывающей человеку, при вводе какого именно образа он ошибся и тем самым сокращающий трудозатраты людей на высоконадежную мультибиометрическую аутентификацию.
Поставленная комплексная цель достигается последовательностью пятью взаимозависимых способов.
1. Первая часть поставленной цели достигается тем, что используют преобразователь биометрия-код (например, нейросетевой, как в [2, 3]), однако обучают преобразователь биометрия-код, как и в прототипе, на самокорректирующийся выходной код, способный обнаруживать и исправлять ошибки. Как и у прототипа, отображают неудачные попытки ввода каждого биометрического образа (например, красным цветом светофора) при неспособности самокорректирующегося кода исправить все ошибки. Отличается предложенный способ тем, что дополнительно индицируют положительный результат (например, зеленым цветом) и дополнительно индицируют результат, близкий к положительному (например, желтым цветом).
Положительный результат ввода биометрического образа индицируют при числе выявленных ошибок в самокорректирующемся коде, меньшем или равном коррекционной способности выбранного самокорректирующегося кода. Близкий к положительному результат индицируют, когда число обнаруженных ошибок в самокорректирующемся коде превышает его корректирующую способность на несколько бит (на 1-2 бита в каждом блоке кода).
Положительный технический эффект от этого состоит в том, что пользователь «Свой» видит, что его усилия по аутентификации не напрасны. Если он получил близкий к положительному результат (желтый цвет), то, скорее всего, одна из последующих попыток биометрической аутентификации будет положительной. Злоумышленник - «Чужой», вводящий совершенно другой биометрический образ, не может ориентироваться на желтый светофор, так как он будет показывать близость к совершенно иному коду «Чужой», сильно отличающемуся от кода «Свой».
2. Вторая часть поставленной цели достигается тем, что все коды неудачной биометрической аутентификации в рамках одного сеанса запоминают и затем сравнивают между собой состояния их разрядов. Далее выявляют наиболее нестабильные разряды кодов и осуществляют их направленный перебор до момента появления кода биометрического образа без ошибки или с числом ошибок, поддающимся исправлению, выбранным самокорректирующимся кодом. При этом начинают перебор с наиболее вероятного состояния верного самокорректирующегося кода и наиболее нестабильных бит этого кода. При переборе постепенно увеличивают поле перебора, вовлекая в перебор более стабильные разряды самокорректирующегося кода.
Положительный технический эффект, в сравнении с прототипом, обусловлен использованием при аутентификации всех введенных пользователем биометрических образов. Использование дополнительной информации позволяет существенно лучше корректировать ошибки «Своего», ошибки «Чужого» не корректируются, так как их слишком много и их перебор занимает слишком много времени. Для «Своих» удается поднять корректирующую способность кода в 2, 3 раза при использовании 2, 3, 4 примеров биометрического образа «Свой» с нефатальными ошибками.
3. Третья часть поставленной цели достигается тем, что при осуществлении направленного перебора нестабильных бит выходных кодов биометрического образа оценивают время, необходимое на перебор всех выявленных нестабильных бит, и сообщают об этом ожидаемом времени аутентифицируемому человеку.
Положительный технический эффект от этого обусловлен расширением возможностей интерфейса. При такой услуге человек, находящийся в измененном состоянии (например, в стрессовой ситуации), имеет сообщение средства защиты о времени, которое потребуется на его аутентификацию. Если требуется всего лишь подождать 1-3 минуты, то имеет смысл подождать и не вводить новые биометрические образы. Если же машине потребуется несколько часов, то следует добавить новые биометрические образы или отменить текущий сеанс аутентификации и начать все заново. Увеличивается доступность средства для «Своего», заранее знающего то, что он находится в необычном состоянии из-за влияния внешних обстоятельств, болезни, лекарств, стресса, ранения.
4. Четвертая часть поставленной цели достигается тем, что предложено запоминать все значения параметров введенных примеров биометрических образов. Далее усредняют параметры примеров одного биометрического образа и среднее значение параметров подают на входы преобразователя биометрия-код. В случае, если усредненные данные не дают положительного результата, выявляют наиболее нестабильные значения параметров (наиболее сильно отклоняющееся от среднего), отбрасывают их, получают скорректированное значение среднего по каждому параметру и вновь предъявляют скорректированное среднее параметров преобразователю биометрия-код. Процесс направленного подбора наилучшего сочетания входных биометрических данных ведут до появления положительного результата или до момента, когда процедура усреднения выродится и останется только один обобщенный пример биометрического образа, состоящий из биометрических параметров разных примеров одного образа с данными, оказавшимися наиболее близкими к текущему среднему значению каждого из контролируемых параметров.
