Bezpieczeństwo instytucji finansowej: Biometryczne uwierzytelnianie transakcji w technologii Finger Vein

Jacek Koszel

Polska ma szansę zostać pionierem tego rozwiązania w Europie. Już w marcu 2010 r. zostaną uruchomione pierwsze w Polsce i w całej Europie bankomaty biometryczne – w Banku BPS oraz w Podkarpackim Banku Spółdzielczym w Sanoku. W kolejce jest już kilka następnych banków i wszystko wskazuje na to, że do połowy 2010 r. firma Wincor Nixdorf dostarczy i uruchomi w Polsce co najmniej 10 bankomatów biometrycznych. Na koniec 2010 r. około 200 bankomatów będzie autoryzować transakcje biometrycznie.

Wzrost przestępczości związanej z kradzieżą danych wymaga stosowania coraz bardziej zaawansowanych metod uwierzytelniania. Przeważająca większość zainstalowanych obecnie na świecie bankomatów (97,3 proc. wg danych FSA Japan w porównaniu do RBR Raport) wykorzystuje uwierzytelnianie transakcji przez numer PIN. Pełni on rolę uwierzytelniającą zarówno w przypadku kart z paskiem magnetycznym, jak i inteligentnych kart chinowych, które również mają pasek magnetyczny (karty hybrydowe). Jednak jak powszechnie wiadomo, karta taka może zostać skradziona albo zeskimowana (skopiowana) za pomocą odpowiednich urządzeń i ponownie użyta już w nieautoryzowany sposób.

Biometryczne uwierzytelnianie transakcji sprawia, że kradzież karty lub danych z karty staje się bezcelowa. Zabezpieczenie takie może być zastosowane np. w przypadku użycia nowoczesnych multiaplikacyjnych kart z chipem (MULTOS). Pobrany przez bankomat skan biometryczny porównywany jest wówczas przez kartę z zapisanym na niej wzorcem. Kradzież tego rodzaju informacji, jak i nieautoryzowane jej użycie jest niemożliwe, gdyż obraz ten przechowywany jest w zaszyfrowanej formie. Poza tym jest on sam z siebie bezużyteczny – stanowi jedynie materiał porównawczy. Oczywiście bankomaty uwierzytelniające transakcje biometrycznie w przypadku użycia tradycyjnych kart wymagać będą jedynie podania kodu PIN.

Poza wymienionym modelem porównania skanów biometrycznych na karcie (match on card) może się ono odbyć na samym czytniku (match on device). W tej sytuacji zaszyfrowany wzór biometryczny pobierany jest z serwera, po uprzedniej rejestracji klienta w banku. Następnie porównywany jest ze skanem pobranym przez bankomat podczas transakcji. Jeśli oba skany pasują do siebie, wypłata dochodzi do skutku. Taki model wykorzystany zostanie do wypłat ...