Fingeraftryk ikke sikkert nok som ID: Vi skal helt ind i kroppen

En mandag aften i marts 2005 mister K. Kumaran både sin finger og sin bil.

Den malaysiske bogholder forlader kontoret lidt over syv, men øjeblikket før han låser sig ind i sin bil, bliver han ramt bagfra af en Honda Civic. Fire mænd bevæbnet med macheter stiger ud. De tvinger Kumaran til at udlevere bilnøglerne, beretter BBC’s korrespondent i Kuala Lumpur – men nøglerne alene kan ikke starte bilen: Sikkerhedssystemet kræver bogholderens fingeraftryk, før motoren vågner. De fire mænd tvinger den 29-årige Kumarans finger ned på panelet, smider ham ind på bagsædet og kører til et lyssky autoværksted, hvor de får at vide, at sikkerhedsblokeringen ikke kan omgås. Kumaran får besked på at lægge sin venstre hånd fladt ned mod asfalten, og de efterlader ham nøgen i en grøft.

Blodet løber fra såret, hvor macheten har skåret halvdelen af pegefingeren af.

Kompromitteret for evigt

Et fingeraftryk er – ligesom øjet og stemmen – unikt fra menneske til menneske og kan derfor bruges til såkaldt biometrisk identifikation. Men fingeraftrykket som sikkerhedsforanstaltning har også en række svagheder, som den ulykkelige Kumaran måtte sande.

Det virker, uanset om fingeraftrykkets indehaver har en pistol for panden, eller om aftrykket er skilt fra dets indehaver. Og når dit fingeraftryk først er blevet stjålet, kan du ikke skaffe dig et nyt, understreger Sara Laszlo, der er professor ved Binghamton University:

»Det vil være kompromitteret for evigt.«

I fremtiden skal den biometriske identifikation derfor hentes dybere inde i kroppen, hvis sikkerheden skal opretholdes, og sammen med et hold af internationale forskere arbejder Sara Laszlo med en sådan type biometri – der ikke kan stjæles, aflures eller hugges af: identifikation via hjernebølger.

I en forskningsartikel fra tidligere på året erklærer holdet, at de med 94 procents sikkerhed kan identificere testpersoner baseret på, hvad der foregår i deres hjerner – og da Ingeniøren taler med Sara Laszlo over en Skype-forbindelse fra New York, havde de seneste forsøg øget teknikkens præcision til 100 procent.

»Vi har dokumenteret, at vi kan lave præcis biometrisk identifikation ud fra hjernebølger,« fastslår hun.

Kræver liv

Hjernen reagerer unikt på indtryk – smag, ord, ansigter – fra person til person. Hvis man aflæser tilstrækkeligt mange af disse elektriske reaktioner i hjernen, kan man sammensætte et mønster: En profil af tankernes adfærd, som kan bruges til at genkende personen gang på gang. Og som ikke kan kopieres.

»Du kan ikke få din hjerne skåret ud,« lyder den maleriske beskrivelse fra Blair Armstrong, der arbejder på projektet sammen med Sara Laszlo.

I hvert fald vil hjernen ikke efterfølgende kunne bruges til at producere de signaler, der identificerer en person – hvilket giver hjernebølger en fordel over andre sikkerhedsteknikker som fingeraftryk og iris-scanninger, mener Sara Laszlo:

»Med denne biometri, skal personen være i live.«

Til banken gennem hjertet

Men hjernen er ikke det eneste organ, der kan bekræfte din identitet, så længe du er i live.

I marts i år udførte den engelske bank Halifax et forsøg blandt en række kunder. Testpersonerne fik målt deres hjerterytme på en computer, hvorefter mønstret blev gemt på et særligt armbånd, der er opfundet af det canadiske firma Nymi. Hver gang brugeren ønsker at logge på sin mobile netbank, gør armbåndet tre ting: måler bærerens hjerterytme med sensorer i båndet, sammenligner målingen med det kendte mønster og fortæller via Bluetooth telefonen, om armbåndets bærer virkelig er den, han påstår at være.

Nymi-båndet kan aflæse hjerterytmen, når man rører sensoren med begge arme. Illustration: Nymi

Teknikken udnytter, at forskningsprojekt efter forskningsprojekt har vist, at hjerteslagets rytme er unik fra person til person. Organets størrelse, form og placering skaber sammen med andre fysiske forhold det velkendte PQRST-­diagram, hvis bølgetoppe og dale kan aflæses med en EKG-scanning.

Svær at forfalske – nem at kopiere

Halifax afprøver teknologien for at afgøre, om den indre biometri kan give ny sikkerhed til bankforretninger.

