จากมุมมองด้านความปลอดภัย ส่วนเพิ่มเติมที่น่าสนใจที่สุดของ iPhone 5s ของ Apple คือลายนิ้วมือในตัว สแกนเนอร์ที่เรียกว่า Touch ID ซึ่งช่วยให้คุณปลดล็อกโทรศัพท์ด้วยการสัมผัสเพียงนิ้วเดียว แทนที่จะเป็น รหัสผ่าน คุณยังสามารถทำการซื้อจาก iTunes ด้วยการสแกนลายนิ้วมือ แทนที่จะต้องป้อนรหัสผ่าน Apple ID ของคุณ
แม้ว่าลายนิ้วมือจะมีเอกลักษณ์เฉพาะตัว แต่การใช้การสแกนลายนิ้วมือเป็นข้อมูลรับรองการรับรองความถูกต้องก็ไม่ใช่ยาครอบจักรวาลสำหรับปัญหาด้านความปลอดภัย การใช้เวลาเพียงเล็กน้อยในการทำความเข้าใจเทคโนโลยี สิ่งที่สามารถทำได้ และวิธีที่เทคโนโลยีจะผสานเข้ากับชีวิตดิจิทัลของคุณ
เครื่องอ่านลายนิ้วมือทำงานอย่างไร
เทคโนโลยีจดจำลายนิ้วมือ มีมานานหลายทศวรรษ เป็นรูปแบบการรับรองความถูกต้อง คำที่ใช้อธิบายกระบวนการพิสูจน์ว่าคุณเป็นคนที่คุณบอกว่าคุณเป็นใคร ในกรณีนี้ เทคโนโลยีจะสแกนลายนิ้วมือที่ให้มา เปรียบเทียบกับฐานข้อมูล และหากมีข้อมูลตรงกัน จะอนุญาตให้เข้าถึงได้เช่นเดียวกับรหัสผ่านหรือรหัสผ่าน ในขณะที่เทคโนโลยีการจดจำลายนิ้วมือสามารถทำได้ในทางเทคนิค แยกแยะ คุณเช่นกัน ตรวจสอบสิทธิ์ คุณ ระบบส่วนใหญ่ยังคงต้องการชื่อผู้ใช้เพื่อเพิ่มความเร็วในการจับคู่ลายนิ้วมือและลดข้อผิดพลาด อย่างไรก็ตาม เนื่องจาก iPhone เก็บชื่อผู้ใช้ Apple ID ของคุณไว้ ผู้ใช้ส่วนใหญ่จึงไม่มีปัญหาเรื่องนี้
เครื่องอ่านลายนิ้วมือสามารถพึ่งพาเทคโนโลยีการสแกนที่หลากหลาย สองตัวที่สามารถรวมเข้ากับอุปกรณ์พกพาได้ดีที่สุดคือเครื่องอ่านออปติคัลและเซ็นเซอร์ความจุ เครื่องอ่านออปติคัลมีแนวคิดที่เรียบง่าย โดยใช้สิ่งที่เป็นกล้องดิจิตอลเป็นหลักในการถ่ายภาพพื้นผิวนิ้วของคุณ
เซนเซอร์ความจุนั้นซับซ้อนกว่า แทนที่จะสร้างภาพลายนิ้วมือของคุณโดยการวัดความแตกต่างของความจุระหว่างสันเขาและหุบเขาของลายนิ้วมือของคุณ พวกเขาใช้ประโยชน์จากการนำไฟฟ้าของชั้นผิวหนังใต้ผิวหนังของคุณและฉนวนไฟฟ้าของชั้นผิวหนังของคุณ (ส่วนที่ลายนิ้วมือของคุณอยู่) ลายนิ้วมือของคุณเป็นชั้นที่ไม่นำไฟฟ้าระหว่างแผ่นนำไฟฟ้าสองแผ่นอย่างมีประสิทธิภาพ ซึ่งเป็นคำจำกัดความของตัวเก็บประจุ เครื่องอ่านลายนิ้วมือจะตรวจจับความแตกต่างทางไฟฟ้าที่เกิดจากความหนาต่างๆ ของผิวหนังชั้นหนังแท้ และสามารถสร้างลายนิ้วมือใหม่ได้จากการอ่านค่าเหล่านั้น
เซ็นเซอร์ Touch ID ใน iPhone 5s เป็นเครื่องอ่านแบบคาปาซิทีฟที่ฝังอยู่ในปุ่มโฮม นั่นเป็นทางเลือกที่ดีในส่วนของ Apple เนื่องจากเครื่องสแกนแบบ capacitive มีความแม่นยำมากกว่าและมีแนวโน้มที่จะนิ้วเลอะน้อยลง และไม่สามารถปลอมแปลงด้วยสำเนาลายนิ้วมือได้
ดังนั้นผู้อ่านจึงถ่ายรูปนิ้วของฉันและค้นหาในฐานข้อมูล?
