BiznetBiznet

Biyometrik Kimlik Doğrulama Sistemlerinin Güvenirliği

Yazar: Oben Kuyucu

Parolalarımız sayısal ortamlarda kimlik bilgisi olarak kullandığımız ve çok iyi korunması gereken bir bilgi. Ancak günümüzde sadece parola kullanımı eksik veya neredeyse güvensiz sayılmakta. Her gün aldığımız “Şu site hacklenmiş, bu kadar kimlik bilgisi ele geçirilmiş” haberlerinden sonra şüphe duyuyoruz. Yeterince bilinçli kullanıcılar önlem olarak parolalarını değiştiriyorlar. Kullandığımız sitelerdeki altyapılarda, parolalarımız şifrelenmemiş ya da çözülebilir bir algoritma ile saklanıyorsa, parolalarımız “pastebin” gibi yerlerde deşifre ediliyor. Bu bilgi, kötü niyetli kişiler tarafından diğer mecralarda da aynı parolanın kullanılmış olabileceği varsayımıyla deneniyor ve çoğu zaman başarılı sonuçlar elde ediliyor.

Bu nedenle kimlik doğrulama esnasında parolanın yanına bir faktör daha eklenmesi, güvenlik seviyemizi önemli ölçüde artıracaktır. “Bildiğimiz bir şey” örneğin parola, “sahip olduğumuz bir şey” örneğin cep telefonu ya da “olduğumuz bir şey” örneğin biyometrik veri sağlayan parmak izinden en az ikisi kullanıldığı zaman, ortaya daha güvenilir bir kombinasyon çıkıyor. Sadece parolamızın biliniyor olması, sisteme erişmek için yeterli olmuyor. Öte yandan, cep telefonlarına yapılan araya girme saldırılarından ya da kopyalamalardan dolayı, “sahip olduğumuz” kısmında kullanabildiğimiz mobil cihazlar da artık güvenilirliğini yitirmeye başladı. NIST, son Dijital Kimlik Kılavuzunda (NIST Special Publication 800-63B – Haziran 2017) SMS’in sosyal mühendislik sayesinde ya da mobil cihazlardaki kötücül uygulamalar tarafından okunabildiğini (https://doi.org/10.6028/NIST.SP.800-63b) ortaya koymakta. Onun yerine önerdiği uygulamalar biyometrik yöntemler. Biyometrik, bireyin, davranışsal ya da biyolojik karakterine dayalı otomatik tanınması olarak ifade edilebilir. Kriminoloji, fiziksel güvenlik, turizm, sağlık, veri güvenliği, e-ticaret ve benzeri alanlarda kullanılabilen biyometrik yöntemler, bir kimlik doğrulamada parolalardan ya da SMS’ten daha iyi bir güvenlik seviyesi sağlayabilir. Örneğin Apple’in çıkarttığı son iPhone cihazlarında, FaceID teknolojisi ile, telefon kilidini yüzümüzü tanıtarak açmamız mümkün. Ya da SelfiePay ile yüzünüz ile alışveriş yapabilirsiniz. Günümüzde biyometrik sistemlerle oy kullanabilen ülkeler de bulunmaktadır.

Biyometrik yöntemler fizyolojik veya davranışsal olarak aşağıdaki gibi sıralanabilir.

  • Göz retinası, göz veya yüz çevremiz
  • Parmak izimiz
  • Avuç içimiz (Damar haritası)
  • Sesimiz veya sesimizin özellikleri
  • Klavyede veya dokunmatik ekranda yazma hızımız ya da fareyi hareket ettirişimiz
  • İmzamızı atma tarzımız
  • Bulunduğumuz yer
  • Yürüme ya da adım atma şeklimiz

Bütün biyometrik yöntemler, esasında bir resim, obje ya da desen analizi ile kimik doğrulamakta. Özetle; sunulan biyometrik veri, belli işlemlerden geçerek (karar mekanizmaları), daha önce tanıtılan verilerle olasılık hesabı yapılarak karşılaştırılıp uyuşma (ya da benzerlik) varsa, kimlik doğrulanmaktadır.

Bir önceki kısımda kısaca anlatılan işlem, aslında içinde birçok unsuru barındırmaktadır.

Birincisi, sunulan verinin kalitesi. Sunulan veri ister bir yüz resmi olsun ister bir parmak izi, isterse de göz retinası verisi, okuyucu (sensör) kaliteli değilse, sunduğu veri parazitli olacak, kimlik doğrulamayı doğru yapamayacaktır.

