卡巴斯基-生物鉴别数据威胁趋向汇报
颁布功夫 2019-12-06
数字生物特点数据处置系统最初重要由当局机构和特勤服务（警员、海关等）使用 ，但信息技术的迅快发展使得生物鉴别系统早已民用。它们正日益成为我们日常生涯的一部门 ，并且加强和代替了传统的身份验证步骤（例如基于登录名和密码的身份验证）。的确 ，利用每幼我独有的生物特点（指纹、声音、面部状态或眼睛结构）进行身份鉴别看起来是一种方便且天然的步骤。
如今生物特点鉴别认证被用于贸易/当局办公室、工业自动化系统、企业和个人笔记本电脑以及手机的授权接见中。利用这些技术的app在数量和种类方面都在持续增长。
不幸的是 ，与最近迅快发展的很多其它技术一样 ，生物特点认证系统已被证明存在沉大缺点。该技术的重要弊端与信息安全问题有关。
在本汇报中 ，我们将会商影响生物特点认证系统的多个信息安全问题 ，并通过GA黄金甲钻研成就为更客观地评估和使用现有生物特点认证系统的风险提供更多信息。
生物鉴别数据的处置与存储
生物鉴别数据作为一个无法被伪造的个别特点的概想从底子上来说就是错的 ，并且可能会导致虚伪的安全感。
首先 ，生物鉴别认证系统的正确率固然相对较高 ，但对于很多利用来说依然不够。终于这种认证步骤不像密码认证只必要推算两个哈希值是否相称那样单一 ，生物鉴别系统通常城市有一个大于0的假阴性和假阳性概率。
其次 ，钻研批注很多人类生物特点是能够被伪造的 ，并且复造数字生物特点数据比复造物理生物特点还要单逐一些。
第三（也是最沉要的一点） ，生物特点数据一旦被盗 ，就始终受到侵害：用户无法像更改密码那样更换其指纹。并且 ，生物特点数据可能导致所有利用在统一功夫遭到侵害。用户余下的毕生可能城市受到影响。
鉴于上述所有的问题 ，不言而喻此刻的生物特点鉴别系统开发人员和用户在�；に堑南低澈蜕锾氐闶莘矫嫠龅闹铝τ卸嗝丛愀�。
事实证明 ，攻击者可能很容易就接见到企业存储的生物鉴别数据。一个引人瞩主张例子是臭名远扬的BioStar 2大规模数据泄露事务。BioStar 2是一个基于Web的生物特点安全智能锁平台。凭据钻研人员的说法 ，该公司的一个数据库可公开接见 ，其中存储了超过2780万笔纪录 ，蕴含来自83个国度的5700个企业的23GB员工数据。除了其它机密数据之表 ，该数据库还蕴含约100万条指纹纪录和面部鉴别信息。凭据该汇报 ，“…他们存储了人们的现实指纹（可被复造用于恶意主张）而不是保留指纹的哈希（不成逆）”。
不幸的是 ，钻研人员在BioStar 2事务中指出的问题绝不是个例。攻击者对准生物鉴别数据的案例早已存在。例如 ，2015年的一次网络攻击中与美国当局雇员有关的近600万枚指纹数据被盗。
随着生物认证系统潜在利用数量的增长 ，能够很容易想到生物鉴别数据将成为各类攻击者的指标。
生物鉴别数据风险分析
思考到上述风险 ，我们决定评估生物鉴别系统（处置和存储数据的服务器、工作站等）在恶意软件攻击中露出的水平 ，因而我们分析了卡巴斯基产品中的数据。
钻研对象
用于网络、处置和存储生物鉴别数据（蕴含指纹、掌纹、面部、声音及虹膜）并且装置了卡巴斯基安全产品的推算机（服务器和工作站等）。
汇报期间
2019年第三季度。
三分之一的系统遭逢威胁
凭据卡巴斯基安全网络（KSN）的数据 ，2019年第三季度卡巴斯基在37%的生物鉴别系统推算机上阻止了恶意软件攻击 – 换句话说 ，用于网络、处置和存储生物鉴别数据的推算机中有三分之一存在被恶意软件习染的风险。