ไม่ค่อย. การเปรียบเทียบภาพที่สมบูรณ์เป็นงานที่ซับซ้อนและต้องใช้การคำนวณมาก ซึ่งแม้แต่คอมพิวเตอร์ที่ทรงพลังก็ยังประสบปัญหา แต่รูปภาพจากเครื่องอ่านจะทำงานผ่านอัลกอริธึมที่ดึงไฮไลท์จากลายนิ้วมือของคุณและแปลงเป็นข้อมูลสรุปแบบดิจิทัล ซึ่งเป็นเทมเพลตที่ง่ายต่อการใช้งาน เทมเพลตนี้แสดงถึงลายนิ้วมือของคุณ และจะแตกต่างกันไปตามอัลกอริทึมที่ใช้
จากนั้นเทมเพลตจะถูกจัดเก็บไว้ในฐานข้อมูล หลังจากรันผ่านฟังก์ชันแฮชการเข้ารหัส เช่นเดียวกับรหัสผ่านของคุณ รหัสผ่านจะไม่ถูกจัดเก็บ แต่จะถูกแปลงโดยอัลกอริธึมการเข้ารหัสทางเดียวโดยเก็บผลลัพธ์ไว้ในฐานข้อมูล หากดำเนินการอย่างถูกต้อง แสดงว่ารหัสผ่านของคุณไม่สามารถกู้คืนได้ แม้ว่าผู้ร้ายจะได้รับฐานข้อมูลก็ตาม
แม้ว่าจะยังไม่ทราบรายละเอียด แต่เราคาดว่า Apple จะใช้รหัสอุปกรณ์เฉพาะของ iPhone แต่ละเครื่องเป็นส่วนหนึ่งของอัลกอริธึมการแฮช เนื่องจากมันถูกฝังอยู่ในฮาร์ดแวร์ของ iPhone จึงเป็นไปไม่ได้ที่จะโจมตีอุปกรณ์ด้วยคอมพิวเตอร์ที่ทรงพลังกว่าอย่างมีประสิทธิภาพ การโจมตีบนอุปกรณ์นั้นช้ากว่าและยากกว่ามาก
เมื่อคุณใช้ลายนิ้วมือเพื่อเข้าสู่ระบบอุปกรณ์ เทคโนโลยีจะสร้างภาพลายนิ้วมือของคุณและเรียกใช้ภาพผ่านอัลกอริธึม จากนั้นจะเปรียบเทียบผลลัพธ์กับค่าที่เก็บไว้ในฐานข้อมูล หากทั้งสองตรงกัน คุณจะเข้าได้เช่นเดียวกับรหัสผ่าน
Apple ตั้งข้อสังเกตว่าลายนิ้วมือของคุณจะไม่ถูกอัปโหลดไปยัง iCloud หรือเซิร์ฟเวอร์อินเทอร์เน็ตใดๆ แต่จะถูกเข้ารหัสและเก็บไว้ในสิ่งที่เรียกว่า Secure Enclave ภายในชิป A7 แทน
ลายนิ้วมือมีความปลอดภัยมากกว่ารหัสผ่านหรือรหัสผ่านหรือไม่?
