Jak działa biometria w bankowości?
Biometria w bankowości to weryfikacja tożsamości na podstawie unikalnych cech fizycznych lub behawioralnych, takich jak odcisk palca, tęczówka, głos czy sposób pisania. Najważniejszy szczegół polega na tym, że system nie powinien opierać się na zwykłym zdjęciu palca lub nagraniu głosu, lecz na matematycznym wzorcu służącym do porównania kolejnej próby.
Czym jest biometria w bankowości?
Biometria mierzy cechy, które mogą pomóc rozpoznać konkretną osobę. W bankowości służy głównie do logowania, potwierdzania operacji, autoryzowania płatności oraz kontroli dostępu do rachunku. Zastępuje albo uzupełnia klasyczne metody, czyli hasło i PIN.
Zmienia się przy tym rodzaj potwierdzenia tożsamości. Hasło jest „czymś, co wiesz”, karta lub telefon – „czymś, co masz”, a odcisk palca czy charakterystyczny głos – „czymś, czym jesteś”. Biometria może być używana w aplikacji mobilnej, na terminalu, w bankomacie lub podczas kontaktu z bankiem na odległość.
Jakie metody biometryczne stosują banki?
Metody biometryczne dzielą się na fizyczne i behawioralne. Pierwsze analizują cechy ciała, drugie sposób wykonywania określonej czynności. Do najczęściej wykorzystywanych należą:
- odcisk palca
- obraz twarzy
- tęczówka oka
- układ naczyń krwionośnych w palcu lub dłoni
- głos, w tym jego cechy fizyczne i sposób mówienia
- podpis, sposób pisania, nacisk i tempo ruchów
- sposób korzystania z klawiatury, myszy lub ekranu dotykowego
- chód i charakterystyczny sposób poruszania się
Nie każda metoda pasuje do każdego kanału. Odcisk palca jest wygodny przy logowaniu do aplikacji, głos sprawdza się w obsłudze zdalnej, a układ naczyń palca może być używany w specjalnie wyposażonym bankomacie. Przykładowe zastosowania przedstawia tabela:
| Metoda | Typ | Główne zastosowanie |
|---|---|---|
| Odcisk palca | Fizyczna | Logowanie do aplikacji, autoryzacja płatności, karty biometryczne |
| Tęczówka oka | Fizyczna | Logowanie, płatności w specjalnych terminalach |
| Głos | Fizyczna i behawioralna | Obsługa telefoniczna, zdalna weryfikacja klienta |
| Układ naczyń krwionośnych | Fizyczna | Bankomaty i urządzenia dostępowe |
| Sposób pisania lub podpis | Behawioralna | Podpisywanie dokumentów i analiza tożsamości |
| Styl korzystania z urządzenia | Behawioralna | Stałe wykrywanie nietypowej aktywności w aplikacji |
Biometria głosowa ma tę cechę, że nie wymaga przyłożenia palca do czytnika. System może analizować głos podczas rozmowy, a także sprawdzać, czy próbka pochodzi z żywej wypowiedzi, a nie z odtworzonego nagrania. Z kolei technologie takie jak Finger Vein analizują wzór naczyń znajdujących się pod skórą, a nie tylko jej powierzchnię.
Czy bank przechowuje zdjęcie palca lub nagranie głosu?
Nie należy utożsamiać próbki biometrycznej ze wzorcem biometrycznym. Próbka to surowy materiał zebrany przez czytnik, na przykład obraz odcisku, obraz tęczówki albo fragment wypowiedzi. Wzorzec jest wynikiem analizy tej próbki przez algorytm. Zawiera wybrane cechy zapisane w postaci matematycznej, tak aby można było porównać je z kolejną próbą.
Proces tworzenia wzorca można przedstawić w czterech etapach:
- Pobranie próbki – czytnik rejestruje odcisk, tęczówkę, głos albo sposób wykonania czynności.
- Przetworzenie przez algorytm – system wydobywa cechy potrzebne do rozpoznania, odrzucając informacje zbędne dla weryfikacji.
