Jak działa autoryzacja biometryczna w banku?
Autoryzacja biometryczna w banku potwierdza tożsamość na podstawie cech fizycznych, takich jak odcisk palca, obraz twarzy albo układ naczyń krwionośnych dłoni. System nie musi wysyłać do banku zdjęcia palca czy twarzy. Zwykle porównuje wzorzec zapisany w bezpiecznym urządzeniu z bieżącym odczytem, a bank otrzymuje jedynie informację, czy weryfikacja zakończyła się powodzeniem.
Czym jest autoryzacja biometryczna?
Autoryzacja biometryczna to metoda potwierdzania, że daną operację wykonuje uprawniony klient. Zamiast wpisywać PIN, hasło lub kod SMS, użytkownik przykłada palec do czytnika albo patrzy w kamerę. Telefon, karta lub inne urządzenie analizuje charakterystyczne cechy odczytu i porównuje je z wcześniej zarejestrowanym wzorcem.
Biometria odpowiada kategorii „kim jesteś” w modelu silnego uwierzytelniania klienta, czyli SCA (Strong Customer Authentication). Model ten wykorzystuje co najmniej dwa niezależne elementy spośród trzech kategorii: coś, co posiadasz, coś, co wiesz, oraz cechę fizyczną. W praktyce biometria w aplikacji jest często powiązana z konkretnym, zaufanym telefonem, dlatego sama akceptacja transakcji może być częścią szerszego procesu bezpieczeństwa.
Największa różnica w porównaniu z hasłem polega na tym, że cechy biometrycznej nie trzeba zapamiętywać. Nie oznacza to jednak, że biometria zastępuje wszystkie zabezpieczenia. Bank może wymagać PIN-u, kodu SMS lub innej metody, na przykład przy aktywacji aplikacji, zmianie urządzenia albo operacji podwyższonego ryzyka.
Jak działa autoryzacja biometryczna krok po kroku?
Proces zależy od urządzenia i rozwiązania zastosowanego przez bank, ale zwykle przebiega według podobnego schematu:
- Rejestracja wzorca – podczas konfiguracji telefon lub karta odczytuje wybraną cechę, na przykład układ linii papilarnych. Dane służą do utworzenia wzorca biometrycznego.
- Przetworzenie odczytu – urządzenie nie musi przechowywać zwykłego zdjęcia palca. Z charakterystycznych punktów tworzy matematyczną reprezentację, potocznie określaną jako hash lub wzorzec biometryczny.
- Bezpieczne przechowanie – wzorzec jest izolowany w zabezpieczonym środowisku urządzenia, takim jak Secure Enclave w wybranych urządzeniach Apple albo TEE, czyli Trusted Execution Environment. Konkretna implementacja zależy od producenta sprzętu i systemu operacyjnego.
- Porównanie przy autoryzacji – po przyłożeniu palca lub zeskanowaniu twarzy urządzenie wykonuje lokalne dopasowanie bieżącego odczytu do zapisanego wzorca. Do aplikacji bankowej trafia wynik weryfikacji, a bank może otrzymać potwierdzenie autoryzacji.
Ważne jest rozróżnienie między hashowaniem a zwykłym szyfrowaniem pliku ze zdjęciem. Bank nie potrzebuje obrazu twarzy ani pełnego obrazu odcisku, aby sprawdzić zgodność. System korzysta z matematycznego wzorca, który ma umożliwić dopasowanie, a nie odtworzenie oryginalnego obrazu.
Rodzaje biometrii wykorzystywane w bankowości
Biometria w bankowości nie ogranicza się do smartfona. Inne rozwiązania stosuje się w aplikacjach, inne w kartach płatniczych, a jeszcze inne w bankomatach.
| Metoda | Zastosowanie | Charakterystyka |
|---|---|---|
| Odcisk palca | Aplikacje mobilne, wybrane karty biometryczne | Odczytuje układ linii papilarnych i zwykle działa szybko przy logowaniu lub potwierdzaniu operacji. |
| Rozpoznawanie twarzy | Smartfony, aplikacje bankowe, wybrane procesy identyfikacji | Kamera i oprogramowanie analizują charakterystyczne cechy twarzy. Zakres ochrony zależy od technologii telefonu. |
| Skanowanie żył dłoni | Wybrane bankomaty i rozwiązania dedykowane | Technologia Palm Vein wykorzystuje obraz układu naczyń krwionośnych dłoni, często rejestrowany za pomocą podczerwieni. |
W smartfonie dopasowanie wykonuje zwykle system operacyjny urządzenia, a aplikacja bankowa korzysta z jego wyniku. W karcie biometrycznej czytnik i wzorzec mogą znajdować się bezpośrednio na karcie. Z kolei bankomat z czytnikiem Palm Vein ma własny moduł do odczytu naczyń dłoni i wymaga wcześniejszego powiązania wzorca z klientem.
Bezpieczeństwo i prywatność danych biometrycznych
Najczęstsza obawa brzmi: czy bank przechowuje zdjęcie mojego palca lub twarzy? W typowym modelu autoryzacji mobilnej odpowiedź brzmi: nie w formie zwykłego obrazu przesyłanego do banku. Wzorzec pozostaje na urządzeniu albo na karcie, a aplikacja otrzymuje sygnał, że lokalna weryfikacja się udała lub nie.
Takie rozwiązanie ogranicza skutki potencjalnego przejęcia systemu bankowego, ponieważ dane biometryczne nie muszą znajdować się w centralnej bazie. Nie oznacza to pełnej niewrażliwości na ataki. Bezpieczeństwo zależy także od blokady telefonu, aktualizacji systemu, ochrony aplikacji, sposobu uwierzytelniania oraz procedur banku.
Biometria jest jednym elementem ochrony, a nie samodzielną gwarancją bezpieczeństwa. Telefon, karta i aplikacja muszą być zabezpieczone jako cały system.
Biometria może zastąpić wpisywanie PIN-u przy wielu codziennych operacjach, lecz w sytuacjach nietypowych bank może wrócić do alternatywnej metody. Odczyt może się nie udać na przykład przy mokrym lub zabrudzonym palcu, słabym oświetleniu albo zmianie wyglądu twarzy. Wtedy potrzebny bywa PIN, kod lub dodatkowe potwierdzenie.
W rezultacie autoryzacja biometryczna łączy szybkość z lokalnym przetwarzaniem danych. Jej działanie nie polega na wysłaniu do banku zdjęcia użytkownika, lecz na bezpiecznym dopasowaniu wzorca i przekazaniu wyniku tego dopasowania. To właśnie ta różnica decyduje o technicznym modelu prywatności rozwiązania.
