Posts tonen met het label biometrie. Alle posts tonen
Posts tonen met het label biometrie. Alle posts tonen

vrijdag 6 juni 2025

Van pantoffels naar biometrie

Afbeelding via Pixabay

Sommige verpleeghuizen gebruiken gezichtsherkenning om dementerende ouderen binnen te houden, berichtte het NOS Journaal een paar maanden geleden. Omdat ik altijd ‘aan’ sta als het om mogelijke onderwerpen voor deze blog gaat, heb ik dat toen genoteerd. En nu kom ik er eindelijk aan toe om uit te leggen waarom die rapportage mijn aandacht trok.

Gezichtsherkenning is een vorm van biometrie, net als bijvoorbeeld een vingerafdrukscan of stemherkenning. Biometrie betekent zoveel als ‘het meten van biologische kenmerken’. De techniek is gebaseerd op het feit dat ieder mens een aantal unieke kenmerken bezit. Op basis daarvan kun je iemand identificeren. En ter geruststelling: bij het toepassen van biometrie wordt niet je complete vingerafdruk of een foto van je gezicht opgeslagen. In plaats daarvan worden enkele specifieke eigenschappen vastgelegd, zoals de afstand tussen je ogen en andere verhoudingen. Bij het controleren of je ergens toegang hebt, wordt via een camera of scanner gecontroleerd of die eigenschappen terug te vinden zijn. Daarom werkt de vingerafdrukscan op je telefoon opeens minder goed als je flink aan het klussen bent geweest: je vinger is dan dermate opgeruwd dat de match niet kan worden gemaakt.

We gebruiken biometrie dus om ergens toegang toe te krijgen. Niet om géén toegang te krijgen. Maar dat is nou precies wat die verpleeghuizen wél doen. De buitendeur staat er gewoon open, maar als de camera iemand ziet aankomen die niet naar buiten mag omdat dat niet veilig is voor hem of haar, dan gaat de deur op slot. De verpleeghuizen vinden het geweldig: "Anders moeten we voor alle bewoners de deuren gesloten houden. Nu draaien we dat om: de deuren zijn open."

En wat als een gewiekste bewoner een snor opplakt, schoot het meteen door mijn hoofd. Of een zonnebril opzet. Grote kans dat hij dan niet wordt herkend en alsnog vrolijk naar buiten loopt. Nu weet ik niet of gewiekst en dement kunnen samengaan, maar ja, ik ben het aan mijn stand verplicht om ervan uit te gaan dat dingen mis kunnen gaan. Edward Murphy is mijn rolmodel (je weet wel, die van die wet: alles wat fout kán gaan, zál fout gaan). 

Wat we daar zien, is biometrie op z’n kop. Waarom wordt biometrie niet op de gebruikelijke manier toegepast? Iedereen die naar buiten mag, staat in het systeem. Wordt hij of zij herkend, dan zwaait de deur open. Komt iemand aansloffen die niet naar buiten mag en dus niet in het systeem staat, dan blijft de deur dicht. Je moet dan van goeden huize komen om het systeem te foppen.

Voordat die verpleeghuizen overstapten op biometrie, gebruikten ze polsbandjes of sensoren in de sloffen van hun cliënten. Ook toen al werkten ze met open deuren, die voor sommigen op slot gingen. Maar daar kon je natuurlijk gemakkelijk omheen werken: sloffen uit en hoppa, je stond buiten. En een beetje gefrummel aan zo’n polsbandje bleek ook al te werken. Overigens heeft de overstap naar biometrie een dubbel gezicht: enerzijds werkt een voor iedereen zichtbaar bandje stigmatiserend, anderzijds maakt de nauwelijks zichtbare biometrie het lastig om in verzet te komen – een recht dat óók dementerenden hebben.

Een verpleeghuis is geen gevangenis. Alleen bewoners, waarvoor het vanwege hun staat niet veilig is om alleen naar buiten te gaan, worden – met toestemming van henzelf of hun vertegenwoordiger – binnengehouden. Bezoekers zijn welkom en moeten vrijelijk in en uit kunnen lopen. Open deuren geven een ontspannen gevoel, en dragen daarmee bij aan een waardig bestaan. Vanuit die invalshoek begrijp ik de omgekeerde werkwijze, en ik kan me voorstellen dat er niet heel veel cliënten zullen zijn die het systeem weten te hacken. Voor de meeste andere toepassing houd ik echter graag vast aan biometrie zoals zij bedoeld is.

