Données biométriques : Sécurité et risques accrus

Ces dernières années, nous avons assisté à une explosion de l’utilisation de la biométrie, dans une grande variété de situations dans lesquelles l’utilisation de techniques d’identification biométrique est déjà possible. La facilité d’utilisation est un facteur très pertinent. La vie privée en est un autre. Il existe une opposition naturelle à la possibilité de créer une vaste base de données personnelles centralisée. Les entreprises doivent faire attention à la manière dont elles mettent en œuvre leurs systèmes d’authentification biométrique afin d’éviter les atteintes à la vie privée des employés ou des clients ou l’exposition inappropriée d’informations confidentielles. Après tout, s’il est facile d’émettre un nouveau mot de passe lorsque l’ancien est compromis, il est impossible de donner à quelqu’un un nouveau look.

L’authentification biométrique utilise des caractéristiques physiques ou comportementales humaines pour identifier numériquement une personne afin de lui accorder l’accès à des systèmes, des dispositifs ou des données. Les empreintes digitales, les motifs faciaux, la voix ou la cadence de frappe sont des exemples de ces identifiants biométriques. Chacun de ces identifiants est considéré comme unique à l’individu et peut être combiné à d’autres moyens d’authentification pour assurer une plus grande précision dans l’identification des utilisateurs. Parce que la biométrie peut fournir un niveau raisonnable de confiance dans l’authentification d’une personne, elle a le potentiel d’améliorer considérablement la sécurité. Les ordinateurs et les appareils peuvent se déverrouiller automatiquement lorsqu’ils détectent les empreintes digitales d’un utilisateur autorisé. Les portes de la salle des serveurs peuvent s’ouvrir lorsqu’elles reconnaissent le visage d’administrateurs système de confiance. Les systèmes d’assistance peuvent extraire automatiquement toutes les informations pertinentes lorsqu’ils reconnaissent la voix d’un employé sur la ligne d’assistance.

La plupart des entreprises classent l’authentification biométrique comme « efficace » ou « très efficace » pour protéger les données d’identité stockées sur site et affirment qu’elle est efficace pour protéger les données stockées dans un cloud public. La plupart des entreprises utilisent déjà l’authentification biométrique et les autres prévoient de la mettre en œuvre dans les années à venir.

Types de biométrie

Un identifiant biométrique est un identifiant lié à des caractéristiques humaines intrinsèques. Ils se divisent en 2 catégories : les identifiants physiques et les identifiants comportementaux. Les identifiants physiques sont, pour la plupart, immuables et indépendants du dispositif. Parmi eux, on trouve :

1. Les empreintes digitales

Les scanners d’empreintes digitales sont devenus omniprésents ces dernières années en raison de leur déploiement généralisé sur les smartphones. Tout dispositif qui peut être touché, comme un écran de téléphone, une souris d’ordinateur ou un pavé tactile, ou encore un panneau de porte, a le potentiel pour devenir un scanner d’empreintes digitales facile et pratique. Selon Spiceworks, le scanner d’empreintes digitales est le type d’authentification biométrique le plus courant.

1. Photo et vidéo

Si un appareil est équipé d’une caméra, il peut facilement être utilisé pour l’authentification. La reconnaissance faciale et les examens rétiniens sont deux approches courantes.

1. Reconnaissance physiologique

La reconnaissance faciale est le troisième type d’authentification le plus courant. Les autres méthodes d’authentification basées sur l’image comprennent la reconnaissance de la géométrie de la main, la lecture de l’iris ou de la rétine, la reconnaissance des veines de la paume et la reconnaissance de l’oreille.

1. Voix

Les assistants numériques vocaux et les portails de services basés sur le téléphone utilisent déjà la reconnaissance vocale pour identifier les utilisateurs et authentifier les clients.

1. Souscription

Les scanners de signature numérique sont déjà utilisés de manière générale dans les points de vente et les banques et constituent une bonne option pour les situations où les utilisateurs et les clients s’attendent déjà à signer de leur nom.

