Månedsarkiv: februar 2010

feb 27 2010

Fokus på adfærdsmæssig biometri

ENISA udsender jævnligt notater til politiske og andre beslutningstagere om emner, der anses for at udgøre nye security trusler.

ENISA har netop udgivet et notat, der har til formål at introducere muligheder, begrænsninger så vel som de væsentligste uenigheder mellem eksperter om adfærdsmæssig biometri.

Notatet fremhæver nogle hovedpunkter om adfærdsmæssig biometri:

Adfærdsmæssig biometri er et værktøj, som kan øge sikkerheden for autentifikation og for anvendelsen af IDS (intrusion detection systems), i nogle tilfælde med meget lille indvirkning på brugeren.

De er af størst nytte i multimodale systemer (de systemer, der anvender mere end én type af biometri på samme tid) som et supplement til mere robuste metoder, især fordi de fleste typer af adfærdsmæssig biometri er meget følsomme i funktion. F.eks. er tastetryks mønster afhængig af tastaturhardware, øjeblink frekvens afhænger af belysning osv.

Nogle typer af adfærdsmæssig biometri kræver specialiseret og til tider meget påtrængende udstyr, der kan være for generende for brugeren.

Andre typer af adfærdsmæssig biometri tilbyder på den anden side en gennemgående diskret teknik til at identificere og klassificere individer. Sådanne diskrete teknikker kan imidlertid være en udfordring for så vidt angår at indhente brugerens samtykke, som loven ofte kræver i mange tilfælde.

Dataindsamling ved hjælp af adfærdsmæssig biometri kan anvendes til sekundære formål, der kan omfatte behandling af meget følsomme oplysninger, som kan udledes af de indsamlede data.

Adfærdsmæssig biometri er sårbar over for flere typer spoofing angreb specifik for teknikken.

Adfærdsmæssig biometri defineres i notatet som en teknologi til at identificere en person ved de unikke egenskaber af de aktiviteter, som personen udfører enten bevidst eller ubevidst. Notatet nævner nogle nye og interessante typer som f.eks.:

Øjeblinks mønster: tidsintervallet mellem øjeblink, hvor længe øjet holdes lukket ved hvert blink, de fysiske karakteristika et øje undergår, når det blinker.

ECG: egenskaber ved elektromagnetiske signaler frembragt af det menneskets hjerte.

EEG: egenskaber ved elektromagnetiske signaler frembragt af menneskets hjerne.

Spil strategi: en statistisk model af spillerens strategi i forskellige spil, herunder rollespil online. Kan bruges til at afsløre svindlere og er af stigende betydning ved store multiplayerspil med rigtige penge. Dette er stadig vigtigere i massivt mutiplayer spil om rigtige penge.

En teksts stil: mange sproglige egenskaber kan profileres, som eksempelvis: leksikalske mønstre, syntaks, semantik, pragmatik, informationsindholdet eller emnets distribution via en tekst.

En række teknikker er begrænset til specifikke brugersituationer, eksempelvis bilisters køremåde (med henblik på at identificere bilister), trykmønster for håndgreb (autentificering til håndholdt udstyr, herunder våben) og kreditkorts brugsmønstre (afsløring af kreditkortsvindel).

Notatet fremhæver såkaldte kontroversielle emner og åbne spørgsmål om adfærdsmæssig biometri.

Nogle af teknikkerne kan udlede meget følsomme oplysninger, således i forbindelse med analyse af EEG mønstre, der udover identifikation kan ekstrahere information om en persons tankevirksomhed ud fra optegnelser over hjerneaktiviteten (funktionel magnetisk resonanstomografi). Eller ganganalyse, som kan afsløre depression eller Parkinsons sygdom. Andre teknikker har imidlertid ikke denne sammenhæng mellem den biometriske analyse og følsomme data eksempelvis tastetryk mønster. Selve brugersituationen kan også få betydning, idet personfølsomme data kan holdes privat i forhold til autentifikation af en hjemmecomputer i modsætning til virksomhedens webapplikationer.

Derudover findes der allerede tekniske løsninger, der kan begrænse eksponering af data fra adfærdsmæssige biometriske profiler, forudsat at der er tillid til den dataansvarlige (f.eks. kryptografisk hashing af profiler). Der er tale om et forskningsområde som er i sin vorden, men som utvivlsomt vil vokse i de kommende år.