 

En in de grote boze buitenwereld …

vrijdag 22 november 2024

Kijk me aan

Afbeelding via Pixabay

Hoe ontgrendel jij je mobiel, tablet of laptop? Met een wachtwoord, een pincode, je vingerafdruk of misschien zelfs met je gezicht? Er zijn legio mogelijkheden en je kon dan ook wachten op de vraag of gezichtsherkenning wel veilig is. Een paar jaar geleden was mijn antwoord: op zakelijke toestellen zou ik het niet gebruiken, privé lijkt me geen probleem – tenminste, als je een beetje een normaal leven hebt. Maar klopt die stelling wel? Tijd voor wat onderzoek, zodat jij er niet zelf in hoeft te duiken.

Gezichtsherkenning is een vorm van biometrische identificatie, waarbij unieke kenmerken van je lichaam worden vergeleken met een opgeslagen patroon. Andere vormen van biometrie zijn bijvoorbeeld de vingerafdruk- en handpalmscan, de irisscan en stemherkenning. Deze technieken werken anders dan de goede oude vingerafdrukken die je kent van de politie, waarbij met geïnkte vingers een afdruk op papier wordt gemaakt die dan vergeleken wordt met de afdrukken die de inbreker op het raam heeft achtergelaten. In plaats daarvan wordt de scan vertaald in een biometrisch profiel, waarbij onder andere wordt gekeken naar de afstand tussen je ogen, de afstand tussen neus en mond, de vorm van je jukbeenderen en de afmetingen van je gezicht. Geavanceerdere systemen maken een 3D-scan en gebruiken infraroodbeelden, waardoor het profiel nauwkeuriger wordt. Nog beter wordt het als technologie wordt gebruikt om te controleren of de camera naar een levende persoon kijkt. Bij het ontgrendelen worden de dan waargenomen kenmerken vergeleken met het opgeslagen profiel. Het is dus niet zo dat foto’s van toen en nu met elkaar worden vergeleken.

Ik heb vanochtend een stoet aan artikelen over dit onderwerp gelezen, en het antwoord op de vraag of gezichtsherkenning een veilige methode is om je apparaat te ontgrendelen blijkt te zijn: het hangt ervan af om welk apparaat het gaat. FaceID van Apple maakt vanaf de iPhone X gebruik van de geavanceerdere technieken die ik hierboven beschreef en wordt daardoor als veilig beschouwd. Voor Android-toestellen geldt een ander verhaal, zo ontdekte de Consumentenbond. Die herhaalde in 2023 zijn onderzoek van vier jaar eerder en moest concluderen dat er weinig was veranderd: nog steeds konden ze 43% van de onderzochte toestellen voor de gek houden met een foto. Het gaat dan vooral om toestellen aan de onderkant en in het midden van de prijslijst, hoewel ook een paar duurdere toestellen door de mand vielen. Bijna alle Samsung-toestellen deden het goed.

Op Windows-pc’s is Windows Hello beschikbaar. Dat maakt gebruik van infraroodcamera’s om een 3D-scan van je gezicht te maken. Het systeem kan ook checken of het naar een levend wezen zit te kijken, waardoor je het niet gemakkelijk kunt foppen met een foto. Beschikt je computer niet over de benodigde camera’s, dan is gezichtsherkenning niet beschikbaar.

Natuurlijk heb ik de proef op de som genomen en mijn privé-telefoon naar een foto op mijn beeldscherm laten kijken. En vervolgens heb ik gezichtsherkenning op dat toestel gauw uitgeschakeld… De vingerafdrukscanner blijf ik wel gebruiken, want dat is veiliger dan een pincode omdat die kan worden afgekeken. En waar je gezichtsherkenning vaak met een foto kunt foppen, is dat met een vingerafdruk vele malen moeilijker. Sommige Android-toestellen hebben nog patroonherkenning, waarbij je met je vinger een patroon tekent op een raster van negen punten. Het gebruik daarvan wordt zo’n beetje unaniem afgeraden, omdat iemand die over je schouder meekijkt dat patroon heel gemakkelijk kan onthouden. Bovendien verraden vetsporen op het scherm ook het nodige.