- Zapisanie wzorca – wybrane cechy są zapisywane jako matematyczna reprezentacja, często określana skrótowo jako hash lub template.
- Usunięcie próbki – w rozwiązaniach zaprojektowanych zgodnie z zasadą minimalizacji surowy materiał nie jest przechowywany dłużej, niż wymaga tego proces.
Podczas logowania system pobiera nową próbkę i tworzy z niej drugi opis matematyczny. Następnie porównuje oba wzorce. Nie musi znaleźć dwóch identycznych plików, ponieważ wynik pomiaru może zmienić się nieznacznie przez ułożenie palca, oświetlenie, hałas, chrypkę lub jakość czytnika. Algorytm ocenia więc, czy podobieństwo mieści się w ustalonym zakresie.
Wzorzec nie jest tym samym co zdjęcie lub nagranie i zwykle nie pozwala odtworzyć oryginalnej próbki. Nie oznacza to jednak, że dane biometryczne są pozbawione ryzyka. Ich ochrona zależy od zabezpieczenia urządzenia, transmisji, bazy danych i całego procesu uwierzytelniania. W niektórych rozwiązaniach wzorzec może być przechowywany lokalnie, na przykład na karcie płatniczej lub w bezpiecznym module urządzenia, zamiast w centralnym systemie banku.
Jak biometria wpisuje się w SCA i bezpieczeństwo transakcji?
SCA, czyli Strong Customer Authentication, oznacza silne uwierzytelnianie klienta. W europejskich regulacjach dotyczących usług płatniczych, powiązanych z dyrektywą PSD2, opiera się ono na wykorzystaniu co najmniej dwóch niezależnych elementów z trzech kategorii:
- informacja znana klientowi – na przykład PIN lub hasło
- przedmiot posiadany przez klienta – na przykład telefon, karta lub urządzenie uwierzytelniające
- cecha klienta – na przykład odcisk palca, twarz, tęczówka lub głos
Biometria jest więc jednym z czynników SCA, a nie samodzielną definicją całego silnego uwierzytelniania. Bank może połączyć ją z urządzeniem, na którym działa aplikacja, albo zastosować ją jako element potwierdzenia konkretnej operacji. Przepisy przewidują też wyjątki i zwolnienia dla wybranych rodzajów transakcji, dlatego nie każda płatność wymaga identycznego procesu potwierdzenia.
Biometria nie jest nieomylna. System może odrzucić prawidłowego użytkownika, na przykład z powodu zabrudzonego czytnika, zmiany warunków nagrania lub problemu z rozpoznaniem twarzy. Istnieje też ryzyko fałszywego zaakceptowania próby, choć zabezpieczenia projektuje się tak, aby je ograniczać. Z tego powodu bank powinien zapewnić metodę awaryjną, najczęściej PIN, hasło lub dodatkową weryfikację.
Ostrożność jest potrzebna także dlatego, że cechy biometrycznej nie da się zmienić tak łatwo jak hasła. Utrata urządzenia nie oznacza automatycznie przejęcia rachunku, jeśli wzorzec jest chroniony lokalnie i wymagane jest dodatkowe zabezpieczenie. W razie podejrzenia nadużycia należy zablokować dostęp zgodnie z procedurą banku.
Biometria między wygodą a ochroną danych
Największą korzyścią jest szybkość. Odcisk palca może zastąpić wpisywanie hasła, głos pozwala przeprowadzić zdalną weryfikację, a rozwiązanie biometryczne na karcie może potwierdzić płatność bez przekazywania odcisku do terminala. Jednocześnie wygoda nie zwalnia banku z obowiązku ochrony danych i ograniczania zakresu informacji przechowywanych w systemie.
Przyszłość tej technologii prawdopodobnie będzie opierać się na łączeniu kilku sygnałów, na przykład cech twarzy, głosu i sposobu korzystania z urządzenia. Nie zmienia to podstawowej zasady: biometria ma ułatwiać potwierdzenie tożsamości, ale bezpieczeństwo zależy od całego systemu, a nie od samego czytnika.
