چرا فناوری بیومتریک هنوز جایگزین رمز عبور نشده است؟

همه ما از رمزهای عبور برای محافظت در دنیای دیجیتالی استفاده می کنیم. با وجود این که رمزهای عبور پیچیده و متشکل از کاراکترهای مختلف می توانند امنیت ما را روی سرویس های مختلف تأمین کنند، مشکلات ذاتی رمزهای عبور هر روز بیشتر آشکار می شود. در ابتدای ماه مارس سال جاری میلادی، ۵۰ میلیون رمز عبور پس از این که توسط هکرها ریست شدند، دوباره پیکربندی و از سوی کاربران تغییر کردند. جالب است بدانید که این رمزهای عبور متعلق به سرویس های تویتر، سونی، فیس بوک، دراپ باکس و... بودند. در این شرایط پرسشی که مطرح می شود این است که چرا فناوری های امنیتی بیومتریک هنوز جای رمزهای عبور را نگرفته است؟ فناوری های بیومتریک امکان دسترسی بر اساس خصلت های تغییرناپذیر و منحصر به فرد را به ما می دهد، ایده آلی که امکان هر گونه سرقت یا جعل را ناممکن می کند. البته، فناوری هایی مانند اثر انگشت، تشخیص صدا، اسکن صورت و... را برای احراز هویت کاربران در فیلم های پلیسی/جاسوسی و در کسب وکارهای بزرگ، دانشگاه ها، اداره های دولتی و مراکز مهم شهر می بینیم، اما هنوز این فناوری ها جایگزین رمزهای عبور در سایت ها و نرم افزارهای مختلف نشده اند. آیا استفاده از این روش ها سخت است و ناممکن به نظر می رسد؟ مانع اصلی چیست؟

اثرانگشت
اثرانگشت بیش از یک قرن به عنوان ابزاری برای تشخیص هویت انسان ها مورد استفاده قرار گرفته است و اسکنرهای اثرانگشت نزدیک به یک دهه است به صنعت کامپیوتر نیز راه پیدا کرده اند. کاربران با یک ضربه سریع و محکم انگشت خود به روی یک اسکنر باریک احراز هویت شده و شناسایی می شوند. فناوری تشخیص و مقایسه اثرانگشت پیچیده است و نیاز به محاسبه و پردازش های سنگینی دارد اما امروزه این فناوری بهبود و تکامل یافته است و هزینه های آن کاهش یافته اند. اما اثرانگشت جنبه های منفی نیز دارد که استفاده از آن را سخت می کند. از واضح ترین نمونه ها مانند سوختگی یا بریدگی انگشت گرفته تا استفاده از کرم های ضدآفتاب، رطوبت، آلودگی فیزیکی، روغن، لکه های جوهر و حتی مایع های ظرف شویی می توانند باعث تداخل در اسکنرهای اثرانگشت شده و فرآیند مقایسه و شناسایی هویت کاربران را با مشکل مواجه کنند.