ไม่จำเป็น. ในโลกของการรักษาความปลอดภัย มีสามวิธีในการพิสูจน์ว่าคุณเป็นคนที่คุณบอกว่าเป็นด้วย สิ่งที่คุณรู้, สิ่งที่คุณมี, และ สิ่งที่คุณเป็น. สิ่งที่คุณรู้คือรหัสผ่านหรือรหัสผ่าน สิ่งที่คุณมีคือโทเค็น คีย์ หรือแม้แต่โทรศัพท์ของคุณ และสิ่งที่คุณเป็นก็คือ "ตัวระบุไบโอเมตริก" เช่น ลายนิ้วมือของคุณ
การใช้ตัวระบุตัวใดตัวหนึ่งเหล่านี้เรียกว่าการรับรองความถูกต้องด้วยปัจจัยเดียว และถือว่าเป็นการพิสูจน์ตัวตนที่เข้มงวดเมื่อคุณรวมปัจจัยตั้งแต่สองปัจจัยขึ้นไป หากคุณคิดเกี่ยวกับเรื่องนี้ (หรือดูทีวีให้เพียงพอ) คุณสามารถจินตนาการถึงวิธีการหลอกเครื่องอ่านลายนิ้วมือได้อย่างง่ายดาย ตั้งแต่สำเนาภาพถ่ายไปจนถึงนิ้วปลอมที่ทำจากเจลาติน เครื่องอ่านลายนิ้วมือทุกเครื่องสามารถถูกหลอกได้ และการทำเช่นนั้นไม่จำเป็นต้องมีเทคโนโลยีขั้นสูงเสมอไป
นอกจากนี้ หากคุณมีสิทธิ์เข้าถึงฐานข้อมูลทางกายภาพ คุณสามารถโจมตีฐานข้อมูลได้เหมือนกับว่าฐานข้อมูลมีรหัสผ่าน โดยการสร้างและทดสอบเทมเพลตปลอม ไม่ใช่อัลกอริธึมและฟังก์ชันการแฮชทั้งหมดจะดีเท่ากัน และง่ายต่อการจบลงด้วยระบบที่อ่อนแอกว่าวิธีที่เราจัดการรหัสผ่านที่รู้จักกันดี
กล่าวโดยย่อ ไม่มีอะไรสมบูรณ์แบบ และลายนิ้วมือเพียงอย่างเดียวไม่จำเป็นต้องมีความปลอดภัยมากกว่ารหัสผ่าน ที่แย่ไปกว่านั้น คุณไม่สามารถเปลี่ยนลายนิ้วมือได้ นั่นเป็นสาเหตุที่ระบบที่มีความปลอดภัยสูงมักต้องการลายนิ้วมือและรหัสผ่านหรือสมาร์ทการ์ด
โทรศัพท์ของฉันไม่นับเป็นปัจจัยที่สองหรือไม่
ประเภทของ หลายๆ คนอาจใช้โทรศัพท์ของคุณเป็นปัจจัยที่สองในการเข้าสู่ระบบบริการต่างๆ เช่น Dropbox ในสถานการณ์นั้น คุณเข้าสู่ระบบไซต์ด้วยชื่อผู้ใช้และรหัสผ่าน จากนั้น Dropbox จะส่งรหัสแบบใช้ครั้งเดียวไปยังโทรศัพท์ของคุณซึ่งมีอยู่ในไฟล์ ตั้งแต่คุณ รู้รหัสผ่านของคุณ และ มีโทรศัพท์ของคุณซึ่งนับเป็นการรับรองความถูกต้องด้วยสองปัจจัย
น่าเสียดายที่การปลดล็อกโทรศัพท์นั้นแตกต่างออกไป เนื่องจากตัวโทรศัพท์เป็นเป้าหมาย ดังนั้น ลายนิ้วมือเพียงอย่างเดียวยังคงเป็นการรับรองความถูกต้องด้วยปัจจัยเดียว และไม่ปลอดภัยมากขึ้นในแง่ที่เข้มงวด
อย่างไรก็ตาม คุณมีโอกาสน้อยที่จะให้ใครยืมลายนิ้วมือของคุณ และในขณะที่คนร้ายอาจเดารหัสผ่านของคุณ โอกาสมีคนขโมยลายนิ้วมือของคุณในโลกแห่งความเป็นจริงนั้นต่ำมาก เว้นแต่คุณจะมีความเสี่ยงสูง เป้า.
