Artigo publicado hoje na Security Magazine, em Chicago - EUA. Por Lenildo Moraes

Nos últimos anos, vimos uma explosão no uso da biometria, em uma ampla variedade de situações em que o uso de técnicas de identificação biométrica já é possível. A usabilidade é um fator muito relevante. Outra é a privacidade. Existe uma oposição natural à possibilidade de criar um extenso banco de dados pessoal centralizado. As empresas precisam ter cuidado com a forma como implementam seus sistemas de autenticação biométrica para evitar violações da privacidade de funcionários ou clientes ou a exposição inadequada de informações confidenciais. Afinal, embora seja fácil emitir uma nova senha quando a antiga é comprometida, é impossível dar a alguém uma nova aparência.

A autenticação biométrica usa características físicas ou comportamentais humanas para identificar digitalmente uma pessoa para conceder acesso a sistemas, dispositivos ou dados. Exemplos desses identificadores biométricos são impressões digitais, padrões faciais, voz ou cadência de digitação. Cada um desses identificadores é considerado exclusivo do indivíduo e pode ser combinado com outros meios de autenticação para garantir maior precisão na identificação dos usuários. Como a biometria pode fornecer um nível razoável de confiança na autenticação de uma pessoa, ela tem o potencial de melhorar drasticamente a segurança. Computadores e dispositivos podem ser desbloqueados automaticamente quando detectam as impressões digitais de um usuário autorizado. As portas da sala do servidor podem ser abertas quando eles reconhecem o rosto dos administradores de sistema confiáveis.

A maioria das empresas classifica a autenticação biométrica como "eficaz" ou "muito eficaz" para proteger os dados de identidade armazenados no local e afirma que é eficaz na proteção de dados armazenados em uma nuvem pública. A maioria das empresas já está usando autenticação biométrica e o restante planeja implementá-la nos próximos anos.

Tipos de Biometria
Um identificador biométrico é aquele que está relacionado às características humanas intrínsecas. Eles se enquadram em duas categorias: identificadores físicos e identificadores comportamentais. Os identificadores físicos são, na maioria das vezes, imutáveis ​​e independentes de dispositivo. Entre eles estão:

Impressões digitais
Os scanners de impressões digitais tornaram-se onipresentes nos últimos anos devido à sua ampla implantação em smartphones. Qualquer dispositivo que possa ser tocado, como a tela do telefone, o mouse ou o touchpad do computador ou o painel da porta, pode se tornar um scanner de impressão digital fácil e conveniente. De acordo com o Spiceworks, a digitalização de impressões digitais é o tipo mais comum de autenticação biométrica.

Foto e Vídeo
Se um dispositivo estiver equipado com uma câmera, ele poderá ser facilmente usado para autenticação. O reconhecimento facial e os exames da retina são duas abordagens comuns.

Reconhecimento Fisiológico
O reconhecimento facial é o terceiro tipo mais comum de autenticação. Outros métodos de autenticação baseados em imagem incluem reconhecimento de geometria manual, leitura de íris ou retina, reconhecimento de veias da palma e reconhecimento de orelha.

Voz
Os assistentes digitais baseados em voz e os portais de serviços baseados em telefone já estão usando o reconhecimento de fala para identificar usuários e autenticar clientes.

Inscrição
Os scanners de assinatura digital já são usados ​​em geral em lojas e bancos e são uma boa opção para situações em que usuários e clientes já esperam assinar seus nomes.

DNA
Hoje, os testes de DNA são usados ​​principalmente na aplicação da lei para identificar suspeitos. Na prática, o seqüenciamento de DNA tem sido muito lento para uso generalizado. Isso está começando a mudar. Já existe a possibilidade de fazer uma correspondência de DNA em questão de minutos.

Abordagens mais comuns
Identificadores comportamentais são uma abordagem mais recente e, em geral, estão sendo usados ​​em conjunto com outro método devido à sua baixa confiabilidade. No entanto, conforme a tecnologia melhora, esses identificadores comportamentais podem ter seu uso expandido. Ao contrário dos identificadores físicos, que são limitados a um determinado conjunto fixo de características humanas, os únicos limites para identificadores comportamentais são a imaginação humana.

Hoje, essa abordagem é frequentemente usada para distinguir entre um humano e um robô. Isso pode ajudar uma empresa a filtrar spam ou detectar tentativas de força bruta para fazer login e senha. À medida que a tecnologia melhora, é provável que os sistemas melhorem a identificação precisa dos indivíduos, mas permanecem menos eficazes na distinção entre humanos e robôs. Aqui estão algumas abordagens comuns:

Padrões de digitação
Todo mundo tem um estilo de digitação diferente. A velocidade com que digitamos, o tempo que leva para passar de uma letra para outra, o grau de impacto no teclado, tudo isso é considerado.

