Биометрия-3. Проектируемый тупик в адресном пространстве

Привет, ходячие идентификаторы! Сегодня вы (в Дефолт-сити) всё равно никуда не поедете по колено в снегу, так что и биометрию с вас не снимут очередные 146 раз.

Китаец русскому:

— А у вас сколько население?

— Примерно 150 миллионов.

— Опа! Так вы же там все друг друга в лицо знаете!

Шутки шутками, но, например, в Питере действительно все друг друга знают. Но это так, к слову.

Теперь знают и Собянин, и Мишустин, и Греф. И даже Евтушенков.

Зарегистрирована ваша упрощённая биометрия от МТС

Прилетело тут с утра в четверг письмо от Госуслуг.

Что это за хрень? Кем, зачем, когда «зарегистрирована»? С какой стати?

Зашёл на Госуслуги. Теперь там двухфакторная авторизация, опять же стимулируют для неё сдать биометрию. Я просто теперь получаю СМС с кодом. Вижу вот такое:

Я не давал МТСу никакой «упрощённой биометрии». Как они её с меня сняли, и почему оно на Госуслугах? Неясно. Вероятно, МТС теперь обязан сдавать её в ЕБС, вот оно и появилось на Госуслугах.

Но эту конкретную «биометрию» можно прямо там удалить:

Удалил. Посмотрел, что они там на Госуслугах пишут про необычайные возможности биометрии, про инновационность и удобство:

Что позволяет:

Получать услуги, для которых требуется подтверждение личности по паспорту, например банковские
Оформить усиленную квалифицированную электронную подпись
Безопасно входить на Госуслуги
Оплачивать товары и услуги на сумму до 5 000 ₽
Дистанционно заключать договоры на оказание услуг связи
Дистанционно оформить карту болельщика
Дистанционно сдать промежуточную и итоговую аттестации в вузах
Оплачивать проезд в транспорте
Проходить на территорию государственных органов и организаций

Легко заметить, что в этом перечне невероятных новых возможностей, без которых жизнь, в общем-то, трудна и вообще-то невозможна, нет ничего про возможность отказа от сдачи биометрии.

А она есть — просто о ней нигде не сказано. Удалить конкретную «биометрию от МТС» — можно. А вот то, что по закону о биометрии можно поехать с паспортом в МФЦ лично и запретить собирать мою биометрию в принципе — упоминания на сайте Госуслуг за 15 минут найти не удалось. Это, конечно, неспроста.

Ну ладно, это всё понятно. Вот ещё пара историй про биометрию.

ЕБС – единая точка атаки

Жена моя Наталья как-то давала очередное интервью какому-то популярному и прогосударственному СМИ, где сказала пару слов о том, что сдавать биометрию категорически нельзя, украдут обязательно, сольют мошенникам. База данных с биометрией — такая же база данных, никаких особых «средств защиты биометрии» — не существует.

Упомянула Наталья и про ЕБС, что это с точки зрения специалистов по инфобезу — единая точка атаки, то есть значительное повышение риска. Взломать, наверно, будет труднее, будут более жёсткие регламенты и распределение прав — зато взломщик или инсайдер с правами получит сразу всё.

Это интервью дало огромный выхлоп, Наталью стали цитировать и в центральных СМИ, и в массовых блогах, что привело к следующим трём интересным разговорам.

ЕБС — это меньшее зло, и большая удача ФСБ

Приехавшие в одну из наших компаний поговорить ФСБшники между делом сказали нам, что единая точка атаки, незащищённость баз данных, могут украсть и т. п. — это конечно, в принципе-то верно, но мы неправильно понимаем тональность самой истории с ЕБС.

На самом деле это — большая победа чекистов, потому что удалось законодательно забрать биометрию граждан из рук Грефа, Яндекса, мобильных операторов и прочих шаловливых ручек цифровых «экосистем».

А они-то собирались творить с ней всё, что захотят. Теперь нельзя.

Биометрия — это не технология

За завтраком на конференции мы разговорились с замминистра профильного министерства. Я рассказал ему про гигантские утечки паспортных фотографий из МВД, про сбор биометрии на транспорте и в розничных сетях (см. предыдущий пост про биометрию).

Он говорит: «Фото? А, нет, это не биометрия. Биометрия же — она с шевелением, с объёмом. А фото — нет, не биометрия, оно же не пройдёт систему».

Я попытался объяснить, что биометрия — это не технология.

Это способ идентификации человека по его биологическим характеристикам.

Если это можно сделать по мутному фото из паспортного стола — это тоже биометрическая идентификация. Технология постоянно развивается, привязываться к сегодняшнему уровню технологии для определения «что такое биометрия» — нельзя. Тем более, что это ссылка на текущие технологии каких-то отдельных компаний.

Скоро будут собирать биометрический идентификатор из фоток в профиль, куска уха и половины носа (и биомеханической схемы походки). А «шевеление» (liveness) будут отлично подделывать на взломанных устройствах.

Но вообще ситуация, что в профильном министерстве, с правом законодательной инициативы (там, например сейчас пишется концепция Цифрового кодекса, 28 числа ноября второе заседание рабочей группы) считают, что биометрия это то, что скажут NTechLab, Vision Labs, Яндекс или Сбербанк — довольно тревожная.

У нас 100% распознавания, нулевой уровень ложных срабатываний и 100% защищённость

Вскоре после возникновения медийного шума про интервью Натальи в сети у нас состоялся разговор с зампредом очень крупного банка. Он позвонил Наталье в машину, разговаривал с ней как бабой-дурой, которая не понимает. Ну и в самом деле, откуда ей понимать-то, это же технологии.