بسیاری از افراد به علت استفاده زیادی از یک انگشت خود، دچار ساییدگی و صاف شدگی آن شده اند و از شیارهای یکتایی که باید روی هر انگشت باشد، خبری نیست. همچنین انگشت افرادی که زیاد از خودکار استفاده می کنند دچار تغییر حالت و وضعیت شده است که امکان تشخیص اثرانگشت را سخت و همراه با خطا می کند. نیروهای آموزش دیده قانون می توانند در این مواقع از انگشت دیگر من استفاده کنند یا از سیستم های دیگری مانند اسکن صورت برای شناسایی من کمک بگیرند اما تصور کنید در یک روز بارانی و مرطوب خارج از شهر هستید و می خواهید با سیستم اسکنر اثرانگشت یک سرویس موبایل را فعال کنید!
گوشی های موبایل هوشمندی مانند Motorola Atrix در بازار یافت می شوند که از اسکنرهای اثرانگشت استفاده می کنند و به سیستمی مجهز هستند که می تواند اثرانگشت را خوانده و در گوشی با نمونه قبلی مقایسه کند. حتی در سال گذشته شایعه شد که شرکت اپل می خواهد روی گوشی تلفن همراه iPhone و سیستم عامل iOS سیستم تشخیص اثرانگشت قرار دهد. همچنین، شرکت هایی که برای مدت طولانی از سیستم های تشخیص هویت مبتنی بر اثر انگشت استفاده کرده اند، معتقدند دستگاه های Ultra-Scan وجود دارد که می توانند صد برابر دقیق تر از اسکنرهای معمولی اثرانگشت را تشخیص داده و مقایسه کنند. ونس بیورن (Vance Bjorn) مدیر فناوری شرکت دیجیتال پرسونا که سال ها است در زمینه مدیریت دسترسی از طریق اثرانگشت کار می کند، می گوید: «به نظر من تغییر جهت به سمت استفاده از اثرانگشت در تجهیزات الکترونیکی می تواند به سرعت اتفاق بیفتد. رمزعبور ضعف های زیادی دارد و نمی تواند امنیت لازم را تأمین کند و ضعیف ترین حلقه امنیتی است که حتی در میان کاربران به خصوص کاربران گوشی های هوشمند در حال فراموش شدن است و اصلاً تمایل ندارند یک عبارت را در گوشی وارد کنند و بیشتر از کشیدن دست روی صفحه نمایش لمسی لذت می برند. احراز هویت با اثرانگشت می تواند راحت و امن باشد و مشکلات موجود را برطرف کند.»

صدای شما رمز عبور شماست
به نظر می رسد احرازهویت مبتنی بر صدا می تواند روی گوشی های تلفن همراه به خوبی کار کند. چون این دستگاه طراحی شده اند تا صدای انسان را پردازش کنند و شامل فناوری هایی برای فیلتر کردن نویز و پردازش سیگنال هستند. همانند اسکنرهای اثرانگشت، فناوری های تشخیص صدا نیز سال ها است که در سیستم های امنیتی وجود دارد و استفاده می شود اما هنوز وارد دستگاه های دیجیتالی و مصرفی مردم نشده است. گونه های مختلفی از سیستم های تشخیص صدا وجود دارد اما همگی مبتنی بر چند قاعده مشخص مانند تشخیص گفتار، صدای پس زمینه، تشخیص دما و فشار هوا هستند. سیستم های امنیتی تشخیص صدای ساده مبتنی بر تکرار یک عبارت خاص است. مانند استفاده از پین کد در کامپیوتر. اگر عبارت مورد نظر توسط کاربر مجاز ادا شود، سیستم مجوز دسترسی می دهد.