หากไม่ปลอดภัยมากขึ้น เหตุใดจึงเปลี่ยนไปใช้ลายนิ้วมือ
สำหรับผู้บริโภคส่วนใหญ่แล้ว ลายนิ้วมือมีความปลอดภัยมากกว่ารหัสผ่านบน iPhone ของคุณ ปลอดภัยกว่ารหัสผ่านสี่หลักอย่างแน่นอน
แต่เหตุผลที่แท้จริงก็คือการใช้ลายนิ้วมือสร้างความปลอดภัยที่ดีขึ้นด้วยความสามารถในการใช้งานที่ดีขึ้น คนส่วนใหญ่ หากพวกเขาใช้รหัสผ่านเลย ให้ใช้รหัสผ่านสี่หลักง่ายๆ ซึ่งผู้โจมตีจะหลีกเลี่ยงการครอบครอง iPhone ของคุณได้โดยง่าย วลีรหัสผ่านที่ยาวกว่า เช่น อักขระ 16 ตัวที่ฉันใช้ไม่ชัดเจนนั้นปลอดภัยกว่ามาก แต่เป็นความเจ็บปวดอย่างแท้จริงที่ต้องป้อนซ้ำๆ หากใช้เครื่องอ่านลายนิ้วมืออย่างถูกต้อง จะรักษาความปลอดภัยให้กับข้อความรหัสผ่านแบบยาว ด้วยความสะดวกมากกว่ารหัสผ่านแบบสั้น
เนื่องจาก ฉันเขียนทับที่ Macworldเป้าหมายของ Apple คือการปรับปรุงความปลอดภัยในขณะที่ทำให้มองไม่เห็นมากที่สุด
นี่หมายถึงการตายของรหัสผ่านบน iPhone ของฉัน
ไม่เลย. ก่อนอื่น iOS จะไม่ยกเลิกการรองรับรหัสผ่านเนื่องจากมีเพียง iPhone 5s เท่านั้นที่จะมีเครื่องอ่านลายนิ้วมือ
ประการที่สอง ดังที่คุณเห็นในภาพนี้ คุณจะมีตัวเลือกในการป้อนรหัสผ่านแทนการสแกนลายนิ้วมือเสมอ
ประการที่สาม ในขณะที่พวกเราหลายคนแบ่งปัน iPhone ของเรากับคู่สมรสและบุตรของเรา Apple สนับสนุนผู้ใช้เพียงคนเดียวต่ออุปกรณ์อย่างเป็นทางการเท่านั้น อย่างไรก็ตาม Apple ได้กล่าวว่า Touch ID นั้นจะช่วยให้คุณตั้งค่าลายนิ้วมือสำหรับเพื่อนและครอบครัวที่เชื่อถือได้ เพื่อให้พวกเขาสามารถเข้าถึงอุปกรณ์ของคุณได้อย่างง่ายดาย
หากมีคนขโมยโทรศัพท์ของฉัน แสดงว่ามีลายนิ้วมือของฉันหรือไม่ — แทบจะไม่มีเลย ไม่มีเหตุผลที่จะเก็บลายนิ้วมือไว้เพียงแค่เทมเพลตเท่านั้น และดังที่ได้กล่าวไว้ก่อนหน้านี้ ลายนิ้วมือของคุณได้รับการเข้ารหัสบน iPhone 5s (เราสงสัยว่า Apple หมายถึง "แฮช") จริงๆ
บุคคลอื่นสามารถเข้าใช้โทรศัพท์ของฉันด้วยสำเนาลายนิ้วมือของฉันได้หรือไม่ - อาจจะ. ดังที่ฉันได้กล่าวไว้ก่อนหน้านี้ เว้นแต่คุณจะรวมลายนิ้วมือกับปัจจัยการตรวจสอบอื่น เช่น รหัสผ่าน ผู้โจมตีต้องการชิ้นเดียวเพื่อแสร้งทำเป็นคุณ
ในความเป็นจริง แทบไม่มีใครต้องกังวลเกี่ยวกับเรื่องนี้ แม้ว่าฉันจะคาดหวังอย่างเต็มที่ว่าจะมีบทความจำนวนหนึ่งที่เขียนเกี่ยวกับความพยายามของสายลับมือสมัครเล่นในการสร้างนิ้วปลอม ฉันจะเริ่มระมัดระวังมากขึ้นเมื่อฉันเข้าร่วมการประชุมแฮ็กเกอร์บางงาน จากเพื่อนที่เล่นพิเรนทร์ของฉัน
