O Fernando Cima da Microsoft postou em seu blog no Technet um post cujo título é "Biometria Não é a Solução"

O post é compatível com aquelo que podemos esperar do Fernando Cima, um grande profissional de segurança da informação com enorme bagagem e por quem eu nutro grande respeito profissional. Dito isso, eu gostaria de fazer alguns cometários sobre o post do amigo Cima.

Biometria não é a solução? Talvez não, talvez sim porém discordo de algumas observações do post. Vou focar em fingerprint que ainda é o sistema mais maduro dentro os sistemas de identificação biométrica. Dentre as apostas para o futuro eu aposto no reconhecimento de face que nos últimos anos amadureceu muito.

O primeiro ponto sobre o qual gostaria de comentar é a afirmação de que "um procedimento de leitura malicioso poderia injetar informação biométrica falsa e se autenticar indevidamente."

Compreendo que isso seria uma espécie de replay attack. Esse problema existe, especialmente com uma série de leitores biométricos de baixo custo que se comportam basicamente como scanners sem maior inteligência. Não é novidade. Em 2002 uma revista alemã publicou um artigo analizando uma série de leitores diferentes e toca nesse assunto. O artigo da revista já está está meio desatualizado mas é leitura interessante.

Porém é preciso lembrar que existem leitores biométricos desenhados com foco nisso, entretanto, esses leitores possuem um preço significativamente mais alto.

A essência para combater esse tipo de problema é executar o algoritmo biométrico apenas no leitor, evitando transferir a imagem da digital para o PC. Pode se obter um nível mais alto de confiabilidade se o leitor e PC foram capazes de se autenticar mutuamente. Nesse tipo de operação, o leitor funciona quase como um token. Ao invés de transferir imagens ele responde ao pedido de autenticação com uma característica randômica da digital e essa informação é verificada pelo sistema autenticador.

Considerando-se isso, o mistério seria garantir que o serviço remoto no qual você esteja se autenticando não seja enganado. Novamente entra a capacidade do leitor. O princípio é o mesmo mas você passa a precisar de um "plugin" que repasse os pedidos de autenticação entre o leitor e o servidor de autenticação. Se é passível de falha? Acho que sim, mas qualquer outro sistema será. Estamos trabalhando com custo benefício, e a biometria me parece ainda mais confiável para autenticação do que uma senha.

Por sinal, ainda sobre a questão da qualidade dos leitores, na BlackHat Européia de 2006 ocorreu a apresentação sobre como quebrar o leitor de fingerprint da Microsoft.

Como a própria palestra informa, a MSFT avisa que o fingerprint dela não deve ser visto como uma ferramenta de proteção e sim uma ferramenta de comodidade. Medida honesta que ao meu ver merece aplausos. Tendo experiência no mercado brasileiro de biometria, posso dizer que há diversos fabricantes que vendem leitores de baixíssima qualidade como se fossem última tecnologia e todos sabemos que convencer que coelho não é lebre não é sempre fácil.

Discordo também quando Cima afirma que "as leitoras biométricas existentes não tem um bom índice de precisão". Trata-se de uma afirmação muito forte, especialmente quando você pára para considerar uma coisa sobre o estudo britânico. Considerando-se que o Passaporte é destinado à todo cidadão britânico, idosos, que muitas vezes não fazem parte dos quadros corporativos brasileiros precisam fazer parte do universo de teste. A digital do indivíduo idoso é uma das digitais mais complicadas de ser lida, porém poucas empresas empregam indivíduos acima da idade de aposentadoria.

Outro fato importante é que a qualidade da leitura irá varia com a tecnologia da leitora escolhida e da resistência do algoritmo à sujeiras na leitura, etc. A diferença entre um algoritimo e outro costuma ser brutal. Mesmo coisas "básicas" como o posicionamento do dedo podem afetar. Certos leitores conseguem um resultado correto mesmo com a digital de cabeça para baixo, outros não.

Entra a questão do se seria aceitável. Bom, eu retruco o Fernando com uma pergunta. Quantas pessoas digitam sua senha incorretamente durante a interação com um sistema informatizado? Eu mesmo vivo errando minha senha. Acho que estou ficando senil. :-) A Crossover Error Rate é extremamente importante em qualquer processo envolvendo filas, como identificação civil, caixa eletrônico, fila de imigração, etc, fora desses ambientes o que é mais preocupante é a autenticar o indivíduo errado. :-)

Quanto ao MythBusters, vi, achei interessante o vídeo mas achei uma pena que o vídeo não informa quem são os fabricantes dos produtos. Fica no ar aquela coisa de quem garante que os produtos não foram escolhidos justamente por serem vulneráveis? Em condições adequadas de temperatura e pressão um BMW se comportará da mesma forma que um BR800 da Gurgel.