从下面的季度数据中能够看出 ，只管自2019岁首以来受恶意软件攻击的推算机百分比已降落了6.6个百分点 ，但仍处于很高的水平。
2019年Q1-Q3 ，生物鉴别系统推算机受恶意软件攻击的比例
威胁起源分析
对威胁起源的分析批注 ，与很多其它必要加强安全措施的系统（如工业自动化系统、构筑治理系统等）一样 ，互联网是生物鉴别数据处置系统的重要威胁源。
2019年Q3 ，生物鉴别数据处置和存储系统的重要威胁源
在所有被阻止的威胁中 ，基于互联网传布的威胁占14.4%。该类别蕴含恶意网站、垂钓网站以及针对Web邮件服务的威胁。
可移动媒体（8%）和网络共享文件夹（6.1%）更多地被用于分发蠕虫。在习染推算机后 ，这些蠕虫会下载间谍软件、远控木马和勒索软件等。
至于在电子邮件客户端中阻止的威胁 ，大无数都是典型的垂钓邮件 ，例如假装成商品及货物交付通知、付款发票、RFQ和RFP等蕴含恶意网站链接或恶意附件的垃圾邮件。
威胁类别
在针对生物鉴别系统的所有威胁中 ，我们以为间谍软件、垂钓攻击中使用的恶意软件（重要是间谍软件下载器和开释器）、勒索软件及银行木马是最大的威胁。
针对生物鉴别系统的恶意软件类别
总体而言 ，在2019年第三季度 ，间谍软件占生物鉴别系统遭逢威胁的5.4% ，其次是垂钓攻击中使用的恶意软件（5.1%）和勒索软件（1.9%）。
该当指出 ，其它类型的恶意软件也蕴含旨在窃取银行数据的恶意法式（1.5％）。这些恶意法式不太可能窃取生物特点数据 ，但是能够预感 ，旨在从银行和金融系统窃取生物特点数据的大规模恶意软件活动将在不久的将来出现。
结论
如上所述 ，在2019年第三季度 ，用于网络、处置和存储生物特点数据的推算机中有37％面对恶意软件习染的风险。其它恶意法式蕴含现代远控木马（占分析的所有推算机的5.4％）、垂钓攻击中使用的恶意软件（5.1％）、勒索软件（1.9％）和银行木马（1.5％）。
只管这些恶意软件并非专门针对生物鉴别数据 ，但不应低估其组成的危险。
这些恶意软件可能：
?窃取机密信息
?加载并执行肆意软件
?使攻击者能够远程节造受习染的推算机
只管此类威胁并不是专门为窃取或篡改生物特点数据而设计的 ，但其中一些犯罪团伙拥有相应的技术能力实现该主张。此表 ，被习染的副作用可能会严沉影响身份验证系统的可用性和生物鉴别数据的齐全性。
这就是为什么我们以为将生物鉴别系统露出给随机的网络威胁对于服务商和用户来说都是一个巨大的风险。
还该把稳 ，GA黄金甲钻研发现生物鉴别数据处置和存储系统（尤其是生物特点数据库）通常部署在与其它系统共享的利用服务器上 ，而不是专门的服务器�；痪浠八� ，若是攻击者入侵了有关企业的邮件服务器或网站数据库 ，则他们很可能还会在统一服务器上找到生物特点数据库。
思考到上述所有成分 ，我们以为生物鉴别数据的安全性近况至关沉要 ，必要引起行业和当拘泥管机构以及信息安全专家社区和公家确把稳。终于无论其职业、专业布景和技术若何 ，任何人都可能面对这种风险。
本汇报原文地址：https://securelist.com/biometric-data-processing-and-storage-system-threats/95364/
本汇报只是为了进建钻研而翻译 ，无出版、发售等任何贸易行为 ，因而不合任何版权问题承担责任。
pdf网盘链接：https://pan.m.alibaba-yz.com/s/1Ik_4zrR7-bV7EyPiwWcI9A
提取码：5nvc
京公网安备11010802024551号