Сказал примерно такое:

Зачем вы говорите публично ерунду про биометрию? Вы не понимаете, как это работает! Мы в наших базах вообще не храним лица, только дескрипторы. Знаете, что такое дескрипторы?

Это векторы, а не лица! Поэтому лица у нас украсть вообще нельзя! А вектора красть нет смысла!

При этом у нас 100% защита системы, у нас идеальное качество работы ИИ, 100% распознавание, нет ошибок в принципе. Приезжайте, поговорите с моими головастиками, они вам всё покажут и расскажут, сами убедитесь.

С самого начала было понятно, что это очевидная ерунда. Не бывает систем распознавания со 100% распознаванием и 0% ложных тревог. Не бывает 100% защищённости баз данных, особенно от инсайдера с правами верхнего уровня.

И уж точно не может быть хранения только дескрипторов. Если вдруг программисты обновили библиотеку распознавания/обучения с изменением формата дескриптора — что, заново миллионы лиц собирать? То есть лица у них где-то лежат, как и у всех (может быть, в зашифрованном архиве, неважно).

Мы собрали группу для поездки, подготовились, взяли технического директора Инфовотча, со списком вопросов поехали, пообщались с технарями. Технари технарям серьёзно соврать ведь не могут, это практически невозможно.

Оказалось, конечно же, что всё не так. У них всё, как у людей. Обычный процент ложных срабатываний, обычный процент пропусков цели. Лица, конечно, хранят, их же десятки миллионов, поди собери второй раз.

Кто кому врал, на каком уровне? Или зампреда обманывают его эффективные манагеры-инноваторы (это совсем плохо, зампред отвечает за безопасность), либо он нам доносил их привычный маркетинговый нарратив, изготовленный для конференций и докладов начальству (тогда это просто некрасиво, нельзя так делать с коллегами по индустрии, мы же не журналисты).

А чем, собственно, плоха биометрия?

Что не нравится-то? Это же в самом деле надёжный метод идентификации?

Мы про это много раз говорили, не буду растекаться мысью по древу. Плоха она тем, что

это идентификатор на всю жизнь, поменять нельзя,
украдут обязательно — у тех же людей украли сотни миллионов записей ФИО, телефонов, адресов и номеров кредитных договоров;
применят для мошенничества, разводок, шантажа, дипфейков — обязательно;
кроме того, не взирая на закон о ЕБС, лица продолжают собирать все — в крупной рознице, аэропортах, банках, в мобильных операторах, и делают с ними что хотят;
Это средство дискриминации (как описано в предыдущем посте про биометрию), средство фальсификации и т. п.

Но есть ещё одно обстоятельство. Принципиальное. Отражающее структуру окружающего пространства-времени.

Маленькое адресное пространство

Эту мысль сообщил мне наш техдир Крибрума, она очевидная, но мне почему-то в голову не пришла.

Биометрия — в принципе негодный ключ. Вот почему:

1. Нас всего примерно 150 миллионов. При существующем нажиме «скорее, бегом сдайте биометрию», насильственном внедрении биометрической идентификации везде, неявном сборе всех лиц на улице, в помещениях, на транспорте — скоро все лица граждан РФ будут в базе.

2. Адресное пространство в 150 миллионов — очень узкое. Это ведь примерно двоичный ключ длиной 10 +10 + 8 = 28 двоичных символов. Не 512, не 1024, не 2048, как в системах шифрования, а 28.

3. Разговоры о том, что зато сама технология распознавания лиц делает невозможной подделку лица — пустые. Технологии и распознавания, и подделки сейчас — наколеночные, кухонные. Они доступны всем, в том числе подделывателям.

4. Кроме того, есть ещё одно мало осознаваемое массовой публикой обстоятельство: мы все ходим по улице и в помещениях с лицом наружу. Это как если бы мы ходили по улице с бумажкой на груди с ФИО, адресом, номером телефона и паролём к Госуслугам. Кругом камеры и сотни смартфонов. Считать чьё угодно лицо кому угодно сейчас ничего не стоит.

Ну и вот представим, что:

А) всех граждан РФ завели в базы биометрии. Ну или почти всех, кого смогли: скажем, 50-70 миллионов, не считая старых, больных, парализованных, под госзащитой, а также детей в детсадах (впрочем, на это надежда слабая).

Б) Внедрили много сервисов однофакторной идентификации по лицу. К этому всё идёт, это же так удобно. Двухфакторная же идентификация (лицо плюс карточка, лицо + пароль, лицо + СМС) сводит на нет всё удобство — зачем тогда лицо-то, собственно.

Берём сколько угодно лиц на улице или покупаем базу лиц у манагера торгового зала в Пятёрочке, авторизуемся в любом однофакторном сервисе по этим лицам. ПРОФИТ!

Они же все — ключи! Или каждое второе, неважно.

То есть вообще не нужно ничего воровать из баз, всё на улице есть.

В общем, как здесь на Спонсре уже говорилось в комментариях, пока никто не объяснил, зачем мы вообще туда идём. Возникает страшное подозрение, что те, кто нас туда тащит — сами не понимают, повторяют мантры своих манагеров, как тот зампред.

И это всё на войне войны и явного превосходства противника в киберпространстве.

Либо удобство и инновационность — просто прикрытие для совершенно другого: получения цифровой власти новым цифровым классом, дорвавшимся до персональных данных этих 150 миллионов.

Об этом — в следующих выпусках нашего ужастика.