Положительный технический эффект от этого обусловлен тем, что из тестовой выборки удаляются наиболее грубые ошибки «Своего». Происходит оптимизация входных примеров и из них формируется группа меньшего числа примеров, но расположенных только в центральной части многомерной области «Свой». Способность узнавать «Своего» увеличивается. Злоумышленник - «Чужой» не может этим воспользоваться, так как его биометрический образ находится в совершенно другой области многомерного пространства и сжатие объема этой части пространства имеет обратный эффект, расстояние до области «Свой» только увеличивается.
5. Пятая часть поставленной цели достигается тем, что при аутентификации используют несколько совершенно разных биометрических образов (например, рукописный пароль, голосовой пароль, рисунок отпечатка пальца). При этом для каждого образа используют свой преобразователь биометрия-код и свои индикаторы правильности ввода биометрического образа. При реализации вычисляют и запоминают эталонную хэш-функцию общего верного кода, составленного из информационных полей составного самокорректирующегося кода, полученных после обнаружения и исправления ошибок всех частных самокорректирующихся кодов всех частных биометрических образов. Индицируя верный/неверный результат мультибиометрической аутентификации, ведут по совпадению/несовпадению хэш-функции информационных полей полученного самокорректирующегося кода и запомненной ранее эталонной хэш-функции.
Положительный технический эффект от этого состоит в экспоненциальном росте стойкости мультибиометрической защиты к атакам подбора. Злоумышленник имеет только один однозначный последний индикатор в виде эталонной хэш-функции всего кода. Каждая составляющая кода, порождаемая своим биометрическим образом, не имеет однозначного положительного индикатора (индикация заимствована у самокорректирующегося кода и имеет множество состояний), злоумышленник не может решать задачу подбора биометрии или кода по частям. Перебор всех возможных коллизий занимает слишком много времени, так как необходимо перебирать не только коллизии кода одного биометрического образа, но и все возможные комбинации с коллизиями других образов.
На фиг.1 приведена матрица блока самокорректирующегося кода 8×8, в который вложена матрица 7×7 - информационное поле (без заливки), правый крайний столбец матрицы - это разряды контроля четности строк (заливка темным цветом); нижняя строка матрицы - разряды контроля четности столбцов информационной матрицы (темная заливка). На фиг.1 отмечены знаками «v» выявленные биты несовпадения четности, символом «х» на информационном поле (нет заливки) отмечен бит кода, подлежащий исправлению. Это состояние самокорректирующегося кода соответствует положительному состоянию индикатора (зеленый цвет индикатора).
На фиг.2 показан вариант состояния самокорректирующегося кода, при котором собственной исправляющей способности кода не хватает (выявлены четыре возможных положений ошибок). Обозначения на фиг.2 (заливка, знаки «v», «х») совпадают с обозначениями фиг.1. Состояние самокорректирующегося кода фиг.2 соответствует близкому к положительному состоянию аутентификации (желтый цвет индикатора).
На фиг.3 показан вариант состояния самокорректирующегося кода, при котором собственной исправляющей способности кода не хватает (выявлено 16 возможных положений ошибок). Обозначения на фиг.3 (заливка, знаки «v», «х») совпадают с обозначениями фиг.1. Состояние самокорректирующегося кода фиг.3 соответствует отрицательному состоянию аутентификации - невозможно исправить все ошибки (красный цвет индикатора).
На фиг.4 дана таблица, в которой приведены фрагменты пяти примеров самокорректирующегося кода «Свой» с разрядами разной стабильности, где наиболее темной заливкой отмечены стабильные разряды 1, 2, 5, 8, 9; более светлой заливкой отмечены разряды 3, 4, 10, 11 (эти разряды имеют по 1 ошибке на пять примеров); наиболее нестабильные разряды 6, 7 без заливки (эти разряды имеют по две ошибки на пять примеров).
На фиг.5 приведен пример распределения значений одного входного контролируемого биометрического параметра в пяти примерах, отмеченных номерами 1, 2, 3, 4, 5. На фиг.5 так же графически отмечен интервал распределения значений контролируемого параметра, куда попали значения примеров 2, 3, 4, 5. Пример 1 является ошибочным выбросом контролируемого биометрического параметра и выпал за пределы интервала распределения значений контролируемого параметра.