1. ADN

Aujourd’hui, les tests ADN sont principalement utilisés par les forces de l’ordre pour identifier les suspects. En pratique, le séquençage de l’ADN a été trop lent pour être utilisé à grande échelle. Cela commence à changer. Il est déjà possible de faire une correspondance ADN en quelques minutes.

Approches plus courantes

Les identifiants comportementaux sont une approche plus récente et, en général, sont utilisés conjointement avec une autre méthode en raison de leur faible fiabilité. Cependant, à mesure que la technologie s’améliore, ces identificateurs comportementaux pourraient voir leur utilisation étendue. Contrairement aux identifiants physiques, qui sont limités à un certain ensemble fixe de caractéristiques humaines, les seules limites des identifiants comportementaux sont l’imagination humaine.

Aujourd’hui, cette approche est souvent utilisée pour distinguer un humain d’un robot. Cela peut aider une entreprise à filtrer les pourriels ou à détecter les tentatives de force brute de connexion et de mot de passe. À mesure que la technologie s’améliore, les systèmes sont susceptibles d’améliorer l’identification précise des individus, mais restent moins efficaces pour distinguer les humains des robots. Voici quelques approches courantes:

1. Modèles de frappe

Chacun a un style de frappe différent. La vitesse à laquelle nous tapons, le temps qu’il faut pour passer d’une lettre à l’autre, le degré d’impact sur le clavier, tout cela est pris en compte.

1. Mouvements physiques

La façon dont une personne marche est unique à un individu et peut être utilisée pour authentifier les employés dans un bâtiment ou comme couche secondaire d’authentification pour les lieux particulièrement sensibles.

1. Normes de navigation

Les mouvements de la souris et des doigts sur les trackpads ou les écrans tactiles sont uniques aux individus et relativement faciles à détecter avec le logiciel, sans avoir besoin de matériel supplémentaire.

1. Patrons d’engagement

Nous interagissons tous avec la technologie de différentes manières. La façon dont nous ouvrons et utilisons les applis, les lieux et les moments de la journée où nous sommes le plus susceptibles d’utiliser nos appareils, la façon dont nous naviguons sur les sites Web, la façon dont nous inclinons nos téléphones lorsque nous les tenons, ou même la fréquence à laquelle nous consultons nos comptes de réseaux sociaux sont autant de caractéristiques comportementales potentiellement uniques. Aujourd’hui, ces modèles de comportement peuvent être utilisés pour distinguer les personnes des bots. Et ils peuvent également être utilisés en combinaison avec d’autres méthodes d’authentification ou, si la technologie s’améliore suffisamment, comme mesures de sécurité indépendantes.

À quel point l’authentification biométrique est-elle fiable ?

Les informations d’authentification, comme les scans d’empreintes digitales ou les enregistrements vocaux, peuvent fuir des appareils, des serveurs d’entreprise ou des logiciels utilisés pour les analyser. Il existe également un potentiel élevé de faux positifs et de faux négatifs. Un système de reconnaissance faciale peut ne pas reconnaître un utilisateur portant du maquillage ou des lunettes, ou une personne malade ou fatiguée. Les voix varient également.

Les gens ont une apparence différente au réveil, ou lorsqu’ils essaient d’utiliser le téléphone dans un environnement public bondé, ou lorsqu’ils sont en colère ou impatients. Les systèmes de reconnaissance peuvent être trompés avec des masques, des photos et des enregistrements vocaux, avec des copies d’empreintes digitales ou trompés par des membres de la famille ou des collègues de confiance lorsque l’utilisateur légitime dort.

Les experts recommandent aux entreprises d’utiliser plusieurs types d’authentification simultanément et d’augmenter rapidement si elles constatent des escroqueries. Par exemple, si l’empreinte digitale correspond, mais pas le visage, ou si l’on accède au compte depuis un endroit inhabituel à une heure inhabituelle, il est peut-être temps de passer à une méthode d’authentification de secours ou à un deuxième canal de communication. Ceci est particulièrement critique pour les transactions financières ou les changements de mot de passe.