ฉันจะสามารถเข้าสู่ระบบธนาคารด้วยลายนิ้วมือแทนรหัสผ่านได้หรือไม่ — การใช้ลายนิ้วมือเพื่อเข้าสู่ระบบเว็บไซต์และแอพ เช่น จากธนาคารของคุณ อาจเกิดขึ้นในที่สุด แต่ไม่ใช่ในทันที Apple ต้องเปิดการรองรับ API ก่อน จากนั้นนักพัฒนาจำเป็นต้องรวมเข้ากับทั้งแอพและฐานข้อมูลการตรวจสอบสิทธิ์ส่วนหลัง Apple กล่าวว่าแอพอื่นสามารถใช้เครื่องอ่านลายนิ้วมือได้ แต่ลายนิ้วมือที่เก็บไว้ของคุณจะไม่สามารถใช้ได้กับแอพเหล่านั้น ดังนั้นเราจึงสงสัยว่าการสนับสนุนเบื้องต้นจะใช้ Touch ID เพื่อเข้าถึงรหัสผ่านที่จัดเก็บไว้ในพวงกุญแจ iOS โดยใช้การรองรับ API บางประเภท
ผู้ผลิตแอปและบริการคลาวด์ที่ต้องการเข้าถึงลายนิ้วมือโดยตรง หาก Apple รองรับด้วย ก็จะต้องออกแบบระบบใหม่เพื่อจัดการกับ สถานการณ์เช่นลายนิ้วมือของใครบางคนถูกบุกรุกหรือผู้ใช้ที่เข้าสู่ระบบจากคอมพิวเตอร์ที่ใช้ Windows ที่มีลายนิ้วมือต่างกัน สแกนเนอร์ พวกเขาไม่สามารถเปลี่ยนทุกคนเป็นเทมเพลตลายนิ้วมือของ Apple เท่านั้น (และเท่าที่การมีมาตรฐานแบบเปิดสำหรับการสร้างเทมเพลตอาจฟังดูเป็นความคิดที่ดี — ก็มีองค์กรอุตสาหกรรมที่เรียกว่า พันธมิตร FIDO เพื่อส่งเสริมการทำงานร่วมกัน - ใครจะรู้ว่าในที่สุด Apple จะสนับสนุนหรือไม่)
แต่อีกครั้ง ฉันสงสัยอย่างยิ่งว่า Apple จะใช้เวลาอย่างน้อยสักพัก ส่วนใหญ่จะพึ่งพาการรักษาความปลอดภัยข้อมูลประจำตัวบนโทรศัพท์โดยใช้ พวงกุญแจที่เคารพอาจเพิ่มคุณสมบัติหรือการสนับสนุน API ที่ยืนยันลายนิ้วมือสำหรับผู้ใช้ที่ลงทะเบียนนั้น รับรองความถูกต้อง
นอกจากนี้ ธนาคารยังต้องใช้การรับรองความถูกต้องสองรูปแบบตามกฎหมายอีกด้วย นั่นเป็นเหตุผลที่คุณอาจต้องป้อน PIN เมื่อคุณเข้าสู่ระบบจากอุปกรณ์อื่น หรือคุณต้องดำเนินการยืนยันอีเมลเมื่อคุณเข้าสู่ระบบจากคอมพิวเตอร์เครื่องใหม่ แม้ว่าในทางเทคนิคแล้ว โทรศัพท์ของคุณอาจนับเป็นปัจจัยที่สอง และธนาคารสามารถอัปเดตระบบของพวกเขาเพื่อรวมความจริงที่ว่าโทรศัพท์ของคุณมีลายนิ้วมือเพื่อการเข้าถึง
ฉันจะสามารถใช้ลายนิ้วมือเพื่อเข้าสู่ระบบเครือข่ายที่ทำงานได้หรือไม่
ไม่ทัน. แม้ว่า Apple จะเพิ่มการรองรับการลงชื่อเพียงครั้งเดียว (SSO) ระดับองค์กรใน iOS 7 เครือข่ายงานและแอปพลิเคชันของคุณยังคงต้องการให้คุณตรวจสอบสิทธิ์โดยใช้ชื่อผู้ใช้และรหัสผ่านที่มีอยู่ SSO หมายความว่าคุณไม่จำเป็นต้องป้อนข้อมูลประจำตัวซ้ำอีกครั้งสำหรับทุกระบบงาน เมื่อเวลาผ่านไป ฉันคาดว่าจะเห็นผู้ขายเสนอเครื่องมือที่จะช่วยให้คุณเข้าสู่เครือข่ายงานของคุณ หลังจากที่คุณตรวจสอบสิทธิ์โดยใช้ลายนิ้วมือบน iPhone ของคุณ โดยถือว่าแผนกไอทีของคุณอนุมัติ
ทำไมสิ่งนี้จึงสำคัญ?
