Britse bank gaat klanten door aderpatroon in vingers identificeren

De Britse bank Barclays gaat biometrische lezers die de unieke aderlijnen in vingers analyseren aan klanten verstrekken. De authenticatiemethode moet de kans op betalingsfraude bij internetbankieren verkleinen.

Barclays heeft het nieuws op zijn site aangekondigd. De maatregel moet de veiligheid van online bankieren vergroten. Daarnaast noemt de bank het systeem gebruikersvriendelijk. Binnen enkele seconden zou de klant toegang tot het eigen bankaccount krijgen, zonder een wachtwoord of pincode in te hoeven vullen.

Een vinger naar keuze moet eenmalig bij Barclays worden geregistreerd. De klant hoeft vervolgens slechts de gekozen vinger op de biometrische lezer te plaatsen om zijn of haar identiteit te bevestigen. Een infraroodscanner analyseert de aderlijnen en vergelijkt deze met de al geregistreerde gegevens. Als de bestanden overeenkomen, wordt er toegang verleend.

Het is een vereiste dat er bloed door de vingeraderen stroomt. Het is daardoor niet mogelijk om namens een al overleden persoon in te loggen of te betalen, of met een afgehakte vinger. Barclays levert in eerste instantie ongeveer 30.000 biometrische lezers aan professionele klanten. Als de proef slaagt, kan het systeem worden uitgebreid naar particulieren.

Polen startte enkele maanden geleden al aan een soortgelijke proef. In Japan is het systeem ook al langer in gebruik. Betaalvereniging Nederland kon vrijdagmiddag nog geen reactie geven over mogelijke plannen in Nederland.

Reacties (62)

[Obiter dictum]

De grootste kracht én zwakte van biometrische data is dat het onveranderlijk is. Na Barclays komt Hotmail, dan Gmail. Vervolgens Amazon en Youtube. Je krijgt generieke scanners die voor al deze diensten ingezet kunnen worden, en een plugin voor WordPress zodat ongeveer elke host het kan gebruiken. En dan lekt er ergens een database met vingerafdrukken, onversleuteld. *Boem*; het hele systeem kan de prullenbak in, en we gaan over op de iris, tot ook daar dezelfde route wordt gevolgd.

Geef mij maar "gewoon" een systeem met Multi-factor authentication. Lekker veranderlijk, voor als er eens iets op straat komt te liggen .

[ebia]

Volgens mij snap jij niet hoe het werkt.

Als je je identificeert (op welke manier dan ook), moet je zeg maar een sleutel hebben een slot. Bij een identificatie met je vinger (de sleutel) op een smartphone, dan is je smartphone het slot. De gegevens over jouw vingerafdruk, en of deze wel of niet toegang geeft op de telefoon, blijven dus lokaal op de telefoon.

Echter in de bovengenoemde toepassing (bank, andere internetdiensten, whatever), moet deze biometrische data ergens anders dan op een eigen apparaat worden opgeslagen. De bank moet dus weten hoe mijn vingerafdruk eruit ziet, anders kan ze niet bepalen of ik ook echt ik ben. De bank is dus het slot.

Maar als straks iedereen hetzelfde slot gebruikt, hoef je maar één keer je sleutel te verliezen (je vingerafdruk) om alle sloten te kraken. Immers kun je niet zomaar je vingerafdruk wijzigen (zoals je bij een wachtwoord wel kan). Daarom is biometrische authenticatie gewoon een slecht idee.

[Reactie gewijzigd door ebia op 24 juli 2024 00:15]

[Dorank]

De bank moet dus weten hoe mijn vingerafdruk eruit ziet, anders kan ze niet bepalen of ik ook echt ik ben. De bank is dus het slot.