При использовании ключа 256 разрядов его перекодированием в самокорректирующийся код получим новый код из 384 разрядов или 6 блоков по 64 разряда. То есть придется использовать нейросетевой преобразователь биометрия-384 разрядный код. Такой преобразователь должен быть обучен на нескольких примерах биометрического образа «Свой» в соответствии с требованиями ГОСТ [3]. То есть при предъявлении параметров образа «Свой» на выходах нейронной сети должен появляться необходимый 348 разрядный код, а при предъявлении на входы нейросети параметров биометрического образа «Чужой» на ее выходах должен появляться случайный 348 разрядный код.
По предложенному способу при небольшом числе ошибок (от 1 до 6 - по одной ошибке на каждый блок) самокорректирующийся код способен их исправить с вероятностью, близкой к 1.0, и, соответственно, обнаруженное малое число ошибок (от 1 до 6) отображается пользователю как положительный результат в виде зеленого света семафора (пример состояния блока самокорректирующегося кода - фиг.1).
В случае, если код обнаруживает от 7 до 14 ошибок (от 1 до 2 ошибок в каждом блоке), пользователь получает информацию о результате, близком к положительному, в виде желтого цвета семафора (пример состояния блока кода отображен на фиг.2).
При числе ошибок более 14 (3 и более ошибок в некоторых блоках) пользователь получает информацию о том, что его попытка предъявить биометрический образ неудачна в виде красного цвета семафора (пример состояния блока самокорректирующегося кода - фиг.3).
При получении желтого или красного цвета пользователь вынужден повторно вводить примеры своего биометрического образа. Если второй пример биометрического образа получает положительное решение (зеленый цвет светофора), то пользователю предоставляется возможность вводить другие биометрические образы мультибиометрической аутентификации.
В том случае, если второй пример биометрического образа имеет желтый или красный индикаторы, производится побитное сравнение двух кодов. Выделяются стабильные и нестабильные биты кодов и для нестабильных битов осуществляется их направленный перебор до момента положительного решения (зеленого цвета светофора). Фрагменты кодов «Пример-1» и «Пример-2», приведенные на фиг.4, дают расхождение в 11 разряде, соответственно, 11 разряд самокорректирующегося кода будет воспринят как нестабильный, и вместе с другими нестабильными разрядами блока кода будет подбираться.
Параллельно с подбором разрядов пользователю сообщается время, требующееся на перебор всех выявленных нестабильных разрядов кода, и пользователь вправе принимать решение:
-
1) о продолжении подбора;
- 2) о добавлении еще одного примера биометрического образа к уже имеющимся двум;
- 3) о переходе к следующему этапу мультибиометрической аутентификации.
Если пользователь вводит еще один пример «Своего» биометрического образа - «Пример 3», то осуществляется более точное определение стабильных бит выходного кода и времени, требующегося на полный перебор нестабильных бит самокорректирующегося кода. Как показано на фиг.4, по мере увеличения числа примеров биометрического образа растет точность деления разрядов на стабильные и нестабильные и, соответственно, сокращается число нестабильных бит самокорректирующихся кодов «Свой».
По предложенному способу (п.2 формулы) при наличии нескольких примеров старт перебора начинают с наиболее вероятного состояния разрядов кода. То есть начальным состоянием кода для 3-го, 10-го нестабильных разрядов должно быть состояние «0» (число состояний «0» в этих разрядах больше). Для 4, 6, 7, 11 нестабильных разрядов начальным состоянием выбирается «1». Кроме того, начинают направленный перебор с наиболее нестабильных разрядов 6-го и 7-го, имеющих примерно одинаковое количество состояний «0» и «1». Далее включают в направленный перебор более стабильные разряды с номерами 3, 4, 10, 11.
Такой прием подбора позволяет сократить время направленного перебора, так как наиболее вероятным является расположение ошибок самокорректирующегося кода в его наиболее нестабильных разрядах.
Очевидно, что чем больше примеров биометрических образов введет пользователь, тем лучше выявляются стабильные разряды его самокорректирующегося кода и тем меньше требуется перебор, однако заставлять пользователя лишний раз вводить пример его биометрического образа нежелательно.