Tijdens de research voor deze blog is mij iets opgevallen. Ik heb gezocht op “gezichtsherkenning veilig” en op “face recognition safe”. De Nederlandstalige artikelen gaven goed antwoord op de vraag die ik had, terwijl de Engelstalige artikelen vooral ingingen op het privacy-aspect van gezichtsherkenning: voor welke doelen is deze technologie allemaal te misbruiken? Privacy speelt met name een rol wanneer biometrische gegevens in databases worden opgeslagen. En weer zien we die Chinees bij rood oversteken en een paar dagen later per post een bekeuring ontvangen. Maar ook criminelen zijn geïnteresseerd in technologie waarmee je op basis van een (heimelijk genomen) foto informatie over iemand kunt vergaren. En ten slotte vrezen nogal wat mensen dat de politie hun telefoon wel heel gemakkelijk kan ontgrendelen – je kunt je gezicht nu eenmaal niet uitzetten (net zo min als vingerafdrukken overigens). Terwijl je wel kunt weigeren om je pincode af te staan.

Volgende week verschijnt er geen Security (b)log.

 

En in de grote boze buitenwereld …

 

 

vrijdag 7 oktober 2022

De geschiedenis van de sleutel

 

Afbeelding via Pixabay

Je fiets, je auto en je huis hebben één ding gemeen: er zit een slot op. En bij al die sloten horen sleutels. Sloten hebben een lange geschiedenis – naar het schijnt bestaan ze al meer dan zesduizend jaar. Door de eeuwen heen dienden al die sloten hetzelfde doel: binnenlaten wie naar binnen mag, de rest buitensluiten.

Er zijn ook altijd mensen geweest die tóch ergens naar binnen wilden waar ze niet naar binnen mochten. De meesten halen hun schouders op en denken “jammer dan”, maar sommigen proberen echt binnen te komen. Die mensen noemen we inbrekers. Ze hebben een heel scala aan mogelijkheden om de opgeworpen barrière te slechten, bijvoorbeeld gereedschap voor lockpicking (waarmee je cilindersloten kunt openpeuteren), de Poolse sleutel (in gebruik bij fietsendieven) en de aloude koevoet. Waarbij moet worden opgemerkt dat die laatste niet wordt gebruikt om het slot te openen, maar eromheen te werken.

En toen werd de computer uitgevonden. Al snel – in 1961 – bedacht men dat daar ook een slot op moest. Ik heb zelf nog pc’s gebruikt die een fysiek slot hadden, maar het wachtwoord is toch het meest gebruikte mechanisme. Het wachtwoord op zich was niet nieuw; reeds de oude Romeinen maakten er gebruik van, en ik herinner me van oude wildwestfilms dat iedereen, die het fort wilde betreden, bij de poort het wachtwoord moest noemen.

In die goede oude tijd hadden we één wachtwoord. Dat kon je gemakkelijk onthouden, al was het alleen maar omdat er nog geen eisen waren waaraan het moest voldoen. In de moderne tijden hebben we allemaal tientallen accounts, op het werk en privé, en de wachtwoorden daarvan moeten aan de soms meest verschrikkelijke eisen voldoen, die ook nog eens overal anders zijn. Zo kwam ik er gisteravond achter dat mijn bank wél een bijzonder karakter eist, maar dat dat geen accent circonflexe (^) mag zijn. En terwijl ik daar best een reden voor kan bedenken, vraag ik mij dan gelijk af waarom dit karakter elders wel mag worden gebruikt.

Ik heb het al eerder geschreven: wachtwoorden hebben hun langste tijd gehad. Niet alleen omdat we het beu zijn, maar vooral omdat ze (mede daardoor overigens) hun beveiligingswaarde verliezen. Ik durf wel te stellen dat iedereen, die geen password manager gebruikt, ofwel zijn wachtwoorden ergens opschrijft, ofwel zwakke wachtwoorden gebruikt (waar ik ook het gebruik van hetzelfde wachtwoord op verschillende plaatsen toe reken). Dat opschrijven hoeft overigens nog niet zo slecht te zijn, mits je het een beetje slim aanpakt. Een schrift met de titel “Al mijn wachtwoorden”, zoals negen jaar geleden op tv was te zien bij Ellen DeGeneres, is een minder goed idee. 

