Biometria Não é a Solução

Já falamos aqui sobre a importância de garantir a integridade do sistema do usuário e de autenticar o servidor. Vamos falar então do elo final da corrente: como autenticar os usuários nas transações pela Internet.

Ao invés de começar pela forma mais popular de autenticação - as senhas - vamos começar pela mais propagandeada: a biometria. A biometria utiliza características físicas do ser humano para fazer a sua identificação. Normalmente são usados imagens da face, iris, retina e digitais ou o padrão sonoro da voz, em conjunto com parâmetros fisiológicos como pressão sanguínea e temperatura para validar se o que está sendo medido é efetivamente humano.

Notem que eu usei o termo "identificação" e não "autenticação". Qual a diferença? Steve Riley explica melhor do que eu no seu paper It´s Me and Here´s My Proof: Why Identity and Authentication Must Remain Distinct. Para resumir, estas são as definições usadas por ele:

• Identificação - "Quem é você ?"
• Autenticação - "Ok, como você prova isso ?"

Aqui está problema fundamental com a biometria. Apesar de não termos provas científicas definitivas quanto a isso, eu acredito que as características físicas da pessoa são suficientes identificar uma pessoa. Mas são suficientes para autenticá-la? Certamente não em um ambiente de Internet.

Para começar, a validade da autenticação biométrica depende da confiança no equipamento que faz a leitura e no procedimento usado para fazer a leitura. Uma leitora comprometida poderia trivialmente capturar a informação biométrica e usá-la posteriormente para um acesso indevido; um procedimento de leitura malicioso poderia injetar informação biométrica falsa e se autenticar indevidamente.

É possível garantir a confiança do equipamento e do procedimento de leitura pela Internet? De forma alguma. Por isso vem o meu primeiro ponto: biometria só pode ser usada como forma de autenticação em um ambiente controlado. Por ambiente controlado leia-se um ambiente onde a leitora não possa ser comprometida, e o procedimento de leitura seja fiscalizado por um agente confiável.

Em um ambiente não controlado, como o da Internet, a biometria só pode ser usado como mecanismo de identificação, e uma outra forma de autenticação deve ser usada. Ou seja, biometria para identificação e senhas para autenticação, ou biometria para identificação e certificação digital para autenticação. E não venham me dizer que isso é autenticação multifator, a não ser em um ambiente controlado. O fator de autenticação continua sendo um só, a senha ou o certificado - a biometria somente identifica o usuário.

Até aqui assumimos que as leitoras biométricas seriam entes que identificam inequivocamente um sujeito. Infelizmente atualmente isso não é o caso, e vamos então ao segundo ponto: as leitoras biométricas existentes não tem um bom índice de precisão. Isso pode e provavelmente vai mudar no futuro, mas é um fator importantíssimo se você pretende implementar uma solução desse tipo para hoje.

Como verificar o índice de precisão? Para começar é preciso lembrar que existe uma correlação entre falsos positivos (quando você autentica uma pessoa que não é a correta) e falsos negativos (quando você não autentica a pessoa correta). Um dispositivo pode ser calibrado para praticamente nunca ter falsos positivos, mas o custo será o aumento dos falsos negativos. E vice-versa. Por isso usamos como medida o Crossover Error Rate, também chamado de Equal Error Rate, que é o ponto onde a taxa de falsos positivos e falsos negativos se equivalem.

Como eu não acredito em estatísticas de fabricantes de biometria - que só são menos mirabolantes que estudos de ROSI - vamos usar como base aqui um estudo feito pelo Home Office do governo britânico sobre o uso de biometria em passaportes. O estudo comparou equipamentos biométricos de reconhecimento de digitais, face e íris em 10 mil pessoas, com alguns resultados interessantes:

• A taxa de sucesso no reconhecimento 1-1 foi de 96% para íris, 81% para digitais e 69% para retina, muito longe do que se tem propagandeado pelos fabricantes. E se você acha que 96% é muito, isso significa em uma empresa com 2000 funcionários que 80 identificações seriam erradas. Isso é aceitável?
• A taxa de sucesso também varia dramaticamente devido a idade e a etnia da pessoa. Por exemplo, nestes testes a taxa de sucesso da identificação de íris cai bastante a medida em que o indivíduo é mais velho, ou se é de raça negra. Lembre-se, estamos lidando com a biologia aqui e não com a matemática.
• Portadores de deficiência tiveram taxa de sucesso na leitura também significativamente mais baixa, e uma dificuldade e tempo maior para a coleta das informações biométricas.

Mas o mais divertido de ver são os Mythbusters da televisão mostrando como é simples ultrapassar dispositivos biométricos de leitura digital. Veja o vídeo em https://www.youtube.com/watch?v=ZncdgwjQxm0 - e mostre para o próximo vendedor de biometria que disser que o seu dispositivo "nunca foi quebrado".

Comments

• Anonymous
  September 23, 2006
  The comment has been removed
• Anonymous
  September 24, 2006
  The comment has been removed