Andre biometriske karakteristika som f.eks. ganganalyse og tastetryk mønster er meget lidt påtrængende for den enkelte, men rejser derfor på den anden side spørgsmål om samtykke, eftersom identifikation kan finde sted uden den pågældendes viden.

Et andet aspekt af særlig interesse er fejlraterne. Mange adfærdsmæssige biometriske teknikker har fejlprocenter, som er for høje til at gøre dem egnede til isoleret brug som autentificeringsteknologi. Det rejser spørgsmålet om at kombinere en autentificeringsteknik med en anden, f.eks. tastetryk og fingeraftryk.

De fleste teknikker til adfærdsmæssig biometri er følsomme i forbindelse med gennemførelsen. Således er gangart ved hjælp af videoanalyse følsom overfor de konkrete belysningsforhold, ligesom tastetryk analyse er afhængig af tastaturharware. Igen anbefales multimodale systemer for at gøre metoden mere robust.

Spoofing-angreb er et væsentligt tema i forbindelse med biometri og tages op i notatet. Der angives 3 typer: ved tvang af ægte bruger, replay af “ægte” biometri samt efterligning af ægte brugers biometri.Der er et vist sammenfald af spoofing-metoder overfor både fysiologisk som adfærdsmæssig biometri, men med nogle domænespecifikke forskelle. Eksempelvis er replay-angreb ofte forekommende ved stemmeefterligning. Med henblik på at forebygge computerstyrede spoofing-angreb, forskes der intenst på at udvikle computerstyrede metoder til automatisk at differentiere menneskelige og computerstyrede egenskaber (CAPTCHAs) samt kryptering af profiler og templates.

Notatet afsluttes med at fremhæve 5 områder for fremtidige trends og forskning i adfærdsmæssig biometri, nemlig standardisering, multimodal biometri, privacy enhancing technologies, ingen påtrængenhed samt nøjagtighed.

Kommentar

Notatet giver et hurtigt overblik over biometri baseret på adfærdsmæssige menneskelige egenskaber, som først i de senere år er blevet gjort til genstand for øget forskning og udvikling. Det skyldes først og fremmest en ide om at udvikle biometriske teknologier, som er endnu sværere at kompromittere. Men som det fremgår af notatet er der en lang række omstændigheder man bør tage i betragtning, ikke mindst med hensyn til privacy, for at designe en sikker, men også i lige så høj grad en etisk forsvarlig løsning. Af særlig interesse er imidlertid de lovende resultater af multimodal biometri, hvor en teknologi baseret på en fysiologisk egenskab kombineret med en adfærdsmæssig egenskab væsentligt forbedrer matching-resultatet og dermed løsningens sikkerhed og troværdighed. Jfr. f.eks. følgende rapport Performance Analysis of Multimodal Biometric System Authentication.

Download ENISA-notatet her. For yderligere information henvises til videncenter om biometriske udfordringer og multimodal biometri.

feb 20 2010

Visionen om et dansk borgerservicekort lever men handling efterlyses!

Der er god grund til at være tilfreds med, at videnskabsminister Helge Sander for nogle dage siden har udsendt en pressemeddelelse hvor et af de langsigtede initiativer i arbejdsprogrammet frem til 2020 er, at “danskerne skal tilbydes et biometrisk borgerkort af høj kvalitet og sikkerhed – forhåbentlig fra 2015.”

Visionen kommer sågar ind på en 3. plads næstefter at sikre den digitale signatur, NemID for alle danskere fra 1. januar 2011 og at det danske universitet i Beijing bygges, således at de første studerende og forskere kan tage det i brug i 2013.

Ministeren fremhæver, at vi allerede nu skal forberede os på tiden efter krisen og at ” ….vi skal være klar til at udnytte fremtidens muligheder.”

Det er en rigtig indstilling at have til et sådant stort projekt, som rummer mange fordele for både borger som samfund og som i øvrigt vil være i smuk harmoni med regeringens digitaliseringsstrategi om at IT skal spare det offentlige for milliarder. Der henvises derudover til Strategi for digitalisering af den offentlige sektor 2007-2010.

