Gebruikers authenticeren met gezichtsherkenning is nooit een goed idee, zeggen experts

Gezichtsherkenning gebruiken om de identiteit van een persoon te verifiëren, volgens de Het nu teruggeroepen plan van de IRS, was nooit de juiste aanpak, beweren experts op het gebied van beveiliging en privacy.

De zet van de belastingdienst tekende brickbats van privacyvoorvechters vanaf het moment dat het werd aangekondigd. Op 7 februari 2022, verschillende wetgevers voegde zich bij het koor en drong er bij de IRS op aan zijn beslissing terug te draaien, wat de afdeling deed kort daarna, met de belofte om in plaats daarvan andere opties te verkennen.

"De IRS neemt de privacy en veiligheid van de belastingbetaler serieus, en we begrijpen de zorgen die zijn geuit", merkte IRS-commissaris Chuck Rettig op toen hij de beslissing herriep. "Iedereen moet zich op zijn gemak voelen met hoe hun persoonlijke informatie wordt beveiligd, en we streven snel naar kortetermijnopties zonder gezichtsherkenning."

Gezicht redden

Het bureau was van plan authenticatietechnologie van ID.me te gebruiken en had gebruikers gevraagd video-selfies in te dienen bij het bedrijf om toegang te krijgen tot hun online accounts.

Jay Pazo, Senior Director of Delivery bij Kobalt, vertelde Lifewire via e-mail dat hoewel biometrie een onderdeel van ons dagelijks leven is geworden, dankzij smartphones en slimme apparaten, het gebruik ervan voor authenticatie vrijwillig was.

"Voor gevoeligere systemen en gegevens, zoals waar de IRS toegang toe heeft, is het van vitaal belang om transparantie te hebben in de technologie en processen die de gegevens van gebruikers beschermen", benadrukt Paz.

Tim Erlin, VP Strategie bij struikeldraad, stemde ermee in en vertelde Lifewire via e-mail dat hoewel gezichtsherkenningstechnologie in het algemeen polariseert, voor velen het idee om een ​​derde partij te vertrouwen voor het beheer van dergelijke persoonlijke gegevens onaanvaardbaar is.

"Als de Verenigde Staten een robuuste privacywet hadden die de biometrische informatie van individuen beschermde, zou dat een andere situatie zijn. Zonder enige bescherming van de gegevens van Amerikaanse burgers zou het toepassen van deze technologie op deze schaal echter een schending van de privacy zijn." Lecio DePaula Jr., VP Gegevensbescherming bij KnowBe4, vertelde Lifewire via e-mail.

Dan is er het feit dat niet alle mensen toegang hebben tot biometrische authenticatiemogelijkheden, zoiets Paul Laudanski, Hoofd Bedreigingsinformatie bij Tessian, wees Lifewire via e-mail op. Hij redeneerde dat dit te wijten kan zijn aan verschillende factoren, zoals een gebrek aan toegang tot betrouwbare internetdiensten of apparaten met compatibele camera's en sensoren.

Levensvatbare alternatieven

DePaula Jr. is van mening dat het plan van de IRS een van die situaties was waarin het doel de middelen niet heiligt.

"De portal kan net zo veilig zijn door gebruik te maken van sterke wachtwoordvereisten en tweefactorauthenticatie voor de eindgebruikers, wat een veel goedkopere, minder opdringerige en onbevooroordeelde manier is om het portaal te beveiligen zonder tussenkomst van een derde partij", zegt hij. meende.

Paz is ook voorstander van dergelijke secundaire identiteitsverificatiemethoden, met name het gebruik van op tijd gebaseerde eenmalige wachtwoord-apps zoals Google Authenticator. Als alternatief stelde hij voor dat de IRS ook geverifieerde telefoonnummers kan gebruiken om een ​​sms-code te sms'en naar: gebruikers, wat misschien wel de meest toegankelijke oplossing is die beschikbaar is voor vrijwel alle gebruikers leeftijden.

Voordat het echter inzoomt op een oplossing, Darren Cooper, CTO bij uitgang, verklaarde aan Lifewire via e-mail dat de IRS ervoor moet zorgen dat het door haar geselecteerde mechanisme de gegevens van belastingbetalers kan beschermen zonder toegankelijkheidsproblemen te veroorzaken.

Hij suggereerde dat als de afdeling prioriteit wil geven aan een hoger beveiligingsniveau, ze fysieke middelen voor persoonlijke authenticatie zouden kunnen gebruiken, zoals een RSA-sleutelhanger. Deze methode is echter logistiek complex. Sms-authenticatie is mogelijk een minder complexe optie, maar Cooper voegde eraan toe dat het alleen werkt als de afdeling voor iedereen een bekend mobiel nummer heeft.

"De IRS zou ook een vereiste moeten overwegen voor voorafgaande interactie met de gebruiker om hun identiteit te bevestigen voordat ze toegang krijgen tot de service. Ze kunnen bijvoorbeeld eisen dat belastingbetalers unieke ID-gegevens invoeren, zoals burgerservicenummers of paspoortnummers, die intern door de IRS kunnen worden gecontroleerd voordat een online login wordt uitgegeven. De logistieke overhead is hier groter, maar zorgt ervoor dat een hoger beveiligingsniveau kan worden bereikt", stelt Cooper voor.

Hoewel de IRS de alternatieven die het onderzoekt niet heeft vermeld, is er duidelijk geen gebrek aan opties.

Zelfs terwijl ze de IRS collectief prezen omdat ze haar beslissing terugdraaiden, wijzen beveiligingsexperts op anderen in de regering, de meeste met name het Department of Veterans Affairs, gebruiken nog steeds dezelfde onderliggende gezichtsherkenningsservice voor identiteitsverificatie doeleinden.

Dit is iets waar DePaula Jr. zich terdege van bewust is en hoopt dat de IRS "in de goede richting begint te gaan, want zodra een overheidsinstantie een norm aanneemt, beginnen anderen te volgen."