Biometriske datalæk: Den permanente risiko ved stjålne fingeraftryk

Hvad gør du, når dit mest personlige kodeord bliver lækket, men du umuligt kan ændre det? Dette er den uhyggelige virkelighed ved biometriske datalæk. I en tid hvor smart-enheder som fitness-trackere, digitale dørlåse og smartphones i stigende grad erstatte traditionelle passwords med dit fingeraftryk eller ansigtsgenkendelse, er indsatsen tårnhøj. Hvis en hacker stjæler dit kodeord, nulstiller du det på to minutter. Men hvis en ondsindet aktør får fat i de digitale skabeloner af dine kropslige træk, er den digitale identitet kompromitteret for livstid.

Fra kodeord til krop: Hvorfor biometriske data er anderledes

Traditionel digital sikkerhed bygger på noget, du ved – et kodeord eller en PIN-kode. Biometri bygger derimod på noget, du er. Denne overgang har gjort hverdagen utroligt bekvem. Et hurtigt tryk med tommerfingeren låser gadedøren op, og et hurtigt blik på skærmen godkender bankoverførslen. Men bekvemmeligheden dækker over en fundamental ukendt risiko.

Når et klassisk datalæk rammer en tjeneste, rådes brugerne til straks at skifte deres adgangskode. Det er en irriterende, men overskuelig proces. Ved et alvorligt biometriske datalæk findes der ingen 'nulstil'-knap. Du har kun ti fingeraftryk og ét ansigt. Bliver disse data først lækket og afkodet, er de i omløb for altid.

Du kan ændre et kompromitteret password på ti sekunder, men du kan aldrig skifte dine fingeraftryk.

Fitness-trackere og smarte låse: Det svageste led i kæden

Apple og Google har brugt milliarder af kroner på at udvikle dedikerede sikkerhedschips som Secure Enclave til smartphones. Her gemmes de biometriske data lokalt på enheden i krypteret form og forlader aldrig chippen. Problemet opstår, når biometri flytter over i billigere IoT-enheder som smarte dørlåse, hængelåse og fitness-trackere.

Hvorfor mindre enheder udgør en enorm risiko

• Mangel på dedikeret hardware: Mange billige smart-enheder mangler isolerede sikkerhedskredsløb og gemmer data utilstrækkeligt.
• Sky-synkronisering: Nogle producenter uploader de biometriske skabeloner til cloud-servere for at synkronisere på tværs af apps, hvilket skaber et centralt mål for hackere.
• Manglende opdateringer: Smarte enheder i hjemmet modtager sjældent sikkerhedsopdateringer i samme omfang som moderne mobiltelefoner.

Hvordan biometriske skabeloner misbruges

Mange tror fejlagtigt, at scannerne gemmer et faktisk billede af fingeraftrykket. I virkeligheden omdannes de unikke mønstre til en matematisk kode – en såkaldt biometrisk skabelon. Hackerne behøver dog slet ikke det originale billede. Med avancerede algoritmer og 3D-printteknologi kan sofistikerede IT-kriminelle genskabe fysiske fingeraftryk ud fra disse matematiske data.

Resultatet er syntetiske identiteter, der kan narre alt fra biometriske dørlåse til grænsekontrol og finansielle applikationer. Et enkelt omfattende biometriske datalæk fra en uagtsom producent af fitness-udstyr kan dermed få konsekvenser for din personlige sikkerhed i årtier fremover.

Fremtidens digitale sikkerhed kræver bedre beskyttelse

For at imødegå denne støt stigende trussel arbejder cybersikkerhedsforskere på nyere teknologier som 'annullérbar biometri', hvor data transformeres på en måde, så de kan tilbagetrækkes hvis de lækkes. Indtil denne teknologi bliver standard i forbrugerelektronik, bør man overveje nøje, hvilke enheder man betror sine kropslige data til.

Hvilke tanker gør du dig om at bruge dit fingeraftryk eller ansigt til smarte dørlåse og gadgets? Del gerne dine erfaringer og holdninger i kommentarsporet herunder.