Örneğin bir parmak izini okurken kullanılan çözünürlük çok iyi değilse, parmak izi kıvrımlarını doğru okuyamayacağından hem kayıt ederken hem de okurken sunacağı veri bozulmuş olacaktır. Kimlik doğrularken sorun yaşanabilir.

Parmak izini doğru okuyabilmek için değişik yöntemler geliştirilmiştir. Optik parmak izi okuyucuları, ışığın yansımasını kullanarak parmak izinin şeklini almaktadır. Kapasitif okuyucular, parmak ile okuyucu plakası arasındaki hava dolu mesafeyi ölçerek sayısal bir değer elde etmektedir. Bazı dokunmatik ekranlar da aynı teknolojiyi kullanmaktadır. Termal okuyucular, parmak izi kıvrımlarındaki tepe ve taban arasındaki sıcaklık farklarını ölçerek sayısal izi çıkartmaktadır. Ultrasonik parmak okuyucular ise, optik okuyucuların yaptığı işi ses dalgaları ile yapmayı amaçlamaktadır.

Biyometrik kimlik doğrulama da fazla maliyet gerektirmeyen bir yöntem de yüz taramasıdır. Yüz tanımayı, parmakizinden ayıran fark, kullanıcının bir sensöre temasını gerektirmemesidir. Daha önce kayıt edilen bir yüz (ve kimlikler), herhangi bir video kaydından bile bulunabilmektedir.

Geleneksel yüz tanıma tekniğinde, yüzün ve göz çevresinin belli referans noktalarında sayısal ayrıntıları alınmaktadır. Kayıt esnasında alınan bu değerler, daha sonra karşılaştırılarak uyuşma yakalandığında kullanıcıya doğrulama sağlamaktadır. Yüz tanımadaki en büyük sorun, kişinin yüzünün yaralanma, kilo alma gibi sebeplerden dolayı değişebilmesidir. Ayrıca yaşa bağlı değişiklik nedeniyle, yüz tanıma kayıtlarının 10 yılda bir tekrarlanması gerekmektedir. Yüz yapıları normal bir bireyden daha hızlı değiştiğinden, çocukların 15 yaşından büyük olması esastır.

Yüz tanıma algoritmaları çeşitlidir. PCA (Principal Component Analysis), ICA (Independent Component Analysis), LDA (Linear Discriminant Analysis), EP (Evolutionary Pursuit), EBGM (Elastic Bunch Graph Matching), Trace Transform Radon, Gizli Markov Modeli, Eigenfaces Modeli, Fisher Modeli, AAM (Active Appearance Model), Yapay Sinir Ağları, 3D Morphable Model, 3D Face Recognition sıklıkla kullanılan algoritmalardır. Son zamanlarda, makine öğrenmesi kullanılarak da (örneğin Bayesian ML) yüz tanıma algoritmaları geliştirilmektedir.

2 boyutlu yüz tanıma teknikleri, tek bir kamera ile kayıt alıp, bunu kullandığı algoritma ile sayısal değere dönüştürüp veritabanına saklamaktadır. Bir kullanıcıya ait ne kadar çok veri sunulursa, o kadar doğru kimlik doğrulama sağlanır. Ancak bu bile, kullanıcının yüz mimikleri, çevresel ışık ve yüzün bakış açısından etkilenebilir. Bazı algoritmalar renk ve ışık normalizasyonu uygulamaktadır, ancak bu süreç, kullanıcının kimliğini doğrulama süresini uzatabilmekte, yanlış negatifleri ve yanlış pozitifleri artırmaktadır. Bir kullanıcıya ait birden fazla referans yüz bilgisi alınması da saklama alanını doldurabilmektedir. Ayrıca 2 boyutlu doğrulamalar bir vesikalık fotoğraf ile kolaylıkla kandırılabilir.

3 boyutlu yüz tanımalarda optik tarayıcılar, taradığı yüzeyin haritasını çıkartmaktadır. Birden fazla kamera gerektirdiği için maliyeti artırmaktadır. Buna karşın, 3 boyutlu tekniklerde renk, ışık ve bakış açısının bir etkisi olmamaktadır. Birden fazla 2 boyutlu analiz yaptığı için 2 boyutlu tek bir resme göre daha doğru bir kimlik doğrulama sağlamaktadır.