Nee, de bank moet het resultaat (een of andere hash) van het algorithme hebben waarmee je vingerafdruk overeenkomt van dit type reader. Dit kan veilig:
-je gaat naar de bank
-je gebruikt dit apparaat om de hash te genereren
-de hash wordt gekoppeld aan jouw login

Echter je moet er maar op vertrouwen dat de bank niet het daadwerkelijk image van je vingerafdruk bewaard. Net zoals je erop moet vertrouwen dat de gemeente/rijksoverheid je vingerafdrukken niet in een centrale database opslaat of lekt naar de inlichtingendiensten en dat na uitgifte van het paspoort alleen het resultaat (de hash) op het paspoort staat.

Als het goed is is het enige wat de reader kan lekken de hash en dat is niet iets wat je geheim hoeft te houden, zie het als een public key van een smartcard. Als iemand mijn public key wil toevoegen zodat ik overal kan inloggen vind ik prima. Je moet altijd nog als vanouds de bestemming controlere waar je je hash naar toe stuurt, maw skimming/MitM is nog altijd mogelijk met dit systeem.

[ebia]

Hashing voegt in dit scenario weinig toe. Ja, inderdaad kent de bank dan niet het origineel maar alleen het resultaat van de hash. Punt is dat het resultaat van een hash op een (zelfde) vingerafdruk dus ook altijd hetzelfde is. Als je de vingerafdruk kan vervalsen/compromitteren, gaat de bank het dus nooit doorhebben dat het niet de echte vinger betreft (hash of niet). De enige extra controle die er is, is te kijken of er daadwerkelijk bloed stroomt door een vinger, maar in de loop van de tijd worden al dat soort technieken ook gekraakt (hetzij hardwarematig, het zij softwarematig). De vingerafdruk, met bijbehorende hash, is dus wel degelijk iets wat je ten alle tijden geheim wilt houden, omdat het vatbaar is voor een replay-attack.

Je vergelijking met een public key (asymmetrische crypto) gaat dan ook helemaal niet op. Daar heb je immers een prive sleutel en een publieke sleutel. Met een publieke sleutel kun je niks zonder de privé sleutel (en als je het goed doet ook nog eens een wachtwoord). Een vingerafdruk (of andere biometrie) hebben die eigenschap helemaal niet.

Je kunt biometrie prima toepassen voor een eerste identificatie (in plaats van een username bijvoorbeeld), maar de daadwerkelijke authenticatie (wachtwoord, smartcard, public key, OTP token, whatever) moet je niet via biometrie doen. Dat is gewoon domme implementatie van crypto.

[MenN]

Nee hij heeft gelijk. Bijv Touch ID blijft de data op de telefoon en 'unlocked' de telefoon vervolgens de data die naar de dienst gestuurd wordt.

Wat de bank hier doet is het tegenovergestelde. Hierbij moet je dus de biometrische gegevens naar de bank sturen om DAAR te kijken of jij bent wie je beweert te zijn.

Deze 2e optie is vele malen gevaarlijker omdat er dus op minimala 2 plekken kans op een hack is. Ook als er gehashed is. Zo'n database is een tikkende tijdbom, want zodra er een lek in het hashing algoritme gevonden is dan zijn de rapen gaar.

[Jasper Janssen]

nee, je snapt niet hoe dit werkt. Wat jij zegt is het geval bij de TouchID van Apple. Niet bij andere biometrische gebruiken van vingerafdsrukken en expliciet niet bij dit ding van Barclays. Er staat specifiek dat er wordt vergeleken met een bekende scan die bij barclay's ligt, dat is iets heel anders dan openmaken van een device. voor deze toepassing *kan* de scan niet eens op het device gehouden worden, want het device heeft geen kopie van de known good data.

Dit systeem is inherent kwetsbaar voor een replay attack.

[Dorank]

Dit systeem is inherent kwetsbaar voor een replay attack.

Dat hoeft niet, een hmac achtige hash met een tijds afhankelijke sleutel lost de replay op (zie totp). Maar dat moet dan wel goed in de reader zijn geimplementeerd.

[bebu]

Klopt niet.

De scan van uw vinger wordt opgeslagen op een SIM kaart die in het toestel steek, Barclays zelf slaat geen biometrische informatie op.