»Du kan forfalske en persons fingeraftryk, men du kan ikke forfalske en persons hjerteslag,« lød det fra bankens talsperson i forbindelse med lanceringen.

Og det er netop risikoen for forfalskning, der truer sikkerhedsniveauet i identifikationsteknikker som fingre, øjne og gangart. Selv den måske ultimative biologiske identifikationsmetode – dna-analyse – er usikker, når vi konstant efterlader et spor af spyt, hår og hudflager, hvor end vi bevæger os hen. Det betyder i sidste ende, at ikke alle biometrier er velegnede til sikkerhed, siger Jens Fagertun, der er postdoc ved DTU og forsker i biometri med speciale i ansigtsgenkendelse.

»De fleste biometrier er svære at forfalske, men nemme at kopiere. Selvom vi har unikke nøgler, så er det ikke sådan, at de ikke kan aflures,« fortæller han og tilføjer:

»Jo sværere biometrien er at få adgang til, desto sværere er den at kopiere.«

Fingeraftryk fra billeder

Et eksempel på omgåelse af biometrisk identifikation – såkaldt spoofing – fandt sted blot 24 timer efter, at Apple havde lanceret sin første telefon med ‘TouchID’ – en funktion, der lader brugeren låse telefonen op ved at scanne sin finger. Mens koden på fingerspidsen er statistisk mere sikker end den gængse firecifrede adgangskode, så har metoden den ulempe, at vi evindeligt efterlader fingeraftryk på vores telefon.

Efter et døgn med iPhone 5 viste sikkerhedseksperten Jan Krissler, der i hackerkredse kendes under navnet Starbug, at man ved at scanne en telefons overflade kan lave en kopi af brugerens fingeraftryk i trælim – og derefter bruge denne kopi til at låse telefonen op med. Samme Starbug beviste i december, at man ikke behøver fysisk adgang til en person for at finde og kopiere et fingeraftryk. Ud fra en håndfuld højopløsningsbilleder af den tyske forsvarsminister Ursula von der Leyen – inklusive et officielt pressefoto – lykkedes det tyskeren at genskabe den tyske toppolitikers fingeraftryk.

Det er historier som disse, der får sikkerhedseksperter til at understrege, at en unik biometri ikke er det samme som en hemmelig biometri. Starbug har i den tyske avis Zeit fastslået, at han selv ikke er i tvivl:

»Jeg betragter mit kodeord som mere sikkert end mit fingeraftryk. Mit kodeord er i mit hoved, og hvis jeg er forsigtig, når jeg indtaster det, så forbliver jeg den eneste, som kender det.«

Trussel ændrer hjernemønstret

For Sara Laszlo og hendes kolleger har det også været essentielt at forsøge at udvikle en ‘kode’, der er placeret inde i brugerens hoved – men som samtidig ikke kan glemmes eller gives videre.

Det kræver sensorer placeret præcise steder på hovedbunden og i alt 20 minutter at måle de hjerne­bølger, forskerne er ude efter. Derfor er metoden heller ikke en velegnet sikkerhedsfeature til en almindelig telefon. Forskerholdet har derimod et samarbejde med det amerikanske luftvåben og mener, at teknikken kan være velegnet til højsikkerhedsområder, hvor kun en lille gruppe mennesker må kunne komme ind – og hvor det er livsnødvendigt, at uvedkommende ikke kan tiltvinge sig adgang.

»Personen må ikke være truet, for det vil ændre hjernemønstret,« forklarer Sara Laszlo og tilføjer, at almindeligt arbejdspres eller stress ikke vil ødelægge identifikationen.

»Der er forskel på akut og kronisk stress. Et vigtigt arbejde med betydningsfulde beslutninger giver en anden type stress end den, man oplever, hvis nogen peger en pistol mod ens hoved.«

Betal med hjerterytmen

Hvis det mod alle odds skulle lykkes en biometri-tyv at spoofe hjerne­bølgerne, har metoden endnu en fordel over finger- og øjenscanninger, mener den amerikanske forsker: Du kan optage et nyt hjerne-aftryk.

»Hvis dit første mønster målte din reaktion på ord, så kan den næste blive lavet med ansigter eller mad,« fortæller Sara Laszlo og tilføjer, at målingen under alle omstændigheder skal opdateres med jævne mellemrum, fordi hjernen er plastisk og vil ændre sig over tid.

»Det er alligevel en normal regel, at man skal forny sit kodeord med et halvt års mellemrum,« siger hun.