Quels sont les risques pour la vie privée dans l’authentification biométrique ?

Certains utilisateurs peuvent ne pas vouloir que les entreprises collectent des données sur, par exemple, l’heure de la journée et les endroits où ils utilisent habituellement leur téléphone. Si ces informations fuitent, elles pourraient être utilisées par des harceleurs ou, dans le cas de célébrités, par des journalistes à scandales. Certains utilisateurs peuvent ne pas vouloir que les membres de leur famille ou leur conjoint sachent où ils se trouvent à tout moment.

L’information peut également être utilisée de manière abusive par des régimes gouvernementaux répressifs ou par des procureurs criminels qui repoussent les limites. Les puissances étrangères peuvent utiliser l’information pour tenter d’influencer l’opinion publique. Des commerçants et des annonceurs peu scrupuleux peuvent faire de même.

Toutes ces situations peuvent entraîner un embarras public important pour l’entreprise qui a collecté les données, des amendes réglementaires ou des actions en justice collectives. Si les scans ADN se généralisent, ils pourraient donner lieu à un tout nouveau domaine de préoccupations en matière de vie privée, y compris l’exposition des conditions médicales et des relations familiales.

Combien l’authentification biométrique est-elle sécurisée ?

La sécurité des données d’authentification biométrique est d’une importance vitale, encore plus que la sécurité des mots de passe, car les mots de passe peuvent être facilement modifiés s’ils sont exposés. Une empreinte digitale ou un scan rétinien, en revanche, est immuable. La divulgation de cette information ou d’autres informations biométriques peut mettre les utilisateurs en danger permanent et créer un risque juridique important pour l’entreprise qui perd les données. En cas de violation, cela crée un énorme défi car les affectations physiques, telles que les empreintes digitales, ne peuvent être remplacées. Les données biométriques entre les mains d’une entité corrompue ont également des implications très effrayantes mais réelles.

En définitive, chaque entreprise est responsable de ses propres décisions en matière de sécurité. Il n’est pas possible d’externaliser la conformité, mais elle peut réduire le coût de la conformité et les répercussions possibles d’une fuite en choisissant le bon fournisseur. En outre, les entreprises qui ne maintiennent pas d’informations d’identification enregistrées bénéficient de certaines protections juridiques. Par exemple, de nombreux détaillants peuvent éviter des coûts de conformité substantiels en maintenant leurs systèmes « hors champ ». Les informations de paiement sont cryptées directement au niveau du terminal de paiement et passent directement à un processeur de paiement. Les données brutes des cartes de paiement ne touchent jamais les serveurs de l’entreprise, ce qui réduit les implications en matière de conformité et les risques de sécurité possibles.

Si une entreprise doit collecter des informations d’authentification et les conserver sur ses propres serveurs, il convient d’appliquer les meilleures pratiques de sécurité. Cela inclut le cryptage des données au repos et des données en transit. De nouvelles technologies sont disponibles pour le cryptage d’exécution, qui maintient les données cryptées même pendant leur utilisation. Le cryptage n’est pas une garantie absolue de sécurité, bien sûr, si les applications ou les utilisateurs autorisés à accéder aux données sont compromis. Cependant, il existe des moyens par lesquels les entreprises peuvent éviter de conserver les données d’authentification chiffrées sur leurs serveurs.

L’authentification locale ou basée sur le dispositif

L’exemple le plus courant de mécanisme d’authentification locale est le module de sécurité matériel d’un smartphone. Les informations de l’utilisateur, telles qu’un scan d’empreinte digitale, une image faciale ou une empreinte vocale, sont stockées à l’intérieur du module. Lorsqu’une authentification est requise, les informations biométriques sont collectées par le lecteur d’empreintes digitales, l’appareil photo ou le microphone et envoyées au module, où elles sont comparées à l’original. Le module indique au téléphone si les nouvelles informations correspondent ou non à celles qu’il avait déjà stockées. Avec ce système, les informations biométriques brutes ne sont jamais accessibles à aucun logiciel ou système extérieur au module, y compris le système d’exploitation du téléphone. Aujourd’hui, les modules de sécurité matérielle des smartphones sont utilisés pour assurer la sécurité ainsi que pour authentifier des applications tierces.