[fezoj]

Lijkt heel makkelijk en veilig. Maar of het nou écht, zoals aangegeven wordt, veiliger is.... Overleden mensen kunnen deze authenticatiemethode dus niet doen. Maar volgens mij kunnen overleden klanten helemaal niets doen, dus bijv. ook geen pincode noemen.

Onder bedreiging zou je qua pincode nog wel een verkeerde kunnen opgeven. Een verkeerde vinger opgeven is lastiger....

[Terracotta]

Biometrische informatie is per definitie een slecht authenticatiesysteem. Je kan de sleutel namelijk niet veranderen als ze gecompromitteerd is (van vinger veranderen is ook een beperkte optie, of ga je met tenen beginnen nadien...).

[Verwijderd]

Biometrische informatie is per definitie een slecht authenticatiesysteem.

Biometrische authenticatie die te kraken (vingerafdruk etc) is is een slecht authenticatiesysteem. Een onkraakbare biometrische authenticatie is ideaal.

Waarom zou je je aderen in je vinger willen veranderen als dit een niet na te maken indentificatie systeem is?

[Verwijderd]

Mijn eerste idee na 20 seconden:

1) Maak een infra-rood foto van iemands vinger. Bv door het slachtoffer z'n vinger in jouw apparaat te laten steken. Dit is eigenlijk gewoon skimmen.

2) Neem een materiaal dat weinig warmte opneemt/vasthoud/loslaat. Maar daar een cilinder van, iets dat op een vinger lijkt.

3) Neem een materiaal dat makkelijk (een hoop) warmt opneemt. En lange tijd op ongeveer dezelfde temperatuur weer afgeeft.

4) Meng dat materiaal met plastic dat in een 3D-printer gaar. Meng het in zo'n hoeveelheid dat het gedurende 10-30 seconden warmte op 35C--40C uitstraalt.

5) Gebruik je 3D-printer om met dat warme plastic het patroon van een vinger op de "koude" cylinder/vinger te drukken.

6) Ga naar een betaal automaat met je nieuwe speledingetje. Stop je speledingetje in een emmer met heet water. Of warm het op een andere manier op. Steek je warme speledingetje in de vinger-lezer.

Gaat dit werken ? Ik denk het wel. Is het makkelijk ? Misschien niet. Maar het zal allicht makkelijker worden. 3D-printers worden steeds goedkoper. En infro-rood cameras waren duur, maar worden snel goedkoper. Ik zag dat je een "voorzet-infrarood camera" kunt kopen voor je iPhone. 25 Jaar geleden werd de pinpas geintroduceerd. Toen was het moeilijk om zelf een fake-pinpas te maken. Niemand had de apparatuur. Nu is het een fluitje van een cent.

Ik heb niet zo veel vertrouwen in bio-metrische authenticatie.

[David Mulder]

Veel makkelijker, dit is voor internet bankieren, zodra iemand dit apparaat heeft gereverse engineered is een extra hoge kwaliteit infra rood foto genoeg. Enige manier hoe dit veilig zou kunnen zijn is als er en individuele chip die gekoppeld aan je account is zou inzitten, en laat ik dat nou betwijfelen...

[SJBijzitter]

Natuurlijk is het na te maken. De bank vergelijkt de input met een bekende waarde; wanneer een (blackhat) hacker dus de input vervalst (door bijvoorbeeld eerder de input te onderscheppen om later te gebruiken) kan de hacker zo naar binnen.

[Xanaroth]

Wie heeft het over namaken? Zijn opmerking is over gecompromitteerd in het algemeen.

Dat kan dus ook een virus zijn op het systeem die de scan doorstuurt voor gebruik door kwaadwillenden. Of bijvoorbeeld via het elders aanraken van iemands hand onder het mom van 'oef, ik viel bijna zeg' (na een dagje genoeg mensen afgaan zitten er vast een paar nuttige tussen, zakkenrollen 2.0?).
Op het moment dat er een vorm van informatieoverdracht nodig is, is het altijd mogelijk deze te achterhalen en misbruiken. Dat zal altijd een rat race blijven.