Allerede i 2008 anbefalede Danish Biometrics nedsættelsen af et visionsråd for projektets interessenter med det formål at fastsætte krav og processer (strategiplanlægning, fælles terminologi, målrettet projektstyring, arbejdsgange, metoder mv.) for et biometrisk borgerservicekort. Derudover har Danish Biometrics ved flere lejligheder anbefalet at et borgerservicekort og hele infrastrukturen skal beskyttes i henhold til “privacy by design”-principper, herunder designes med biometrisk kryptering. I den forbindelse er det værd at fremhæve, at EU Kommissionen selv har klassificeret biometri som en privacy enhancing technology, som det fremgår af den nyligt offentliggjorte endelige rapport af ESRIF.

Interessen og setuppet er der. Vi mangler blot startskuddet til at gå i gang og jo før jo bedre. Kalenderblade vendes hurtigt, når det drejer sig om store IT-projekter og  al erfaring fortæller os derfor, at det er vigtigt at der afsættes den nødvendige tid og de nødvendige ressourcer til indførelsen af et borgerservicekort. Et sådant samfundsmæssigt projekt bør gennemføres på baggrund af en kvalificeret offentlig debat og en grundig forberedelse af de teknologiske og organisatoriske muligheder med implementering af små trinvise pilotforsøg og frem for alt med en kvalitetssikring og brugerevaluering som topprioritet.

Er der forresten grund til at mene, at Danmark for alvor er faldet bagud i udviklingen ? Lad os se hvorledes det forholder sig i de andre europæiske lande med hensyn til et borgerservicekort.

IDABC har i oktober 2009 udgivet en statusrapport om eID interoperabilitet i forbindelse med europæiske eGovernment Services med det formål at indsamle information om eID praksis og udvikling i EU og tilknyttede lande. For god orden skyld bemærkes, at der i referatet fra udvalgte dele af rapporten ikke benyttes en stringent terminologi, idet e-ID, identitetskort, borgerkort eller borgerservicekort anvendes i flæng. Den sidste betegnelse foretrækkes af Danish Biometrics for at understrege kortets funktion og formål og ikke mindst at der er forskel på at sikre identitet og autenticitet (verifikation).

Af rapporten fremgår det, at ud af 32 lande udsteder 27 identitetskort (84%), heraf er 6 eID-kort udstedt af et privat certificeringscenter i henhold til aftale med en offentlig myndighed (Østrig, Island, Liechtenstein, Luxembourg, Holland og Sverige).

Ud af disse 27:

udsteder 3 et papirbaseret ID-kort og har ingen specifikke planer om nationale eID-kort: Bulgarien, Grækenland og Nederlandene. En avanceret plan for et eID-kort (det såkaldte eNIK) blev rapporteret i Nederlandene i den forrige udgave af nærværende rapport, men den er i øjeblikket taget op til fornyet overvejelse til fordel for et mere omfattende samarbejde med private certificeringsudbydere.

13 udsteder et papirbaseret ID-kort, men har mere eller mindre konkrete planer om et eID-kort i den nærmeste fremtid: Kroatien, Cypern, Tjekkiet, Frankrig, Tyskland, Ungarn, Letland, Malta, Polen, Rumænien, Slovakiet, Slovenien og Tyrkiet.

13 udsteder eID-kort. Herunder falder imidlertid den førnævnte gruppe på seks hvor et eID-kort er udstedt af et privat certificeringscenter i henhold til aftale med en offentlig myndighed (Østrig, Island, Liechtenstein, Luxembourg, Holland og Sverige), og i de syv andre udstedes eID kort udstedes af en offentlig myndighed (Belgien, Estland, Finland, Italien, Litauen, Portugal og Spanien).

Der er således 5 lande, der i øjeblikket ikke udsteder identitetskort: Danmark, Irland, Letland, Norge og Storbritannien. Der er dog planer om at udstede eID-kort i en eller anden form i alle disse lande undtagen Danmark. I Storbritannien og Letland, vil regeringen sandsynligvis udstede eID kort, mens det i Norge og Irland vil blive overladt til den private sektor at udstede et chipkort i henhold til en statslig bemyndigelse.