Apple ไม่ใช่บริษัทแรกที่เพิ่มเครื่องอ่านลายนิ้วมือลงในโทรศัพท์ ฉันได้ทดสอบแล็ปท็อปที่มีเครื่องอ่านลายนิ้วมือและเห็นโทรศัพท์ที่มีเครื่องอ่านแบบฝังตัว ความตื่นเต้นที่แท้จริงคือ Apple จะทำให้เทคโนโลยีนี้เข้าถึงผู้บริโภคหลายล้านคนได้
การทำเช่นนี้จะปรับปรุงความปลอดภัยและความสามารถในการใช้งานของ iPhone 5s สำหรับผู้ใช้ทั่วไปได้อย่างมาก ฉันเกลียดที่จะต้องป้อนข้อความรหัสผ่านที่คาดเดายากบนแป้นพิมพ์ขนาดเล็ก โดยเฉพาะอย่างยิ่งเมื่อฉันเดินไปมา เครื่องอ่านลายนิ้วมือจะสะดวกกว่ามาก และโดยพื้นฐานแล้วจะขจัดรหัสผ่านสี่หลักที่มีความปลอดภัยน้อยกว่าที่คนส่วนใหญ่ใช้ หากพวกเขาใช้เลย
รวมสิ่งนี้เข้ากับข้อเท็จจริงที่ว่าขณะนี้ผู้ใช้จำนวนมากใช้โทรศัพท์เป็นปัจจัยที่สองเมื่อลงชื่อเข้าใช้บริการคลาวด์ที่หลากหลาย และคุณจะเห็นได้ว่าการปรับปรุงความปลอดภัยของ iPhone 5s โดยทั่วไปสามารถปรับปรุงความปลอดภัยในด้านที่สำคัญของ อินเทอร์เน็ต. ซึ่งจะไม่เกิดขึ้นในชั่วข้ามคืน แต่การปรับปรุงความปลอดภัยที่จุดเชื่อมต่อใดๆ จะช่วยเพิ่มความปลอดภัยให้กับทั้งระบบ
เมื่อเราเห็นการรับรองความถูกต้องด้วยลายนิ้วมือที่ใช้งานได้ในวงกว้างสำหรับผู้บริโภค ชีวิตของผู้โจมตีโดยเฉลี่ยจะยากขึ้นมาก
ผู้เขียน Rich Mogull ทำงานในโลกแห่งความปลอดภัยมา 17 ปีแล้ว และทำลายคอมพิวเตอร์ (โดยปกติโดยบังเอิญ) ได้นานขึ้นอีก หลังจากผ่านไปประมาณ 10 ปีในการรักษาความปลอดภัยทางกายภาพ (ส่วนใหญ่เป็นการจัดงาน/คอนเสิร์ตขนาดใหญ่) เขาทำผิดพลาดกับ เมาในซิลิคอนแวลลีย์และบอกใครบางคนว่าเขา "ทำงานด้านความปลอดภัย" บทความที่พิมพ์ซ้ำได้รับอนุญาต จาก TidBITS.