В связи с вышесказанным по п.4 формулы предлагается получать дополнительную информацию (дополнительные выходные коды) путем усреднения биометрических параметров и предъявления входам обученного нейросетевого преобразователя усредненных значений параметров. Так, если мы имеем два примера, то в место двух кодов, по предложенному способу мы получаем третий (промежуточный) пример как среднее значение входных параметров, далее получаем четвертый (комбинаторный) пример как комбинацию наиболее близких к среднему значений анализируемых биометрических параметров.
В случае наличия пяти примеров биометрического образа человека после реализации п.4 формулы пять кодов дополняются пятью средними промежуточными кодами и девятью комбинаторными средними кодами, полученными отбрасыванием наиболее отличающегося от среднего значения. Фактически таблицу кодов фиг.4 удается расширить на 14 дополнительных кодов, комбинируя входные данные в соответствии с п.4 формулы.
Практика имитационного моделирования показала, что комбинирование входных данных разных примеров оказывается более эффективным, чем простой перебор нестабильных разрядов самокорректирующихся кодов. На фиг.5 приведена характерная ситуация, когда первый пример оказался неудачным по одному из контролируемых биометрических параметров. Этот пример вылетел за пределы типового распределения значений этого параметров. Усреднение первого значения со вторым еще приводит к ошибке по этому контролируемому параметру, но уже усреднение по трем примерам дает значение, попадающее в область распределения значений, характерную для контролируемого параметра, то есть усреднение уже по трем примерам исправляет первоначальную ошибку входных биометрических данных. Усреднение по входу и отбрасывание наиболее отклонившихся от среднего данных эффективно исправляет как входные данные, так и выходные коды. Если аутентифицируется действительно «Свой», то совокупность способов по пунктам 1, 2, 3, 4 формулы изобретения очень быстро (достаточно от 1 до 3 примеров) дает положительный результат (зеленый свет светофора).
После того как пользователь получил заданное число положительных результатов, предъявив необходимое число примеров своих мультибиометрических образов, либо дождавшись положительного результата подбора выходных кодов по каждой частной составляющей кода мультибиометрии, проводится проверка правильности результирующего кода. Для ее реализации заранее вычисляют эталонную хэш-функцию составного верного кода, составленного из информационных полей составного самокорректирующегося кода, полученных после обнаружения и исправления ошибок всех частных самокорректирующихся кодов всех частных биометрических образов. Пользователю индицируют верный/неверный результат мультибиометрической аутентификации при совпадении/несовпадении хэш-функции полученного кода и запомненной ранее эталонной хэш-функции составного кода.
Совокупный технический эффект от реализации всех перечисленных выше действий сводится к многократному повышению стойкости мультибиометрической аутентификации по совокупности разных биометрических образов (например, составному рукописному паролю из шести слов). По предложенному способу пользователь имеет надежную и безопасную обратную связь в виде индикаторов (красного, желтого и зеленого цвета), помогающих ему ориентироваться в своих действиях и безопасно контролировать правильность ввода своих биометрических образов. При этом злоумышленник не может воспользоваться этими индикаторами для того, чтобы упростить задачу атаки подбора и решать ее по частям.
Литература
1. Патент РФ
RU 2267159 С2, МПК7 G06K 9/46 «Способ и система для генерирования набора ключа доступа, а также для аутентификации человека на основе его биометрического параметра» приоритет от 09.05.2000 (пп.1-28) DE 10022570.5, дата публикации заявки 20.04.2004, опубл. 21.12.2005, Бюл. 36.
2. Патент РФ
RU 2292079, МПК G06K 9/66 «Способ идентификации человека по его биометрическому образу», приоритет от 02.02.2005, заявка 2005102541, авторы: Ефимов О.В., Иванов А.И., Фунтиков В.А., патентообладатель - ФГУП «Пензенский научно-исследовательский электротехнический институт».
3. ГОСТ Р 52633-2006. «Защита информации. Техника защиты информации. Требования к средствам высоконадежной биометрической аутентификации».
4. Патент РФ
RU 2316120, МПК H04L 9/28, H04L 9/32, G06F 12/14 «Биометрическая система аутентификации», приоритет 12.05.2004, опубл. 27.01.2008. Бюл. 3, авторы: Чмора Андрей Львович, Уривский Алексей Владимирович, патентообладатель - Корпорация «Самсунг Электроникс».