Det fremgår af rapporten, at Danmark traditionelt sikrer autencitet på en kombination af sygesikringsbeviset og kørekortet eller pas og bankkort. I elektronisk sammenhæng udføres autentificeringsfunktionen af OCES signaturløsningen, der i rapporten karakteriseres som en blød certifikatløsning. Rapporten noterer, at mens OCES vil blive opgraderet i fremtiden er brug af smart cards for tiden ikke planlagt.

Endvidere hedder det i rapporten, at det således er klart, at ID-kort er en dominerende identifikationsløsning i de lande rapporten har undersøgt ved at være i brug i 84% af landene, med kun Danmark som det land, hvor det ikke diskuteres at introducere et borgerskort i en hvilken som helst form i overskuelig fremtid. Det står klart, at selv om det bestemt ikke bliver altomfattende, vil eID-kort blive mere udbredt i de kommende år.

Når man ser på brugen af biometri i forbindelse med borgerkort, nævner rapporten at 5 lande ud af 32 rent faktisk anvender biometri (Italien, Litauen, Nederlandene, Portugal og Spanien), i alle tilfælde baseret på fingeraftryksoplysninger (i hashet form for så vidt angår det italienske borgerkort). Som det fremgår af 2007-udgaven af denne rapporten, så har Litauen og Nederlandene endnu ikke gemt fingeraftryk i deres eID kort, hvilket i begge tilfælde hænger sammen med en opgradering af deres respektive identitetskort.

Fire andre lande planlægger at introducere biometri (Frankrig, Estland, Tyrkiet og Storbritannien) igen baseret på fingeraftryk. Af disse har kun Frankrig erfaring med indsamling af fingeraftryk i forbindelse med udstedelse af identitetskort. Tre lande (Tyskland, Polen og Rumænien) har overvejelser om brug af biometri i fremtidige teknologier, især i forbindelse med de pågældende landes planlægning af eID, men der foreligger endnu ikke nogen detaljer herom.

Et flertal af de undersøgte lande (20 af 32 lande eller 63%) har endnu ikke eventuelle planer for biometri, og brugen af biometriske data er ikke blevet indberettet af noget land som en autentifikationsmetode til specifikke eGovernment-applikationer (bortset fra e-passet).

Rapporten slår fast, at selvom der synes at være en stigende støtte for biometri, så er teknologien endnu ikke særlig udbredt i forbindelse med borgerkort. Status kan siges at afspejle den aktuelle forskel i de europæiske lande til den teknologiske parathed og de socio-kulturelle holdninger til biometri.

Det er dog prisværdigt at den danske videnskabsminister har meldt ud, at skal vi i Danmark have et borgerkort, så skal det være med biometri. Men Danish Biometrics anbefaler, at sætte handling bag de smukke intentioner nu !

For yderligere information vedrørende borgerservicekortet henvises til videncenter.

feb 11 2010

Afslut med fingeren

Af: Andreas Dohn, Journaliststuderende ved Syddansk Universitet 

Fingeraftryk i centrale databaser er en cocktail, der før har mødt modstand fra borgere og privacy-fortalere. Men når bloddonorerne på Odense Universitetshospital skriver under med fingeren, skal de ikke frygte for datasikkerheden, siger blodbankens ledende overlæge.

De ruller frivilligt ærmet op og lader nålen trænge gennem huden. Sådan har det altid været. Men fremover vil donorerne på Odense Universitetshospital (OUH) også blive tvunget til at afgive et fingeraftryk, når de besøger blodbanken. 
Odense Universitetshospital har som det første sted i landet indført elektroniske spørgeskemaer, som donorerne skal underskrive med pegefingeren, før de giver blod:
”Fordelen ved fingeraftryk er, at vi kan identificere donoren fra gang til gang og vide, at det er den rigtige donor, vi har fat i,” siger Jørgen Georgsen, ledende overlæge i blodbanken på Odense Universitetshospital.