سیستم های پیچیده تر مبتنی بر پردازش صدا و گفتار و استفاده از الگوهای تشخیص گفتار هستند و از گفتار یک شخص باید بتوانند فرآیند احراز هویت را انجام دهند. سیستم های مبتنی بر روش اول (استفاده از یک عبارت صوتی مشخص) شکننده و ناامن هستند. اولاً ممکن است با کوچک ترین سرماخوردگی و سرفه و تغییر صدا قفل شوند و کاربر مجاز نتواند وارد سیستم شود. دوماً امکان ضبط صدا توسط هکرها وجود دارد. کوین میتنیک، هکر مشهور، توانست با همین شیوه و ضبط صدای مدیرعامل یک مؤسسه مالی به سیستم تلفنی آن بانک نفوذ کند. این هکر در گفت وگوهای مختلف با این مدیرعامل توانسته بود اعداد صفر تا نه را با صدای او ضبط کرده و پس از استخراج از فایل های صوتی و در کنار یکدیگر قرار دادن، کد صوتی مورد نظر را بازسازی کند.
ماناس پاتاک (Manas Pathak) محققی در حوزه حفظ حریم خصوصی با احراز هویت صدا که به تازگی دکترای خودش را هم از دانشگاه کارنگی ملون دریافت کرده است، می گوید: «سیستم های تشخیص گفتار فعلی معادل رمزهای عبور متنی هستند. در حالی که شما باید بخشی از شناسه خودتان را به سیستم بدهید.» عبارت صوتی (Voice Print) ذخیره شده روی یک سیستم کامپیوتری همانند یک رمزعبور است که امکان سرقت آن وجود دارد. علاوه بر این، صدای شما مشخص کننده سن، ملیت و حتی عواطف شما است که به راحتی در اختیار سارقان قرار می گیرند. تحقیقات اخیر در حوزه تشخیص گفتار روی همین مسئله متمرکز شده است. استاندارد باز جدیدی که توسط مؤسسه FIDO Alliance در حال تصویب است از متدهای احرازهویت چندگانه مبتنی بر صدا پشتیبانی می کند اما امکان دسترسی یا ذخیره اطلاعات بیومتریک کاربران به طور مستقیم روی سیستم را نمی دهد. پاتاک و دیگر محققان در حال توسعه سیستم پیچیده ای هستند که یک صدای پایدار و الگو از صدای کاربر ساخته (کاربر در مورد هر چیزی صحبت می کند و سیستم از این صدا الگوبرداری خواهد کرد) و آن را به چندین بخش نمونه تقسیم می کند. سپس از این نمونه های صوتی به صورت کاملاً محرمانه و رمزنگاری شده ای محافظت می شود. در این حالت، سیستم های از راه دور نمی توانند این صدا را دوباره بازسازی کنند یا به اطلاعات بیومتریکی کاربر دسترسی داشته باشند. پاتاک درباره این سیستم می گوید: «در حال حاضر ، ۹۵ درصد به دقت این سیستم اطمینان داریم.» وی ادامه می دهد که نیاز داریم این سیستم را روی تلفن های همراه به صورت گسترده نصب کرده و آزمایش کنیم. این سیستم آماده عرضه به بازار و تجاری سازی است و فراتر از یک تحقیق دانشگاهی به شمار می رود. با این حال، بسیار سخت است که بپذیریم نویز، عوامل محیطی، صدای ترافیک، تلویزیون، موسیقی و... روی دقت این سیستم تأثیرگذار نیستند و موجب کاهش دقت و احرازهویت آن نمی شوند. احراز هویت از طریق صدا مکانیزم ساده ای نیست؛ افرادی را تصور کنید که در مترو یا اتوبوس نشسته اند و مدام فریاد می زنند تا گوشی موبایل شان از حالت قفل خارج شود یا سرویس ایمیل شان لاگین کند!

چهره در مقابل چهره
تشخیص چهره و اسکن عنبیه چشم از دیگر روش های احرازهویت بیومتریکی هستند و می توانند در تجهیزات الکترونیکی مورد استفاده قرار گیرند چون تقریباً روی همه گوشی های تلفن همراه و نوت بوک ها دوربین دیجیتال با وضوح تصویر وجود دارد. سیستم های شناسایی چهره براساس پارامترهایی از چهره مانند اندازه، شکل، فاصله المان های چهره مانند چشم ها و بینی، فک و استخوان کار می کنند. برخی از سیستم ها نیز دقیق تر هستند و حتی چین و چروک یا خال های چهره را نیز شناسایی می کنند و می توانند تصاویری سه بعدی از چهره انسان تهیه کنند. بسیاری از ما برنامه های تشخیص چهره را در iPhoto یا سایت های اجتماعی دیده ایم و می دانیم که نتایج آن ها ناامیدکننده است. البته، سیستم های تشخیص چهره تجاری و امنیتی قوی تر هستند اما باز هم با کمی تغییر چهره (لبخند زیاد، عینک، استفاده از کلاه یا کلاه گیس مو) یا نورپردازی بد می توان نتایج را عوض کرد و دو عکس شبیه به هم را به اشتباه انداخت.