Het is weliswaar een zeer nuttig systeem als je geen login/wachtwoord meer hoeft te onthouden en dat haalt de beveiliging enorm omhoog (geen briefjes meer, of informatie van andere sites kunnen hergebruiken) . Maar als alleenstaande beveiliging zal ik het nooit vertrouwen. Als login is het prima, maar om daadwerkelijk iets te doen moet er toch minimaal een 2-steps authenticatie zijn.


Idealiter heb je een login via biometrisch (niks gegevens onthouden meer, en dus te stelen vanuit minder beveiligde sites - kughforumskugh), waarbij ook je IP wordt gemonitord (hmm, login uit china, laten we dat maar even bevestigen vooraf aan de toegang) en bij een daadwerkelijke actie er een 2e authenticatie nodig is via een alternatieve bron (sms/authenticator).

Dan heeft iemand 3 stuks gegevens van je nodig EN moet in staat zijn alle 3 aan dezelfde persoon te koppelen, op volledig verschillende soorten info, waardoor je zeer persoon specifieke aanvallen moet uitvoeren om het te kraken.

[Reactie gewijzigd door Xanaroth op 24 juli 2024 00:15]

[Zenomyscus]

Een onkraakbare biometrische authenticatie is ideaal.

Uiteraard, onkraakbaar is ideaal. Maar zie daar het probleem ontstaan: niets is onkraakbaar Misschien nu niet, maar over aantal jaar misschien wel.

[vinkjb]

Goed lezen....

om namens een al overleden persoon in te loggen

gr. John

[HMC]

Overleden mensen kunnen deze authenticatiemethode dus niet doen. Maar volgens mij kunnen overleden klanten helemaal niets doen, dus bijv. ook geen pincode noemen.

LOL Echt een lolbroek jij.

Zeker onder bedreiging zouden overledenen wel iets verkeerds kunnen overhandigen.

[Verwijderd]

In een aantal landen is dit systeem reeds doorgevoerd en nu dus Engeland. Gaan nu de tot dusver gebruikte flappentappen uit deze landen verdwijnen. En wat als een Nederlander in èèn van deze landen wil pinnen?? Bij ons is het immers nog lang niet ingevoerd!

[jeroen79]

Je hebt 10 vingers. Dan kun je één vinger als noodvinger opgeven.
Als je die in het apparaat steekt dan wordt je account geblokkeerd.
Dan kun je er ook met je normale vinger niet meer in totdat je het weer laat deblokkeren.

[Kalief]

Het is lastig van een gegijzelde persoon de wachtwoorden en codes te ontfutselen, maar het vastpakken van een vinder en de scanner er op duwen lijkt me geen probleem.

[Blokker_1999]

Ja, want ik ga voor die paar honderd euro o een rekeing echt mijn pincode niet afgeven ... . Leven komt nog altijd voor het materiële

[Verwijderd]

Je vergeet hoeveel lef sommige mensen achter een toetsenbord hebben..

[Icekiller2k6]

Ik vermoed dat als je een mes op je keel hebt dat je wel gewoon je pin afgeeft.
Dit is gewoon een beveiliging tegen skimming..

[DelinQ]

Als je al de moeite neemt om iemand te ontvoeren, met die reden, lijkt mij het een kleine stap om onorthodoxe methoden te schuwen om wachtwoorden en codes te verkrijgen.

[Verwijderd]

klinkt eigenlijk wel goed... niet betalen met je telefoon en of bankpassen. Maar je hand of vinger op de scanner en klaar is kees.

[ebia]

Inderdaad. Totdat het fout gaat. Een gekraakt wachtwoord kun je makkelijk veranderen, maar biometrische gegevens verander je niet zomaar (of helemaal niet).

[kritischelezer]

Tuurlijk is dit te veranderen, men kan kiezen om aan dit account een andere vorm van identificatie te koppelen.