Kun en kode
Det har tidligere skabt debat, når diskoteker og lufthavne indfører fingeraftryk eller irisskanning som adgangskontrol. Men Jørgen Georgsen mener ikke, at donorerne skal frygte for deres datasikkerhed, når de sætter pegefingeren på blodbankens scanner.
Fingeraflæseren danner en unik kode ud fra nogle bestemte punkter i fingeraftrykket. Og det er dén kode, som blodbanken gemmer i sin database sammen med donorens personnummer. Ikke et billede af selve fingeraftrykket, forklarer han:
”Det fingeraftryk, vi tager, er ikke sammenligneligt med det, politiet arbejder med, så det vil ikke kunne bruges i politiets efterforskning.” 
Når donoren møder til næste tapning og indtaster sit personnummer, vil systemet automatisk hente den gemte kode og sammenligne den med donorens ’nye’ fingeraftryk.
 ”Det er ikke sådan, at aflæseren går ned i en stor database og leder alle vores 13.000 donorer igennem og kigger på deres fingeraftryk,” siger Jørgen Georgsen:
”Den sammenligner bare Bjarnes nuværende fingeraftryk med det fra tidligere. Og hvis de ikke passer sammen, så er det ikke Bjarne, der er her nu. Mere kan den ikke sige. Den kan ikke sige, at det er Peter, der er her i stedet for eller sådan noget.”

”Smartcard en bedre løsning”
Frederik Kortbæk er netværkskoordinator i Dansk Privacy Netværk, der har forskere med interesse for overvågning og privatlivsbeskyttelse på medlemslisten. Han roser først og fremmest blodbanken for at tage fingeraftrykket i brug:
”Formålet er at sikre, at blod tilhører en bestemt person og kun denne person. Der er tale om en sikkerhed, som både er i brugerens og blodbankens interesse.”
Frederik Kortbæk er dog generelt betænkelig over for fingeraftryk i centrale databaser, og han mener, at blodbankens system kunne gøres endnu mere sikkert:
”Den mest optimale privacyløsning ville være at gemme det digitaliserede fingeraftryk i krypteret form på et smartcard i stedet for i en central database,” forklarer Frederik Kortbæk.
Et smartcard er et lille plastikkort, der indeholder oplysninger om kortholderens fingeraftryk, og det har samtidig en scanner indbygget. Når en person forsøger at bruge kortet, sammenlignes hans fingeraftryk med det, der ligger gemt.
Frederik Kortbæk mener, at donoren på den måde vil være bedre sikret mod misbrug, fordi fingeraftrykket ikke er gemt andre steder end på selve kortet.
”Det er den løsning, som de europæiske datatilsyn generelt anbefaler,” siger han.

Mange flere oplysninger i blodprøven
Jørgen Georgsen mener dog ikke, at et smartcard er den bedste løsning for blodbanken. Dels er kortene alt for dyre, og dels kan donoren ikke blive tappet, hvis han glemmer kortet derhjemme:
”Det, synes vi, er dårlig service over for donorerne, hvis de er kommet helt her ud,” siger han og påpeger, at blodbanken i forvejen ligger inde med en masse personfølsomme oplysninger om donorerne – i modsætning til diskoteker og motionscentre.
”Der er mange flere oplysninger i den blodprøve, man giver, end i fingeraftrykket. Og der er rigtig mange donorer, vi har gemt DNA på. Det er faktisk en større risiko, som folk ikke tænker så meget på,” forklarer Jørgen Georgsen.

Uden om Datatilsynet
Det er Datatilsynet, som fører tilsyn med persondataloven og vejleder myndigheder og virksomheder om behandling af personoplysninger. Chefkonsulent Jakob Lundsager oplyser, at blodbanken ikke har rettet henvendelse til Datatilsynet, før fingeraftrukket blev indført. Og derfor har tilsynet ikke beskæftiget sig med det specifikke system. 
Men Jakob Lundsager skønner, at blodbankens normale omgang med personfølsomme oplysninger kan være et argument for, at det også er forsvarligt at indføre fingeraftryk som identifikation.

Lever op til loven
I blodbanken føler man sig godt dækket ind. Jørgen Georgsen understreger, at systemet lever op til de gældende regler.
”Vi oplyser donorerne om alt det, vi gemmer, første gang de er her,” siger han og forklarer, at det altid kræver donorernes tilladelse, hvis blodbanken skal give oplysninger videre.
Derfor kan donorerne roligt give det elektroniske spørgeskema fingeren.