Å autentisere brukere med ansiktsgjenkjenning er aldri en god idé, sier eksperter

Bruk av ansiktsgjenkjenning for å bekrefte en persons identitet, i henhold til IRS sin nå tilbakekalte plan, var aldri den riktige tilnærmingen, hevder sikkerhets- og personverneksperter.

Skattemyndighetenes trekk trakk brickbats fra personvernforkjempere fra det øyeblikket det ble kunngjort. 7. februar 2022, flere lovgivere sluttet seg til koret som oppfordret skattemyndighetene til å omgjøre sin avgjørelse, som avdelingen gjorde kort tid etter, og lover i stedet å utforske andre alternativer.

"IRS tar skattebetalers personvern og sikkerhet på alvor, og vi forstår bekymringene som har blitt reist," bemerket IRS-kommissær Chuck Rettig da han trakk tilbake avgjørelsen. "Alle skal føle seg komfortable med hvordan deres personlige opplysninger er sikret, og vi forfølger raskt kortsiktige alternativer som ikke involverer ansiktsgjenkjenning."

Redder ansikt

Byrået planla å bruke autentiseringsteknologi fra ID.me og hadde bedt brukere sende inn videoselfier til selskapet for å få tilgang til nettkontoene deres.

Jay Paz, Senior Director of Delivery kl Kobolt, fortalte Lifewire over e-post at selv om biometri har blitt en del av vårt daglige liv, takket være smarttelefoner og smartenheter, har bruken av den for autentisering vært frivillig.

"For mer sensitive systemer og data, som det skattemyndighetene har tilgang til, er det viktig å ha åpenhet i teknologien og prosessene som vil beskytte brukernes data," påpekte Paz.

Tim Erlin, VP of Strategy at Tripwire, samtykket og fortalte Lifewire via e-post at selv om teknologi for ansiktsgjenkjenning polariserer generelt, er ideen om å stole på en tredjepart for å administrere slike personopplysninger uakseptabel for mange.

"Hvis USA hadde en robust personvernlov som beskyttet den biometriske informasjonen til enkeltpersoner, ville det vært en annen situasjon. Men uten noen beskyttelse for dataene til amerikanske borgere, ville det å ta i bruk denne teknologien i denne skalaen være personvernforstyrrelser,» Lecio DePaula Jr., VP of Data Protection at KnowBe4, fortalte Lifewire over e-post.

Så er det det faktum at ikke alle mennesker har tilgang til biometriske autentiseringsmuligheter, noe Paul Laudanski, leder for trusselsetterretning kl Tessian, påpekt til Lifewire over e-post. Han begrunnet dette kan skyldes flere faktorer, for eksempel mangel på tilgang til pålitelige internetttjenester eller enheter med kompatible kameraer og sensorer.

Levedyktige alternativer

DePaula Jr. mener at skattemyndighetenes plan var en av de situasjonene der målene ikke rettferdiggjør midlene.

"Portalen kan være like sikker ved å utnytte sterke passordkrav samt tofaktorautentisering for sluttbrukerne, som er en mye rimeligere, mindre påtrengende og objektiv måte å sikre portalen uten å måtte utnytte en tredjepart,» mente.

Paz er for slike sekundære identitetsbekreftelsesmetoder også, spesielt bruken av tidsbaserte engangspassordapper som Google Authenticator. Alternativt foreslo han at skattemyndighetene også kan prøve å bruke bekreftede telefonnumre til å sende en SMS-kode til brukere, som kanskje er den mest tilgjengelige løsningen som er tilgjengelig for praktisk talt alle brukere av alle aldre.

Men før den nuller på en løsning, Darren Cooper, CTO kl Utgang, forklart til Lifewire via e-post, vil skattemyndighetene måtte sørge for at mekanismen den velger kan beskytte skattebetalers data uten å introdusere tilgjengelighetsproblemer.

Han foreslo at hvis avdelingen ønsker å prioritere et høyere sikkerhetsnivå, kan de bruke fysiske midler for personlig autentisering som en RSA-sikkerhetsnøkkel. Denne metoden er imidlertid logistisk kompleks. SMS-autentisering er et potensielt mindre komplekst alternativ, men Cooper la til at det bare vil fungere hvis avdelingen har et kjent mobilnummer for alle.

"IRS bør også vurdere et krav om tidligere interaksjon med brukeren for å bekrefte identiteten deres før de kan få tilgang til tjenesten. For eksempel kan de kreve at skattebetalere oppgir unike ID-detaljer, som personnummer eller passnummer, som kan kontrolleres av IRS internt før en online pålogging utstedes. De logistiske overheadene her er større, men sikrer at et høyere sikkerhetsnivå kan oppnås," foreslo Cooper.

Selv om skattemyndighetene ikke har listet opp alternativene de utforsker, er det tydeligvis ingen mangel på alternativer.

Selv om de kollektivt hyllet skattemyndighetene for å omgjøre beslutningen, påpeker sikkerhetseksperter andre i regjeringen, de fleste spesielt Department of Veterans Affairs, bruker fortsatt den samme underliggende ansiktsgjenkjenningstjenesten for identitetsverifisering formål.

Dette er noe DePaula Jr. er godt klar over og håper skattemyndighetene "begynner å gå i riktig retning, for når ett offentlig byrå vedtar en standard, begynner andre å følge."