Bütün bu sistemlerin etkinliği ölçülebilmektedir. FAR (False Acceptance Rate), sistemin, veritabanında bulunmayan bir kişiye ait bilgiler sunulduğunda, bu veriyi veritabanında bulunan başka biriyle eşleştirmesinden kaynaklanan yanlış tespitlerin oranıdır. False Reject Rate (FRR) ise sistemin veritabanında varolan kişiyi bulamaması oranıdır. FAR ve FRR değerleri ne kadar küçük ise, sistem o kadar ideale yakındır. FAR ve FRR arasında ters bir oran bulunmaktadır. Kişileri kolay tanımak için sistemi ne kadar esnetirseniz, bir kişinin yüzüne benzeyen başka kişileri de yanlış şekilde doğrulayabilirsiniz. FAR ve FRR’in eşit olduğu (ya da FAR ve FRR eğrilerinin altında kalan alanın eşit olduğu nokta) yere EER (Equal Error Rate) adı verilmektedir. EER değeri ne kadar düşükse, sistem o kadar iyidir.

Ayrıca FER (Failure to Enroll Rate), sisteme kayıt edilebilme istatistiğini verir. Sistem kayıt edilebilme yüzdesi ne kadar yüksek olursa, kimlik doğrulamada o kadar doğru sonuçlar alınır.

Aşağıda tipik FAR ve FRR değerleri sunulmuştur.

El (el ve parmakların 3B özelliklerine bakılarak)

False Rejection Rate (FRR): %0,1
False Acceptance Rate (FAR): %0,1
Doğrulama zamanı: 1-2 saniye

Parmakizi (Optik, kapasitif veya termal)

False Rejection Rate (FRR): <%1
False Acceptance Rate (FAR):  %0,0001’den %0,00001’e
Doğrulama zamanı: 0,2-1 saniye

Yüz (optik)

False Rejection Rate (FRR): <%1
False Acceptance Rate (FAR): %0,1
Doğrulama zamanı: 3 saniye

Göz (iris)

False Rejection Rate (FRR): %0,00066
False Acceptance Rate (FAR): %0,00078
Doğrulama zamanı: 3 saniye

Biyometrik sistemlere yapılan saldırılar

Maalesef bazı biyometrik sistemler, kayıt ettikleri verileri, hızlı erişebilmek adına herhangi bir şifreleme ya da hashing yapmadan saklamakta, bu durum da sistemin genel güvenliğini tehlikeye atmaktadır. Özetle, bir biyometrik sistem, kendi içinden kaynaklanan sorunlar nedeniyle, ya da kasıtlı saldırılarla doğru çalışmaz hale getirilebilir. Örneğin kullanılan parçaların kalitesizliği nedeniyle yüksek FAR’a sahip bir ürün, yanlış kişiyi doğrulayabilir. Ya da sensöre veya veritabanına yapılacak bir manipülasyon sayesinde, aslında doğrulanmaması gereken bir kişi eklenebilir.

Aynı zamanda, sisteme daha önce kayıt edilen bir kullanıcıya ait bir veri, değişik şekillerle kopyalanıp sisteme sunulabilir. Bunun en iyi örneği, 2 boyutlu yüz tanımalarda, kişinin vesikalık fotoğrafını kullanmak olabilir.

Yeni çıkan iPhone cihazlarının FaceID teknolojisindeki sorunlar nedeniyle, telefonun, kullanıcıların çocukları ya da ikizleri tarafından açılabildiği durumlar olmuştur. .

Cihaza fiziksel erişimin mümkün olduğu durumlarda, kötü niyetli kullanıcılar, sensörü değiştirerek, kimliğinin doğrulanmasını sağlayabilir.

Sistem bileşenlerinin arasındaki iletişimi sağlayan kanallarda, gizlice dinleme yapılabilir, Man-in-the-middle saldırıları ile veri manipüle edilebilir kaba kuvvet saldırıları yapılabilir, ele geçirilen veri tekrar tekrar kullanılarak kimlik doğrulama yapılabilir, eşleşme yapılabilmesi için yapay veri üretilebilir, eşleşme skoru veya karar mekanizması tahrif edilebilir.

Veritabanına erişim söz konusu olduğunda, özellikle verinin gizliliği ve bütünlüğü tehlikeye girer. Şifrelenmemiş verinin okunması aynı zamanda kişisel verilere erişim anlamına gelebilir. Benzer şekilde, saldırgan, verileri okuyarak, şablonlara erişerek, kendine ait bilgiyi ekleyebilir ya da başkasına ait verileri değiştirebilir. Kimlik ile biyometrik arasındaki bağlantıyı değiştirerek, kimliğin doğrulanamamasına sebep olabilir.

Karar ve eşleşme mekanizmalarına erişim mevcut ise, girilen değere ait eşleşme skoru değiştirilebilir, daha önce girilen değer tekrar girilebilir ya da eşleşme skorları incelenerek, kaba kuvvet saldırıları yapılabilir (Hill climbing attack).