همچنین در این سیستم ها اگر به درستی و با دقت در دوربین زل نزنید و بخواهید کمی بازیگوشی دربیاورید یا بخواهید عکسی زاویه دار بگیرید، سیستم تشخیص چهره جوابگو نخواهد بود. در این میان، سن، وزن، وضعیت پزشکی و آسیب نیز می تواند چهره را عوض کند و نتایج دلخواه به دست نیاید. یک فعال امنیتی در بوستون که نخواست نامش فاش شود، می گوید: «ما از چند سال پیش تا کنون با بهترین و قوی ترین سیستم های تشخیص چهره هم نتوانستیم یک مهندس ارشد را احرازهویت کنیم و همیشه با شکست مواجه شدیم. زیرا این فرد تقریباً یک دانشمند دیوانه و هیپی با عینک ضخیم و موهای بلند و ریش کامل است. حتی این سیستم ها برای چهره من نیز خطا می کنند. وقتی بعد از عمل چشم مجبور شدم برای چند هفته عینک بزنم با این سیستم ها به مشکل برخوردم.»
در مقابل سیستم های تشخیص چهره، سیستم های تشخیص عنبیه چشم قرار دارند که با استفاده از اشعه مادون قرمز از بخش رنگی عنبیه چشم الگوبرداری می کنند و در دفعات بعد با مطابق الگوها با یکدیگر می توانند هویت فرد را تعیین کنند. این سیستم ها نیاز به پردازش کمتری دارند و درصد خطای آن ها نسبت به سیستم های تشخیص چهره بسیار کمتر می شود زیرا عنبیه چشم هر انسان همانند اثرانگشت یکتا و منحصربه فرد است. تا همین چند سال پیش امکان استفاده از سیستم تشخیص عنبیه چشم وچود نداشت زیرا حق اختراع و استفاده از آن در اختیار یک شرکت بود و اجازه نمی داد همگانی شود اما پس از این که مدت زمان انحصاری استفاده از این فناوری به پایان رسید، شاهد هستیم که این روش در مراکز امنیتی دولتی استفاده می شود. با این حال، خبری از آن در برنامه های کاربردی و تجهیزات الکترونیکی پرمصرف کاربران نیست. سیستم های تشخیص عنبیه چشم نیز دارای مشکلاتی هستند. کاربران مجبورند به این کار تن دهند که چشم شان را در اختیار یک دستگاه بسته قرار دهند و در مقابل تابیدن نور و اشعه مقاومت کنند و پلک نزنند. در این شرایط باید عینک کنار گذاشته شود و استعمال برخی از مواد مخدر یا دارویی که روی عنبیه چشم تأثیر می گذارند، ممنوع شود. همچنین هر حرکتی که موجب شود رک عنبیه چشم تغییر کند مانند استفاده از لنز یا عمل های جراحی یا برخی از ورزش ها نیز ممنوع خواهد بود. بنابراین، همانند سیستم تشخیص صدا و گفتار، سیستم های تشخیص عنبیه چشم نیز دارای مشکلات و خطاهایی هستند و امکان فریب یا جعل وجود دارد. در نتیجه از این فناوری بیشتر در شرایط تحت کنترل انسان مانند اداره گذرنامه و مهاجرت استفاده می شود و نمی توان انتظار داشت به صورت خودکار روی تجهیزات مصرفی الکترونیکی به کار گرفته شود. حداقل می توان گفت به این زودی ها این اتفاق نمی افتد.

خودمان امنیت را تأمین کنیم
بدون شک استفاده از رمزعبور در زندگی دیجیتالی همراه با خطر و تهدیداتی است و امنیت لازم را برقرار نمی کند. فناوری های احراز هویت مبتنی بر بیومتریک جایگزین خوبی برای رمز عبور هستند و می توانند خیال مان را از بابت امنیت دیجیتالی راحت کنند اما همان طور که در این مقاله گفته شد، تمام فناوری ها و روش های مبتنی بر بیومتریک تحت شرایطی شکست می خورند و باز هم توسط انسان قابل دور زدن و جعل هستند و نمی توانند برای ما سحر و جادو کنند. علاوه بر آن، اگر اطلاعات بیومتریکی کاربران لو برود، دیگر هیچ راه قابل بازگشتی وجود ندارد. مثلاً شما می توانید رمز عبور گوشی تلفن همراه خود را تغییر دهید اما آیا می توانید اثرانگشت خودتان را عوض کنید؟ به هر حال، به نظر می رسد فناوری های احراز هویت بیومتریک در حال حرکت به سمت تجهیزات الکترونیکی هستند و در سیستم های احرازهویت چندگانه همراه با رمز عبور قابل استفاده خواهند بود. ونس بیورن از شرکت دیجیتال پرسونا می گوید: « همه ما می دانیم که رمزعبور از بین رفتنی است و باقی نمی ماند. در عوض ابزارهای امنیتی بیومتریک جایگزین می شود. اما من فکر نمی کنم به این زودی ها این ابزارها را روی تجهیزات الکترونیکی و در دست مردم ببینیم