Biometrie is voor sommige toepassingen een mooi alternatief. Je telefoon ontgrendel je soepel met je vingerafdruk of met gezichtsherkenning. Zelfs vuurwapens worden ermee uitgerust (al is nog nooit zo’n smart gun verkocht, zegt Wikipedia). Er zijn ook robuustere – en dus duurdere – biometrische systemen die bijvoorbeeld je iris scannen, of je handpalm. Bij die laatste kan, behalve naar de vorm van je hand, ook worden gekeken naar het patroon van de aderen in de hand. Biometrie kan letterlijk diep gaan.

Een alternatief voor het inloggen bij websites is de FIDO-standaard (Fast Identity Online). Bij gebruik van FIDO registreer je je eenmalig bij een website. Vervolgens kun je er inloggen met behulp van je mobiele apparaat of je computer, waarbij je eventueel een FIDO USB-key gebruikt, die je alleen hoeft aan raken om in te kunnen loggen. Maar ondanks ronkende teksten op de website van de FIDO Alliance (“FIDO is widespread and growing fast!”), heb ik het nog nooit op een website gezien. Grote spelers als Google, Facebook en Dropbox zijn aangesloten, maar kennelijk niet voor Nederlandse gebruikers.

Veranderen is moeilijk, zo blijkt maar weer. Maar ooit zullen er mensen zijn die niet meer weten wat een wachtwoord is, net zoals er nu al miljoenen mensen rondlopen die de tijd zonder computer en smartphone niet hebben meegemaakt, of mensen die niet weten wat een floppy is. Tot die tijd: gebruik een password manager. En overal waar het kan twee/multifactorauthenticatie (2FA/MFA, ook wel tweestapsverificatie genoemd).

 

En in de grote boze buitenwereld …

 

vrijdag 31 januari 2020

Anti-biometrie


Er bestaat een extensie voor de Chrome-browser om biometrische herkenning aan de hand van je typgedrag tegen te gaan.

Wablief? Oké, ik ga ‘m even voor je ontleden. Webbrowsers van bijvoorbeeld Google (Chrome), Mozilla (Firefox) en Apple (Safari) bieden de mogelijkheid aan derden om extra functionaliteit aan de browser te geven. De programma’s, die deze extra functionaliteit bevatten, heten extensies of add-ons; uitbreidingen of toevoegingen in normaal Nederlands. Daar zijn er duizenden van en ze willen je helpen om bijvoorbeeld je bladwijzers te organiseren, het shoppen te vergemakkelijken (prijzen vergelijken, kortingscodes zoeken) of advertenties buiten de deur te houden (ad blockers). De categorie privacy en beveiliging van Firefox bevat op dit moment 2.174 extensies. Eén daarvan is de experimentele add-on behavioral-Keyboard-Privacy van onderzoeker Paul Moore. De add-on is drie jaar geleden voor het laatst bijgewerkt en heeft slechts 199 gebruikers. Maar daar gaat het niet om. Het gaat erom dat een dergelijke add-on überhaupt bestáát. Wat zit daar achter?

Vanuit de gedachte, dat wachtwoorden onvoldoende beveiliging bieden, of in ieder geval het gebruik van wachtwoorden als enig middel voor authenticatie, wordt er gezocht naar aanvullende of plaatsvervangende middelen. Dat zijn vaak biometrische middelen, zoals de vingerafdrukscanner en de gezichtsherkenning op je smartphone. Deze technologie is handiger en – mits goed geïmplementeerd – veiliger dan wachtwoorden, omdat zij gebruik maakt van unieke kenmerken van een persoon en niet afhankelijk is van diens intelligentie en beveiligingsbewustzijn.

Biometrie (Van Dale: het vast­stel­len van tel-, weeg- of meet­ba­re ei­gen­schap­pen van le­ven­de we­zens) heeft ook een schaduwkant. Je kunt er gebruik van maken om mensen te herkennen en zo hun gedrag en bewegingen te volgen. China hangt vol met camera’s met gezichtsherkenning. De weg oversteken bij rood licht levert je daardoor een boete op en je gezicht verschijnt op een groot scherm bij het kruispunt, bij wijze van naming & shaming.