Les entreprises peuvent également utiliser des lecteurs biométriques basés sur les smartphones chaque fois que leurs utilisateurs ou clients ont accès à des smartphones, sans jamais avoir à collecter et à stocker des informations d’identification biométrique sur leurs propres serveurs. Une technologie similaire est disponible pour d’autres types de dispositifs, comme les cartes à puce, les serrures à puce ou les lecteurs d’empreintes digitales pour PC. La reconnaissance des empreintes digitales par téléphone est le mécanisme d’authentification biométrique le plus courant aujourd’hui. L’authentification par téléphone intelligent offre des avantages considérables en termes de convivialité. Tout d’abord, les utilisateurs ont tendance à savoir immédiatement s’ils ont perdu leur smartphone et à prendre des mesures immédiates pour le localiser ou le remplacer. En revanche, s’ils perdent un badge qu’ils n’utilisent que pour accéder à un bâtiment en dehors des heures de travail, ils peuvent ne pas se rendre compte avant un certain temps qu’il n’est plus en leur possession. Les fabricants de smartphones sont également en pleine course pour améliorer leur technologie et la rendre plus facile à utiliser. Aucune autre industrie ou entreprise individuelle ne peut égaler l’ampleur des investissements dans le domaine du mobile ou les tests de convivialité et de sécurité que les téléphones reçoivent.

Enfin, l’authentification par téléphone offre aux utilisateurs un maximum de flexibilité. Ils peuvent opter pour des téléphones dotés d’une identification faciale, d’un scanner d’empreintes digitales ou d’une reconnaissance vocale, ou de toute autre nouvelle technologie qui n’a pas encore été inventée, mais qui dominera le marché demain. Toutefois, l’utilisation d’un mécanisme tiers, comme les smartphones grand public, place le processus d’authentification hors du contrôle de l’entreprise. Un autre inconvénient de l’authentification basée sur un dispositif, en général, est que les informations d’identité sont limitées à ce seul dispositif. Si les gens utilisent une empreinte digitale pour déverrouiller leur smartphone, ils ne peuvent pas non plus utiliser la même empreinte digitale pour déverrouiller la porte du bureau sans autoriser séparément la serrure de la porte ou pour déverrouiller l’ordinateur sans autoriser séparément le scanner d’empreintes digitales de l’ordinateur.

Les entreprises qui doivent authentifier les utilisateurs ou les clients sur plusieurs appareils dans plusieurs endroits doivent disposer d’une sorte de mécanisme centralisé pour stocker les informations d’authentification ou tirer parti d’un appareil que l’utilisateur porte sur lui en permanence. Par exemple, les entreprises peuvent placer le mécanisme d’authentification dans un sceau intelligent que les employés utilisent au bureau. Elles peuvent également utiliser un smartphone pour authentifier l’employé, puis communiquer la vérification de l’identité à d’autres appareils et systèmes via Bluetooth, NFC, Wi-Fi ou Internet.

Tokénisation ou chiffrement

Une autre approche pour permettre aux nouveaux appareils de reconnaître les utilisateurs autorisés est la tokenisation, le chiffrement à sens unique ou la fonction de hachage. Disons, par exemple, que l’identification par rétine, voix ou empreintes digitales est utilisée pour reconnaître et authentifier les employés partout où ils peuvent aller au sein d’une entreprise, mais l’entreprise ne veut pas que les fichiers image ou audio soient stockés sur des serveurs où des pirates ou des employés malveillants peuvent en faire un mauvais usage.

A la place, l’entreprise utiliserait un dispositif qui, disons, scanne le visage ou l’empreinte digitale d’une personne, convertit cette image en un code unique, puis envoie ce code au serveur central pour l’authentification. Tout appareil utilisant la même méthode de conversion peut alors reconnaître l’employé et les données brutes d’identification ne seront jamais disponibles sur aucun système.