Autentizace: úskalí hlasové autentizace
Je ověření hlasu dobrý způsob jak zabránit neoprávněnému přístupu do systému?
V minulém příspěvku jsme se zamýšleli nad tím, jak by mohla být provedena autentizace uživatele po telefonu. Řekli jsme si, že uživatel by mohl svoji identitu potvrdit znalostí hesla, svým hlasem a případně i číslem, ze kterého volá. Ignorovali jsme však jednu podstatnou skutečnost, že nejen poskytovatel služby, v naší úvaze banka, chce mít jistotu, že informaci nebo službu poskytuje oprávněnému uživateli, ale že i uživatel chce mít jistotu, že hovoří opravdu s bankou.
Některé organizace tento problém řeší tak, že provedou callback, tímto způsobem je možné se poměrně jednoduše bránit útokům označovaných jako caller ID spoofing, které spočívají v tom, že útočník zavolá přes voice-over-IP poskytovatele, který mu umožňuje nastavit si libovolné caller ID (rozuměj telefonní číslo), anebo využije jedné z mnoha placených a přes internet dostupných služeb, které toto umožňují.
Jak má ale uživatel poznat, že hovoří opravdu s někým z dané společnosti? Že se mu operátor představí jménem dané společnosti? To je přeci dost málo, ne? U webu by si mohl uživatel zkontrolovat alespoň certifikát, ale co si může zkontrolovat zde? Prakticky nic. Uživatelé jsou v tomto případě vystaveny mnoha různým útokům přes phishing, smishing až po vishing.
Oproti klasickému phishingu, je zde větší šance, že si uživatel rozmyslí, zda bude na dané číslo volat, obzvlášť v případě, když uvidí, že se jedná o číslo z jiné země. Ovšem mnohem horší situace může nastat v okamžiku, kdy klientovi zavolá útočník. Pozná klient, že se jedná o vishing? Nejspíš ne, neboť většinou se autentizuje jen jedna strana a ještě k tomu nedostatečně.
Problém je, že uživatel opravdu moc možností nemá. Jediné, co může udělat, že si do systému, pokud to daný systém podporuje, nahraje svůj vzkaz a ten mu je po úspěšné autentizaci přehrán. Jistě jste poznali, že se jedná o pokus o oboustrannou autentizaci (mutual authentication), která je obdobou SiteKey, která je náchylná k MITM útoku. Pojďme si stručně popsat, jak by takový útok probíhal.
Útočník zavolá na číslo poskytovatele dané služby (banky), a v reálném čase zadá údaje, které mu právě poskytla oběť, do automatizovaného systému (Interactive Voice Response, zkr. IVR), který mu přehraje zprávu, kterou on s minimálním zpožděním přehraje i oběti, která je následně systémem vyzvána k hlasové autentizaci, poté již dojde ke spojení s operátorem, ale s tím již hovoří útočník, zatímco oběť hovoří s operátorem útočníka. Z tohoto důvodu se nám jeví jako vhodné, aby kontrola volajícího probíhala po celou dobu daného hovoru. Pokud by tomu tak nebylo, mohl by útočník snadno realizovat např. převod peněz na jiný účet.
Tento útok je, pokud jde o zdroje, podstatně méně náročný na provedení než v minulém příspěvku naznačený útok spočívající v generování smysluplných odpovědí na dotazy operátora z databáze slov a slovních spojeních uložených v databázi útočníka a sestavených na základě pořízené nahrávky uživatele.
Dalším úskalím hlasové autentizace může být hlasová indispozice uživatele, v takovém případě by se uživateli nepodařilo do systému přihlásit a službu by prakticky nemohl využívat. Je otázka, jak by v takovém případě vůbec hovořil s operátorem, ale budiž. Uvedené problémy a rizika nás nicméně přivádí na myšlenku, zda možnost kontroly hlasu v průběhu celého hovoru nevyužít spíše jako systém sloužící k odhalení podvodu (Fraud Detection System, zkr. FDS) a v případě podezření nepoložit uživateli nějakou kontrolní otázku.
Závěr: Navzdory výše uvedeným skutečnostem se domníváme, že pokud bude hovor do banky iniciovat sám klient, a bude se autentizovat pomocí ID a PIN, tak se nemusí příliš obávat, že by se stal obětí nějakého útoku. A jaký je váš názor?
Nahrávání ...Předpokládejte, že zavoláte do banky na číslo, na kterém je poskytována služba telefonického bankovnictví a systém vás vyzve k zadání vašeho identifikačního čísla.
Nahrávání ...Změnila by se nějak vaše volba, pokud by obsluha účtu byla možná jen z předem dohodnutého telefonního čísla? Telefon by v daném případě sloužil jako druhý faktor z kategorie „něco má“ a identifikátor by nebylo nutné zadávat.
Nahrávání ...Změnila by se nějak vaše volba, pokud by obsluha účtu byla možná jen z předem dohodnutého telefonního čísla a banka by navíc provedla callback? To znamená, že by vám zavolala zpět.
Nahrávání ...Štítky: autentizace
K článku “Autentizace: úskalí hlasové autentizace” se zde nachází 2 komentáře.
Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.
V National Australia Bank již autentizaci pomocí hlasu používají několik let, více zde.
U hlasové autentizace, stejně jako u ostatních biometrických metod existuje určitá nedůvěra v jejich spolehlivost, především se zde můžeme setkat s obavou, že by mohlo dojít k chybnému vyhodnocení hlasového projevu a následně by mohla být do systému vpuštěna neoprávněná osoba nebo by naopak oprávněné osobě mohl být přístup do systému odmítnut.
Hodnota FAR (False Acceptance Rate) a FRR (False Rejection Rate) a tedy EER (Error Equal Rate) je zde skutečně vyšší, nicméně nikde není řečeno, že hlasová autentizace musí být použita jako jediná autentizační metoda, a že uživatel po úspěšné autentizaci tímto způsobem automaticky získá přístup ke všem informacím nebo službám, které daný systém poskytuje.
Mnohé firmy však stále nedokážou současné teoretické poznatky správně aplikovat v reálném životě. Přitom by jen stačilo dostupné technologie správně implementovat a maximálně jich využít. Představte si, že byste volali do své banky, ta by vás podle hlasu ověřila a pokud byste se zeptali třeba na zůstatek nebo na informace o pohybu na účtu, tak by vám byly tyto informace poskytnuty.
Pokud byste chtěli provést platbu, vstoupily by do hry další faktory, které by byly vyhodnoceny FDS. Např. z jakého telefonního čísla hovoříte, o jakou částku a cílový účet se jedná, jaká byla hodnota FAR a konečně jaké byly vaše požadavky na ověření. Po vyhodnocení těchto podmínek a dosaženého skóre byste platbu mohli dokončit nebo by vás systém ještě požádal o dodatečnou autentizaci.