Удостоверяването на потребители с лицево разпознаване никога не е добра идея, казват експерти

Използване на лицево разпознаване за проверка на самоличността на дадено лице, съгласно IRS вече припомни плана, никога не е бил правилният подход, твърдят експерти по сигурността и поверителността.

Ходът на IRS нарисува тухла от защитниците на поверителността от момента на обявяването му. На 7 февруари 2022 г. няколко депутати се присъедини към припева, призовавайки IRS да отмени решението си, което отдел направи скоро след това, обещавайки вместо това да проучи други възможности.

„IRS се отнася сериозно към поверителността и сигурността на данъкоплатците и разбираме повдигнатите опасения“, отбеляза комисарят на IRS Чък Ретиг, докато оттегля решението. „Всеки трябва да се чувства комфортно с това как е защитена личната му информация и ние бързо търсим краткосрочни опции, които не включват лицево разпознаване.“

Запазване на лицето

Агенцията планира да използва технологията за удостоверяване от ID.me и помоли потребителите да изпращат видео селфита на компанията, за да имат достъп до своите онлайн акаунти.

Джей Пас, старши директор на доставките в кобалт, каза пред Lifewire по имейл, че макар биометричните данни да са станали част от ежедневието ни, благодарение на смартфоните и интелигентните устройства, използването им за удостоверяване е било доброволно.

„За по-чувствителни системи и данни, като тези, до които IRS има достъп, е жизненоважно да има прозрачност в технологиите и процесите, които ще защитават данните на потребителите“, посочи Пас.

Тим Ерлин, вицепрезидент по стратегия в Tripwire, се съгласи и каза на Lifewire чрез имейл, че макар технологията за разпознаване на лица като цяло да се поляризира, за мнозина идеята да се доверят на трета страна за управление на такива лични данни е неприемлива.

„Ако Съединените щати имаха стабилен закон за поверителност, който защитаваше биометричната информация на лицата, това би било различна ситуация. Въпреки това, без никаква защита за данните на американските граждани, приемането на тази технология в този мащаб би било злоупотреба с поверителността“, Лесио ДеПаула младши, вицепрезидент по защита на данните при KnowBe4, каза пред Lifewire по имейл.

След това има факта, че не всички хора имат достъп до възможности за биометрично удостоверяване, нещо Пол Лаудански, ръководител на разузнаването на заплахите в Тесиан, посочи пред Lifewire по имейл. Той смята, че това може да се дължи на няколко фактора, като липса на достъп до надеждни интернет услуги или устройства със съвместими камери и сензори.

Жизнеспособни алтернативи

ДеПаула-младши вярва, че планът на IRS е една от онези ситуации, при които целта не оправдава средствата.

„Порталът може да бъде също толкова сигурен, като използва силни изисквания за парола, както и двуфакторно удостоверяване за крайните потребители, което е много по-евтин, по-малко натрапчив и безпристрастен начин за защита на портала, без да е необходимо да се използва трета страна“, той мнение.

Paz също подкрепя такива вторични методи за проверка на самоличността, особено използването на базирани на време приложения за еднократна парола, като Google Authenticator. Като алтернатива той предложи, че IRS може също да опита да използва проверени телефонни номера, за да изпрати SMS код потребители, което е може би най-широко достъпното решение, достъпно за почти всички потребители възрасти.

Преди обаче да се насочи към решение, Дарън Купър, технически директор в Изход, обясниха на Lifewire по имейл, IRS ще трябва да гарантира, че избраният от него механизъм може да защити данните на данъкоплатците, без да въвежда проблеми с достъпността.

Той предложи, че ако отделът иска да даде приоритет на по-високо ниво на сигурност, те биха могли да използват физически средства за лична автентификация, като RSA ключодържател за сигурност. Този метод обаче е логистично сложен. SMS удостоверяването е потенциално по-малко сложна опция, но Купър добави, че ще работи само ако отделът има известен мобилен номер за всички.

„IRS трябва също да разгледа изискване за предварително взаимодействие с потребителя, за да потвърди самоличността му, преди да може да получи достъп до услугата. Например, те биха могли да изискват от данъкоплатците да въвеждат уникални данни за идентификация, като номера на социално осигуряване или паспорт, които могат да бъдат проверени вътрешно от IRS, преди да бъде издадено онлайн влизане. Логистичните разходи тук са по-големи, но гарантират, че може да се постигне по-високо ниво на сигурност“, предложи Купър.

Въпреки че IRS не е изброила алтернативите, които проучва, ясно е, че няма недостиг на опции.

Дори когато заедно приветстваха IRS за отмяна на решението си, експертите по сигурността посочват други в правителството, повечето по-специално Министерството по въпросите на ветераните, все още използват същата основна услуга за разпознаване на лица за проверка на самоличността цели.

Това е нещо, което ДеПаула-младши е добре наясно и се надява IRS „да започне да върви в правилната посока, защото след като една правителствена агенция приеме стандарт, други започват да следват“.