Bunların yanı sıra, otomatik kayıt özellikli ve gözetimsiz biyometrik tanıma sistemleri, her zaman kimlik yanıltmasına açıktır. Kayıt zamanında girilecek her yanlış bilgi, daha sonra kimlik doğrulamada yine yanlış kullanım ile sonuçlanabilir. Ya da doğru bir biyometrik, yanlış kimlik ile eşleştirilebilir.

Bu saldırılara karşın, ilk önemli güvenlik önlemi, sistemin fiziksel güvenliğini sağlamaktır. Aynı zamanda veritabanındaki bilgilerin şifrelenerek ya da hashlenerek saklanması gerekmektedir. Kanallardaki sorunları gidermek için de bileşenler arası trafiğin şifrelenerek akması tercih edilmelidir. Maalesef bütün bu özellikler, cihazın (ya da sistemin) performansını sekteye uğratacak durumlardır. Her bir şifreleme işleme, makine hızında bile olsa, kimlik doğrulama esnasında süreyi uzatabilir. Ancak, güvenliğin ve kimlik kesinliğinin zorunlu olduğu ortamlarda bu tür önlemlerin alınması gerekmektedir. Bunun yanı sıra, biyometrik kimlik doğrulamasının içerdiği bu tür sorunlardan dolayı biyometrik doğrulamanın tek başına değil, ikincil yöntem olarak kullanılması tavsiye edilmektedir.

Referanslar:

  • (www.biometria.sk), OOO. “Biometric Principles.” Sk, http://www.biometria.sk/en/principles-of-biometrics.html.
  • Adámek, Milan et al. “Security of Biometric Systems.” Procedia Engineering, vol 100, 2015, pp. 169-176. Elsevier BV, doi:10.1016/j.proeng.2015.01.355.
  • “Biometric Accuracy Standards.” 2017, https://csrc.nist.gov/CSRC/media/Events/ISPAB-MARCH-2003-MEETING/documents/March2003-Biometric-Accuracy-Standards.pdf.
  • “Biometrics Metrics Report V3.0 (2012).” 2012, http://www.usma.edu/ietd/docs/BiometricsMetricsReport.pdf.
  • Campisi, Patrizio. Security and Privacy In Biometrics.
  • “Hackers Say They’ve Broken Face ID a Week After iPhone X Release”, Wired.com, https://www.wired.com/story/hackers-say-broke-face-id-security/.
  • Jiang, Richard et al. Biometric Security and Privacy. Cham, Switzerland, Springer, 2017,.
  • Kakıcı, Ahmet. “Biyometrik Tanıma Sistemleri.” Github.Io, 2008, http://ahmetkakici.github.io/genel/biyometrik-tanima-sistemleri/.
  • “Mastercard ve Oxford Üniversitesi biyometrik kullanımını yaygınlaştıracak: Ödeme için şifre hatırlamak tarihe karışıyor”, Mastercard.com, https://newsroom.mastercard.com/eu/tr/2017/06/26/mastercard-ve-oxford-universitesi-biyometrik-kullanimini-yayginlastiracak-odeme-icin-sifre-hatirlamak-tarihe-karisiyor/
  • Marques, Ion. Face Recognition Algorithms. 2010, http://www.ehu.eus/ccwintco/uploads/e/eb/PFC-IonMarques.pdf.
  • “NIST Special Publication 800-63B.” Nist.Gov, 2017, https://pages.nist.gov/800-63-3/sp800-63b.html.
  • Rak, Roman et al. Biometrie A Identita Člověka Ve Forenzních A Komerčních Aplikacích. Praha, Grada, 2008,.
  • Reid, Paul. Biometrics for Network Security. Upper Saddle River, Prentice Hall PTR, 2004,.
  • Security and Privacy In Biometrics. [Place Of Publication Not Identified], Springer, 2015,.
  • Sixth IEEE International Conference on Advanced Video and Signal Based Surveillance, 2009. Piscataway, NJ, IEEE, 2009,.
  • Varol, Asaf, and Betül Cebe. “YÜZ TANIMA ALGORİTMALARI.” 5Th International Computer & Instructional Technologies Symposium, 2011, https://www.researchgate.net/publication/267723624_YUZ_TANIMA_ALGORITMALARI_ALGORITHMS_OF_FACE_RECOGNITION.
  • “Watch a 10-Year-Old’s Face Unlock His Mom’s iPhone X”, Wired.com, https://www.wired.com/story/10-year-old-face-id-unlocks-mothers-iphone-x/.
oben.kuyucu
Yazar: oben.kuyucu