Og selv hvis man ikke har sin daglige gang på højsikrede militæranlæg, kan identifikation via indre biometri godt gå hen at blive en hverdagsoplevelse. Det er i hvert fald målet for den gruppe forskere fra University of Toronto, hvis forskning i 2011 kulminerede med opfindelsen af det Nymi-armbånd, der som nævnt lige nu afprøves af Halifax.

Tidligere har Nymi lavet forsøg med Canadas Royal Bank og MasterCard, hvor brugere kunne betale med armbåndet. Men bank- og betalingsmulighederne er ifølge Toronto-selskabet kun begyndelsen.

På et dedikeret forum for udvikling af Nymi-projekter diskuterer udviklere, hvordan en farmaceut-virksomhed, hvor gummihandsker gør fingeraftryk ulæselige, kan bruge Nymi-identificering, og hvordan en udvikling af armbåndet lader det fungere som en Bitcoin-pung.

Forskerholdet forestiller sig en verden, hvor hjerterytmen via Nymi-­armbåndet kan låse huset op, starte bilen og fungere som et pas i lufthavnen – alt sammen autentificeret af din unikke hjertebanken.

sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først

Mennesket er jo helt tydeligt perverst, og syntes ikke at kunne se hvad der er galt i disse technologier. At vi rent filosofisk ikke er i stand til at forklare os selv, at dette er en helt forkert vej at gå. Jeg er bange for vores intelligens er voldsomt på retur, jeg finder ikke mange der taler dette vanvid imod.

  • 2
  • 3

Jeg vil betakke mig for at leve i et samfund der baserer sig paa en tankegang som det der beskrives i artiklen. Mennesker er ikke robotter, og det er kun politistater og i det hele taget politiske magthavere der har interesse i dette. Det er skraemmende, og at der er saa mange der koeber den med sikkerhedsfaren viser jo bare med al oenskvaerdig tydelighed hvor farlig denne teknologi og tankegang er. Mennesker skal haandteres af mennesker, og ikke af teknologi og kan man ikke forstaa det saa er jeg bange for at selv ikke de vaerste utopia fantasier er daekkende for hvilket mareridstsamfund vi er paa vej til at etablere. Det er paa tide, at saette en stopper for alle disse kontrolteknologier, og isaer at saette en stopper for politikerenes mulighed for at lovgive og tage den slags ibrug overfor befolkningen. Det er paa tide med en grundlovsaendring der kraever at al indsamling, opbevaring og brug af persondata og indfoerelse af kontrolteknologier som fx beskrevet i artiklen skal vaere forbudt, og at enhver instans af saadan noget skal godkendes personlig af de individuelle medborgere. Dette inkl. ioevrig den perverterede brug af personnummer nu om dage - for ca 20 aar siden var det naermest tabu at skulle vaere noedt til at oplyse sine 4 sidste cifre fx. Nu er folk blevet hjernevaskede til at tro at alt andet stort set vil vaere umulig og vil foere til stor stor fare for dem selv og samfundet. Jeg er ved at vaere mere end traet af denne gradvise politistatskonvertering der er igang, baade i Danmark og i mange andre vestlige demokratier (og den betegnelse kommer ikke til at vare lange endnu hvis trenden fortsaetter som den goer).

  • 1
  • 0

.. Gætter på, at det virkelige svage led ligger i datasikkerheden..!

Intet system er mere sikker end de data, som man i systemet skal sammenligne med.

..og med tanke på moderne virus og hacking, tror jeg, at det vil blive den mest anvendte rute til omgåelse, af et sikkerheds system..!

De andre måder ser bare bedre ud på film..)

  • 0
  • 0

..mildt sagt!

Der er en verden til forskel på om: Du er pålagt, at kunne identificere dig overfor øvrigheden. eller: Øvrigheden gives mulighed for at tagge dig, med henblik på genkendelse.

Sidstnævnte reducerer dig til et objekt, og fratager dig almindeligt menneskeligt ansvar.

Det ville være let, at skabe et samfund uden (mulighed for at begå) kriminalitet. Men det ville utvivlsomt være et umenskeligt samfund befolket af robotagtige eksistenser.

Frihed hører uløseligt sammen med ansvar. Mennesker skal ikke afstå fra at begå kriminalitet udfra en overvejelse om det kan lade sig gøre eller ej. Mennesker skal afstå fra at begå forbrydelser udfra moralske og etiske overvejelser. Så, altså: Frihed må nødvendigvis inkludere friheden til til at begå forbrydelser - dog forhåbentlig kun sjældent uden konsekvens.

  • 1
  • 0
Bidrag med din viden – log ind og deltag i debatten