Movimentos físicos
A maneira como alguém anda é exclusiva de um indivíduo e pode ser usada para autenticar funcionários em um prédio ou como uma camada secundária de autenticação para locais particularmente sensíveis.

Padrões de navegação
Os movimentos do mouse e dos dedos nos trackpads ou telas sensíveis ao toque são exclusivos dos indivíduos e são relativamente fáceis de detectar com o software, sem a necessidade de hardware adicional.

Padrões de engajamento
Todos interagimos com a tecnologia de maneiras diferentes. Como abrimos e usamos aplicativos, os locais e horários do dia em que provavelmente utilizamos nossos dispositivos, a maneira como navegamos em sites, como inclinamos nossos telefones quando os seguramos ou mesmo com que frequência verificamos nossa rede social todas as contas são características comportamentais potencialmente únicas. Hoje, esses padrões de comportamento podem ser usados ​​para distinguir pessoas de bots. E eles também podem ser usados ​​em combinação com outros métodos de autenticação ou, se a tecnologia melhorar o suficiente, como medidas de segurança independentes.

 
Quão confiável é a autenticação biométrica?
As credenciais de autenticação, como digitalizações de impressões digitais ou gravações de voz, podem vazar de dispositivos, servidores da empresa ou software usado para analisá-las. Há também um alto potencial para falsos positivos e falsos negativos. Um sistema de reconhecimento facial pode não reconhecer um usuário usando maquiagem ou óculos, ou alguém que está doente ou cansado. As vozes também variam.

As pessoas parecem diferentes quando acordam, ou quando tentam usar o telefone em um ambiente público lotado, ou quando estão com raiva ou impacientes. Os sistemas de reconhecimento podem ser enganados com máscaras, fotos e gravações de voz, com cópias de impressões digitais ou enganados por membros da família ou colegas de confiança quando o usuário legítimo estiver dormindo.

Os especialistas recomendam que as empresas usem vários tipos de autenticação simultaneamente e aumentem rapidamente se virem golpes. Por exemplo, se a impressão digital corresponder, mas o rosto não corresponder ou a conta estiver sendo acessada de um local incomum em um momento incomum, talvez seja hora de mudar para um método de autenticação de backup ou um segundo canal de comunicação. Isso é particularmente crítico para transações financeiras ou alterações de senha.

Quais são os riscos de privacidade na autenticação biométrica?
Alguns usuários podem não querer que as empresas coletem dados sobre, por exemplo, a hora do dia e os locais onde normalmente usam seus telefones. Se essa informação vazar, poderá ser usada por perseguidores ou, no caso de celebridades, por jornalistas tabloides. Alguns usuários podem não querer que seus familiares ou cônjuges saibam onde estão o tempo todo.

As informações também podem ser abusadas por regimes repressivos do governo ou por promotores criminais que ultrapassam fronteiras. Potências estrangeiras podem usar as informações na tentativa de influenciar a opinião pública. Comerciantes e anunciantes antiéticos podem fazer o mesmo.

Qualquer uma dessas situações pode levar a constrangimentos públicos significativos para a empresa que coletou dados, multas regulatórias ou ações coletivas. Se as varreduras de DNA se espalharem, elas podem dar origem a uma nova área de preocupações com a privacidade, incluindo a exposição a condições médicas e relações familiares.

Quão segura é a autenticação biométrica?
A segurança dos dados de autenticação biométrica é de vital importância, ainda mais do que a segurança das senhas, pois as senhas podem ser facilmente alteradas se expostas. Uma impressão digital ou escaneamento da retina, no entanto, é imutável. A divulgação dessas ou de outras informações biométricas pode colocar os usuários em risco permanente e criar uma exposição legal significativa para a empresa que perde os dados. No caso de uma violação, isso cria um enorme desafio, porque tarefas físicas, como impressões digitais, não podem ser substituídas. Os dados biométricos nas mãos de uma entidade corrupta também têm implicações muito assustadoras, mas reais. 

Por fim, toda empresa é responsável por suas próprias decisões de segurança. Não é possível terceirizar a conformidade, mas pode reduzir o custo da conformidade e as possíveis repercussões de um vazamento, escolhendo o fornecedor certo. Além disso, as empresas que não mantêm credenciais registradas têm algumas proteções legais. Por exemplo, muitos varejistas podem evitar custos substanciais de conformidade mantendo seus sistemas "fora do escopo". As informações de pagamento são criptografadas diretamente no terminal de pagamento e transmitidas diretamente para um processador de pagamento. Os dados brutos do cartão de pagamento nunca tocam nos servidores da empresa, reduzindo as implicações de conformidade e os possíveis riscos de segurança.