Als je weet of denkt dat je wachtwoord is uitgelekt, dan wijzig je het. Daar zit ‘m het probleem bij biometrie: dat gaat daar niet. Vooruit, misschien kun je met een mesje of een rasp iets aan je vingerafdrukken doen, en je gezicht laten verbouwen is ook heel gangbaar – zij het meestal om esthetische redenen en niet omwille van je privacy. Bovendien is er voor de meeste mensen een grens aan het aantal keren dat ze een dergelijke behandeling willen ondergaan. Er zijn echter tal van biometrische technieken die niet kijken naar lichaamskenmerken, maar naar gedragskenmerken. En die kun je veel moeilijker ‘verbouwen’. Zo ben je bijvoorbeeld te herkennen aan de manier waarop je loopt, en aan je postuur. En aan je geur (honden zijn daar erg goed in). En aan de manier waarop je typt.

Op dat laatste haakt die add-on in. Herkenning op basis van typgedrag kijkt onder andere naar hoe lang je een toets indrukt, hoeveel tijd er tussen twee aanslagen in zit en hoe lang het duurt om bepaalde woorden te typen. En dat werkt verbazingwekkend snel en goed: het Zweedse bedrijf BehavioSec ontwikkelde een systeem dat na slechts 44 aanslagen bijna 100% herkenning gaf, met een betrouwbaarheid van 80%. Zo’n systeem kun je gebruiken voor nobele doelen, zoals het veilig laten inloggen van bankklanten, maar je kunt het ook gebruiken om mensen stiekem te herkennen. Om dat laatste tegen te gaan, verandert de add-on enkele kenmerken. De demo-website van BehavioSec scoort opeens maar nog 0,07% en het systeem heeft er 79% vertrouwen in dat de persoon achter het toetsenbord niet degene is die hij zegt te zijn, ondanks het juiste wachtwoord.

Er lijkt nog niet echt een markt te zijn voor dit soort biometrie-frustrerende middelen, maar ik verwacht dat dit een hoge vlucht zal nemen als meer mensen beseffen welke middelen er allemaal bestaan om hen te volgen. Vooral kwetsbare groepen, zoals mensenrechtenactivisten in totalitaire staten, zullen gebruik willen maken van dergelijke technologieën. Ad-blockers zijn nu al redelijk gemeengoed in de strijd tegen opdringerige adverteerders. Wellicht gaan we straks ook allemaal aan de anti-biometrie.

En in de grote boze buitenwereld …


... zet ook Moskou in op gezichtsherkenning.

… kun je ook last hebben van de Citrix-kwetsbaarheid als je zelf helemaal geen Citrix hebt.

... hebben onderzoekers nieuwe technologie voor optische encryptie ontwikkeld.

... moet je aan gebruikers van je gastennetwerk redelijk concreet vertellen hoe ze gemonitord worden.

... geeft deze site inzicht in boetes die onder de AVG zijn opgelegd.

... is het niet handig als een beveiligingsbedrijf klantgegevens doorverkoopt. Anti-virusproducent Avast deed het toch maar wist niet hoe gauw ze ermee moesten stoppen toen het uitkwam.

... deelt ook je deurbel meer informatie dan je lief is.

... kun je veel geld verdienen met het opsporen van kwetsbaarheden.

... omarmt Google het FIDO-protocol voor security keys en helpt daarmee tweefactorauthenticatie (2FA) een stap vooruit.

... gingen cybercriminelen ervandoor met de betaling voor een miljoenenschilderij.

... moet je bij het organiseren van een groot evenement ook rekening houden met cybersecurity.

... moest een met ransomware besmet Canadees verzekeringsbedrijf bijna een miljoen dollar losgeld betalen. Gelukkig waren ze verzekerd.

... waarschuwt een gratis webdienst bedrijven als een van hun medewerkers een phishing-mailtje heeft ontvangen.

... is Schiphol een van de weinige grote luchthavens die hun cybersecurity op orde hebben.

... houdt de Amerikaanse overheid haar Chinese drones aan de grond, uit angst voor spionage.

... hoef je geen geld uit te geven voor een goede virusscanner: het standaard met Windows meegeleverde Windows Defender komt in deze test als topper naar voren (en dat is niet voor het eerst).