Vier belangrijke gevaren van biometrische authenticatie

Het kan je niet ontgaan zijn dat biometrische authenticatietechnieken links en rechts in het nieuws verschijnen. Van ABN Amro die een proef heeft uitgevoerd met betalen via een vingerafdruk of selfie tot een smartcover die de tablet kan ontgrendelen via een vingerafdruk. Ook wordt biometrische authenticatie steeds meer de standaard voor smartphones, onder andere door goedkopere sensoren en Google die de technologie integraal onderdeel uitmaakt van hun smartphone. De opkomst van deze techniek is al met al in een onstuitbare opmars verwikkeld. Dit was reden voor mij om eens te kijken naar de gevaren van deze opkomende techniek.

Wat is biometrische authenticatie?

Biometrische authenticatie is authenticatie op basis van wat je bent. Het gaat om het herkennen van personen op basis van een analyse van de fysieke of gedragsmatige eigenschappen. De eerste authenticatie methoden die gebaseerd waren op fysieke eigenschappen waren al begin jaren ’80 in gebruik. Deze methode werd destijds vooral gebruikt om extra beveiliging te bieden in verhoogde risicovolle omgevingen, zoals de toegang tot de mainframe computer bij de overheid.

Ik geef een paar voorbeelden. In de praktijk kun je denken aan vingerafdrukken, irisscanners en gezicht scanners. Onder biometrie vallen o.a. ook DNA, geur, netvlies, aders, oren, manier van lopen, handtekening en stem. Sommige vormen van biometrische authenticatie zijn fraudegevoeliger dan anderen. Zo behoort een handtekening of stemgebruik tot de meer kwetsbare vormen en irisscanners en geur tot de meer veilige vormen (vraag het maar aan de hond van de buurman). Het gaat hier wel om een relatieve veiligheid, omdat biometrische authenticatie op zichzelf omringd is met privacy en security problemen.

Bij het bespreken van de gevaren nemen we de vingerafdruk – bestaande uit plooien in de vorm van een ‘corduroy patroon’ – als voorbeeld.

1. Eén van de belangrijkste gevaren van het gebruik van biometrische authenticatie is dat een eenmaal verloren vingerafdruk voorgoed verloren is (afgezien van biometrisch salten genaamd ‘cancelable biometrics’. Je vingerafdruk is niet zoals een wachtwoord simpelweg te vervangen met een nieuw wachtwoord.
2. Bedenk daarbij ook dat we overal waar we zijn onze ‘sporen’ achterlaten, zoals bijvoorbeeld je vingerafdruk op dat kopje koffie van vanochtend.
3. Tot overmaat van ramp is het meestal ook niet eens nodig om de exacte vingerafdruk te hebben voor een match, zoals bij latente vingerafdrukken. Vaak zijn enkele unieke kenmerken in een vingerafdruk (de zogenaamde minutiae van een plooi) al voldoende voor een geslaagde authenticatie.
4. Een ander bezwaar is dat, afhankelijk van de kwaliteit van de gebruikte apparatuur en software, biometrische authenticatie kan leiden tot fout-positieven en fout-negatieven. In het eerste geval wordt een persoon toegang gegeven terwijl hij eigenlijk geen toegangsrechten heeft, zoals door het ‘spoofen’ van een vingerafdruk (vingerafdruk kopiëren en in latex gieten). In het tweede geval krijgt een persoon geen toegang terwijl hij wel toegang zou moeten krijgen, bijvoorbeeld door een kleine snee in de vinger. Doordat de kwaliteit van de technologie steeds verbetert zal de kans hiertoe verkleinen, maar waterdicht zal het nooit worden.

Nou hoor ik je al denken: wat maakt het gebruik van biometrische authenticatie dan zo aantrekkelijk? Dat komt vooral vanwege de eenvoud van het gebruik. Niet alleen heb je altijd jouw biometrische authenticatie bij de hand (letterlijk), je hoeft het --- in tegenstelling tot wachtwoorden --- niet meer te onthouden of ergens op te slaan.

Dit is een klassiek probleem in de informatiebeveiliging: gebruikersgemak versus security. Het komt neer op het probleem dat meer security vaak ten koste gaat van het gemak. Bijvoorbeeld het gemak om toegang te krijgen tot een gebouw. Als er 20 seconden langer moet worden gewacht voordat een match heeft plaatsgevonden via een irisscanner, terwijl dat twee seconden is met een vingerafdruk, dan zal niet snel gekozen worden voor de irisscanner. Voor persoonlijk gebruik is dat denkbaar, maar voor een multinational met duizenden werknemers zijn die 20 seconden al snel te lang. Met toenemende rekenkracht van processoren is hier nog een mouw aan te passen, maar het blijft een heikel punt. De vraag is hoeveel gemak zijn we bereid op te geven voor hoeveel security?

Naast deze technische ontwikkelingen wordt ook in de komende Algemene Verordening Gegevensbescherming (AVG) voor het eerst gesproken over biometrische gegevens.