[ebia]

Als biometrie verplicht wordt gesteld (door in dit geval de bank), dan heb je geen keuze meer.

[William_H]

Nieuwe industrie.
[foute Tell Sell reclamestem]
"Is uw biometrische gegevens óók gesloten. Geen probleem. Bestel nu uw nieuwe vingers. Makkelijk en simpel besteld voor € 499 en ú bent weer verzekerd van een ijzersterke beveiliging. Want u wilt toch óók uw persoonlijke bezittingen goed beveiligen?!"
[/foute Tell Sell reclamestem]

[Reactie gewijzigd door William_H op 24 juli 2024 00:15]

[Keffa18]

Hoezo, je hebt 10 vingers, als er een gekraakt is ga je naar de volgende, zijn je vingers op begin je toch gewoon met je tenen

[mvdejong]

En, als knutselaar en sporter heb ik nog wel eens dat mijn vingers wat "veranderen" door ongelukjes. Toch lastig dan.

[fezoj]

citaat: Een infraroodscanner analyseert de aderlijnen en vergelijkt deze met de al geregistreerde "gegevens."

Last zal wel meevallen want het is sowieso lastig knutselenals je aders aan het veranderen zijn in je vingers.... vanwege het knutselen

[mvdejong]

Niet de aderen zelf, maar wel alle littekens.

[Soei]

Wat nog beter zou zijn is als je onder dwang staat je de 'verkeerde' vinger gebruikt, de software zou dit dan herkennen, het apparaatje zou vervolgens de gps coördinaten doorgeven aan de politie die dan 'TOOO THE RESKJOEEEE' kunnen brullen terwijl ze je deur intrappen.
Even zonder alle gekheid, het gebruiken van een verkeerde vinger zou een beveiligingseffect tot gevolg kunnen hebben. Is best interessante technologie moet ik zeggen.

[Phlikz]

Qua gebruiksvriendelijkheid lijkt het me een verbetering t.o.v. de raboreader die ik nu heb. Ook zal de online beveiliging prima zijn, er is namelijk een fysieke handeling nodig van de gebruiker die volgens mij door een kwaadwillende niet te kopieren is.

Wel is het met dit systeem volgens mij zo dat je iemand vrij eenvoudig kunt dwingen toegang te geven tot zijn betaalgegevens. Je hoeft van die persoon alleen maar een vinger op dat ding te leggen. Bij de huidige beveiligingen heb je te maken met codes die je in moet voeren. Natuurlijk kan je dan ook gedwongen met fysiek geweld om die te geven, maar toch. Wellicht kunnen ze in de toekomst met die vingerscanner ook een abnormaal stressniveau detecteren en dan toegang weigeren of een extra code vragen? Wellicht vannacht teveel bondfilms gekeken..

[MenN]

Qua direct gebruiken gemak is het misschien handiger dan de random reader. Maar waar de random reader een lekker klein dingetje is wat je makkelijk meeneemt is die vinger afdruk lezer toch al een behoorlijke unit. Die sleep je niet ff mee in je jaszak.

Dat je met de randomreader een paar extra handelingen moet doen neem ik graag voor lief. Biometrische beveiliging is een tikkende tijdbom.

[josvane]

Ja maar als het mes op je keel staat lijkt het direct blokkeren mij ook niet handig. Misschien een idee om bij het gebruik van de verkeerde vinger in te loggen op een fictieve omgeving

[KarmaniaK]

Mijn ader doet dit:

https://www.youtube.com/watch?v=k-Agtn0eijM

Bestaat iets soortgelijks niet toevallig ook in de vingers? :-P

[Moob]

Even het biometrische verhaal achterwegend laten. Je krijgt dus een apart device welke je gebruikt om te authenticeren. De kans is groot dat dit hooguit op Windows of Mac zal werken, en laat ik dat nou net niet gebruiken. Moet ik daar dan weer een ander apparaat voor aanschaffen, pff

En wat dan met mobiel bankieren, je telefoon aansluiten op de vingerlezer ?