Se uma empresa precisar coletar informações de autenticação e mantê-las em seus próprios servidores, as melhores práticas de segurança devem ser aplicadas. Isso inclui criptografia para dados em repouso e dados em trânsito. Novas tecnologias estão disponíveis para criptografia em tempo de execução, que mantém os dados criptografados mesmo quando em uso. A criptografia não é uma garantia absoluta de segurança, é claro, se os aplicativos ou usuários autorizados a acessar os dados estiverem comprometidos. No entanto, existem algumas maneiras pelas quais as empresas podem evitar manter os dados de autenticação criptografados em seus servidores.

Autenticação local ou baseada em dispositivo
O exemplo mais comum de um mecanismo de autenticação local é o módulo de segurança de hardware em um smartphone. Informações do usuário, como digitalização de impressões digitais, imagem facial ou impressão de voz, são armazenadas dentro do módulo. Quando a autenticação é necessária, as informações biométricas são coletadas pelo leitor de impressões digitais, câmera ou microfone e enviadas ao módulo, onde são comparadas com as originais. O módulo informa ao telefone se as novas informações correspondem ou não ao que já havia armazenado. Com esse sistema, as informações biométricas brutas nunca são acessíveis a qualquer software ou sistema fora do módulo, incluindo o próprio sistema operacional do telefone. Hoje, os módulos de segurança de hardware de smartphones são usados ​​para fornecer segurança e autenticar aplicativos de terceiros.

As empresas também podem usar leitores biométricos baseados em smartphones sempre que seus usuários ou clientes tiverem acesso a smartphones, sem precisar coletar e armazenar informações de identificação biométrica em seus próprios servidores. Tecnologia semelhante está disponível para outros tipos de dispositivos, como cartões inteligentes, bloqueios inteligentes ou scanners de impressões digitais para PCs. O reconhecimento de impressão digital por telefone é o mecanismo de autenticação biométrica mais comum atualmente. A autenticação baseada em smartphone oferece benefícios significativos de usabilidade. Primeiro, os usuários tendem a descobrir imediatamente se perderam o smartphone, tomando medidas imediatas para localizá-lo ou substituí-lo. Se, no entanto, eles perderem um crachá que só usam para acessar um prédio fora do horário de expediente, poderão não perceber por um tempo que ele não está mais em seu poder. Os fabricantes de smartphones também estão no meio de uma corrida para tornar sua tecnologia melhor e mais fácil de usar. Nenhuma outra indústria ou empresa individual pode igualar a escala do investimento móvel ou os testes de usabilidade e segurança que os telefones recebem.

Finalmente, a autenticação por telefone oferece aos usuários a máxima flexibilidade. Eles podem optar por telefones com identificação facial, scanners de impressões digitais ou reconhecimento de voz, ou alguma outra nova tecnologia que ainda não foi inventada, mas que dominará o mercado amanhã. No entanto, o uso de um mecanismo de terceiros, como smartphones, coloca o processo de autenticação fora do controle da empresa. Outra desvantagem da autenticação baseada em dispositivo, em geral, é que as informações de identidade são limitadas a esse único dispositivo. Se as pessoas usam uma impressão digital para desbloquear o smartphone, elas também não podem usar a mesma impressão digital para destrancar a porta do escritório sem autorizar a trava separadamente ou para desbloquear o computador sem autorizar separadamente o scanner de impressão digital do computador.

As empresas que precisam autenticar usuários ou clientes em vários dispositivos em vários locais precisam ter algum tipo de mecanismo centralizado para armazenar credenciais de autenticação ou tirar proveito de um dispositivo que o usuário carrega sempre. Por exemplo, as empresas podem colocar o mecanismo de autenticação dentro de um selo inteligente que os funcionários usam no escritório. Eles também podem usar um smartphone para autenticar o funcionário e depois comunicar a verificação de identidade a outros dispositivos e sistemas via Bluetooth, NFC, Wi-Fi ou Internet.

Tokenização ou Criptografia
Outra abordagem para permitir que novos dispositivos reconheçam usuários autorizados é a função de tokenização, criptografia unidirecional ou hash. Digamos, por exemplo, que a identificação de retina, voz ou impressão digital seja usada para reconhecer e autenticar funcionários onde quer que eles possam ir dentro de uma empresa, mas a empresa não deseja que os arquivos de imagem ou áudio sejam armazenados em servidores nos quais hackers ou funcionários mal-intencionados podem usar indevidamente eles.

Em vez disso, a empresa usaria um dispositivo que, digamos, varre o rosto ou a impressão digital de uma pessoa, converte essa imagem em um código exclusivo e envia esse código ao servidor central para autenticação. Qualquer dispositivo que utilize o mesmo método de conversão poderá reconhecer o funcionário e os dados brutos de identificação nunca estarão disponíveis em nenhum sistema.

Lenildo Morais é mestre em Ciência da Computação pelo Centro de Informática da Universidade de Pernambuco, Brasil. Ele é pesquisador da ASSERT - Tecnologias Avançadas de Pesquisa em Engenharia de Sistemas e Software e gerente de projetos do Porto Digital de Pernambuco, Brasil.