Eksperci twierdzą, że uwierzytelnianie użytkowników za pomocą rozpoznawania twarzy nigdy nie jest dobrym pomysłem

Używanie rozpoznawania twarzy do weryfikacji tożsamości osoby, zgodnie z IRS wycofał plan, nigdy nie było właściwym podejściem, twierdzą eksperci ds. bezpieczeństwa i prywatności.

Ruch IRS narysował ceglarze od obrońców prywatności od momentu ogłoszenia. 7 lutego 2022 r. kilku prawodawców dołączył do chóru, wzywając IRS do cofnięcia decyzji, co dział zrobił wkrótce potem, obiecując zamiast tego zbadanie innych opcji.

„IRS poważnie traktuje prywatność i bezpieczeństwo podatników i rozumiemy zgłoszone obawy” – zauważył komisarz IRS Chuck Rettig, odwołując decyzję. „Każdy powinien czuć się komfortowo ze sposobem zabezpieczenia swoich danych osobowych, a my szybko realizujemy opcje krótkoterminowe, które nie obejmują rozpoznawania twarzy”.

Zapisywanie twarzy

Agencja planowała wykorzystać technologię uwierzytelniania od ID.me i poprosiła użytkowników o przesyłanie firmie selfie wideo w celu uzyskania dostępu do ich kont online.

Jay Paz, Starszy Dyrektor Dostawy w Kobalt, powiedział Lifewire w wiadomości e-mail, że chociaż biometria stała się częścią naszego codziennego życia, dzięki smartfonom i inteligentnym urządzeniom, jej użycie do uwierzytelniania jest dobrowolne.

„W przypadku bardziej wrażliwych systemów i danych, takich jak to, do czego IRS ma dostęp, niezbędna jest przejrzystość technologii i procesów, które będą chronić dane użytkowników” – zauważył Paz.

Tim Erlin, wiceprezes ds. strategii w Tripwire, zgodził się i poinformował Lifewire w wiadomości e-mail, że chociaż technologia rozpoznawania twarzy generalnie polaryzuje, dla wielu pomysł powierzenia zarządzania takimi danymi osobowymi stronie trzeciej jest nie do przyjęcia.

„Gdyby Stany Zjednoczone miały solidne prawo dotyczące prywatności, które chroniłoby dane biometryczne osób, byłaby to inna sytuacja. Jednak bez jakiejkolwiek ochrony danych obywateli amerykańskich przyjęcie tej technologii na taką skalę byłoby nadużyciem w zakresie prywatności ” Lecio DePaula Jr., Wiceprezes ds. Ochrony Danych w KnowBe4, powiedział Lifewire przez e-mail.

Do tego dochodzi fakt, że nie wszyscy ludzie mają dostęp do możliwości uwierzytelniania biometrycznego, coś Paweł Laudański, kierownik ds. analizy zagrożeń w Tesjan, wskazał Lifewire przez e-mail. Uzasadniał, że może to wynikać z kilku czynników, takich jak brak dostępu do niezawodnych usług internetowych lub urządzeń z kompatybilnymi kamerami i czujnikami.

Realne alternatywy

DePaula Jr. uważa, że ​​plan IRS był jedną z tych sytuacji, w których cele nie uzasadniają środków.

„Portal może być równie bezpieczny dzięki wykorzystaniu silnych wymagań dotyczących haseł, a także uwierzytelniania dwuskładnikowego dla użytkowników końcowych, co jest znacznie tańszym, mniej inwazyjnym i bezstronnym sposobem zabezpieczenia portalu bez konieczności korzystania z pomocy osób trzecich” zrecenzowano.

Paz opowiada się również za takimi dodatkowymi metodami weryfikacji tożsamości, w szczególności za korzystaniem z aplikacji z jednorazowymi hasłami, takich jak Google Authenticator. Alternatywnie zasugerował, że IRS może również spróbować użyć zweryfikowanych numerów telefonów, aby wysłać SMS-a z kodem do użytkowników, co jest prawdopodobnie najszerzej dostępnym rozwiązaniem dostępnym praktycznie dla wszystkich użytkowników ze wszystkich wieczność.

Zanim jednak skupi się na rozwiązaniu, Darren Cooper, dyrektor ds. technicznych w Wyjście, wyjaśnione Lifewire w wiadomości e-mail, IRS będzie musiał zapewnić, że wybrany przez siebie mechanizm może chronić dane podatników bez powodowania problemów z dostępnością.

Zasugerował, że jeśli departament chce postawić na wyższy poziom bezpieczeństwa, może użyć fizycznych środków uwierzytelniania osobistego, takich jak brelok bezpieczeństwa RSA. Ta metoda jest jednak skomplikowana logistycznie. Uwierzytelnianie SMS-em jest potencjalnie mniej skomplikowaną opcją, ale Cooper dodał, że zadziała tylko wtedy, gdy wydział ma znany numer telefonu komórkowego dla wszystkich.

„IRS powinien również rozważyć wymóg wcześniejszej interakcji z użytkownikiem w celu potwierdzenia jego tożsamości, zanim będzie mógł uzyskać dostęp do usługi. Na przykład mogą wymagać od podatników wprowadzenia unikalnych danych identyfikacyjnych, takich jak numery ubezpieczenia społecznego lub paszportu, które mogą zostać sprawdzone przez IRS wewnętrznie przed wydaniem loginu online. Koszty logistyczne są tutaj większe, ale zapewniają wyższy poziom bezpieczeństwa – zasugerował Cooper.

Chociaż IRS nie wymienił alternatyw, które bada, wyraźnie nie brakuje opcji.

Nawet gdy wspólnie okrzyknęli urząd skarbowy za cofnięcie jego decyzji, eksperci ds. bezpieczeństwa zwracają uwagę na innych członków rządu, większość zwłaszcza Departament ds. Weteranów nadal korzysta z tej samej podstawowej usługi rozpoznawania twarzy do weryfikacji tożsamości cele.

Jest to coś, czego DePaula Jr. doskonale zdaje sobie sprawę i ma nadzieję, że IRS „zacznie iść we właściwym kierunku, ponieważ gdy jedna agencja rządowa przyjmie standard, inne zaczną podążać za nim”.