Biometrie - am besten mit der Handvene
Da wir als Unternehmen Authentifizierungslösungen mit der Handvenenbiometrie anbieten und davon überzeugt sind, werden wir häufig mit folgenden Fragen konfrontiert:
Wozu überhaupt biometrische Verfahren zur Authentifizierung?
Warum bietet die secobit GmbH nur Handvenenbiometrie an und kein anderes biometrisches Verfahren?
Was mache ich, wenn biometrische Information, die ich ja kaum ändern kann, in falsche Hände gerät?
In diesem Beitrag möchte ich diese Fragen kurz beantworten. Künftig werden wir biometrische Authentifizierung in unserem BLOG ausführlicher behandeln.
Lassen Sie uns sehen, was das Bundesamt für Sicherheit in der IT (BSI) zur Biometrie sagt:
Ziel einer biometrischen Erkennung ist stets, die Identität einer Person zu ermitteln (Identifikation) oder die behauptete Identität zu bestätigen oder zu widerlegen (Verifikation). Berechtigte Personen sollen also z. B. von unberechtigten Personen getrennt werden. Authentizität … ist eines der herausragenden Sicherheitsziele im informationstechnologischen Zusammenhang. … Denn während bei Wissen ein künstlich generierter Code wie eine Geheimzahl oder ein Passwort sowie bei Besitz ein Element wie eine Karte nur mittelbar durch eine gewollte Zuweisung einer bestimmten Person temporär zugeordnet wird, sind Seins-Merkmale wie körperliche Eigenschaften oder Verhaltensweisen unmittelbar und – sofern für die Biometrie von Bedeutung – in der Regel dauerhaft an eine Person gebunden. Eine (beabsichtigte oder unfreiwillige) Trennung von der Person kann grundsätzlich nicht stattfinden (Quelle: BSI).
Wozu überhaupt biometrische Verfahren zur Authentifizierung?
Folgen wir dem BSI, dann „sollen berechtigte Personen also z. B. von unberechtigten Personen getrennt werden“.
Wir können uns durch drei prinzipielle Arten authentifizieren:
Durch Wissen: Ich habe ein Passwort, das kenne nur ich.
Durch Besitz: Meinen Ausweis, meine Kreditkarte, mein Smartphone habe nur ich.
Durch Seins-Merkmale: Körper- und Verhaltensmerkmale, die nur ich so habe. Dies bezeichnet man als Biometrie.
Die wichtigsten Vorteile der Biometrie liegen auf der Hand:
Ich muss mir nichts merken (das ich mir dann doch aufschreibe, um es nicht zu vergessen)
Ich muss keine Smartkarte, RFID-Tag, Schlüsselkarte, … mit mir rumschleppen (was ich verlieren oder leicht vergessen kann).
Ich kann sehr einfach ultralange, sichere Datenschlüssel generieren, z.B. für meinen Passwortsafe.
Ich kann es nicht weitergeben (und damit kann sich ein anderer an meiner statt ausgeben)
Es ist am besten mit meiner Person verbunden und identifiziert als einzige der 3 Möglichkeiten unmittelbar mich.
Biometrie erlaubt mir somit hohe Sicherheit mit Benutzerkomfort zu verbinden. Wenn wir ferner wissen wollen, welcher Mensch wo Zutritt (zu Räumen), Zugang (zu Systemen) oder Zugriff (auf Daten) hatte, kommen wir an der Biometrie nicht vorbei.
Warum bietet die secobit GmbH nur Handvenenbiometrie an und kein anderes biometrisches Verfahren?
Bisher sprachen wir vor allem über die Vorteile der Biometrie. Und wie immer gibt es auch Nachteile:
Wenn jemand mein Verhalten imitieren kann oder Körpermerkmale nachmachen kann, dann kann er sich für mich ausgeben.
Da das Merkmal mit mir untrennbar verbunden ist, kann ich dies nicht einfach tauschen, wie z.B. eine Chipkarte.
Biometrische Daten sind zudem aus Datenschutz-Gesichtspunkten (DSGVO Art. 4, Ziffer 14) besonders schützenswert.
Wenn wir nun geeignete biometrische Verfahren suchen, müssen wir uns dies immer vergegenwärtigen. Wir benötigen also eine Biometrie, die eindeutig (möglichst einmalig auf der Welt), langlebig (ändert sich nicht alle Jahre), gut messbar (kurze Messvorgänge, günstige Messgeräte), preiswert in der Anschaffung, robust im Betrieb und günstig in der Administration ist. Vor allem muss sie aber effektiv bezüglich der Informationssicherheit sein.
Für erhöhte Sicherheit ist es natürlich immer eine gute Idee, verschiedene Authentifizierungsmethoden zu kombinieren.
Betrachten wir einige biometrische Technologien:
Fingerabdruck: Fingerabdrücke sind bekannterweise leicht nachzumachen und dies obwohl heute zusätzliche Attribute überprüft werden. Wir hinterlassen überall Fingerabdrücke, die dazu verwendet werden können, Basis kann heute bereits ein Foto sein. Die Sensoren sind breit verfügbar und heute in vielen Geräten standardmäßig verbaut. Der Fingerabdruck bietet leider nur niedrige Sicherheit und sollte nicht ohne ein weiteres Verfahren eingesetzt werden.
Iris-Scan: Es werden über 250 Merkmale der Iris überprüft. Der Iris-Scan ist wesentlich sicherer als der Fingerabdruck. Da das Abtasten unseres Auges durch den Laser kein natürlicher Vorgang ist und wir zudem unseren „Augapfel“ besonders hüten ist die Akzeptanz sehr niedrig. Die bisher angewandten Verfahren konnten in kurzer Zeit überlistet werden, z.B. mit Foto der Iris + Kontaktline + Feuchtigkeit. Da Fotos der Iris einfach gemacht werden können, halten wir die Iriserkennung nur in speziellen Einsatzszenarien für brauchbar.
Gesichtserkennung oder auch Stimmerkennung: Hier gilt Ähnliches wie beim Fingerabdruck. Gesichtserkennung eignet sich vielleicht, wenn ich in einem Sicherheitsbereich, einzelne Zutrittsstellen überwachen möchte. Besonders die Stimme kann einfach nachgemacht werden, auch in modifizierter Form.
Tipp-Verhalten, Mausbewegungen, Gangverhalten, Augenbewegungen …: Dies sind interessante Ansätze, zurzeit sehen wir dies noch nicht ausgereift für Authentifizierung an.
DNA: Sicher, wenn ich die Verwendung von „Konserven“ ausschließen kann, aber heute noch mit einem sehr hohen Aufwand verbunden.
Fingervene: Alternative zur Handvene (anderer Hersteller), die nicht ganz so sicher und komfortabel ist, was in der Anzahl und Struktur der Fingervenen begründet ist.
Handvene: Bei den Handvenen handelt es sich um ein verdecktes Merkmal der komplexen aber gut lesbare Handvenen-Strukturen. Das Verfahren verfügt über eine Lebenderkennung und ist weltweit bewährt. Bislang konnte für das von uns verwendetet Verfahren keine funktionsfähige Hand nachgebaut werden. Das Verfahren hat hohe Benutzerakzeptanz, da es berührungslos realisiert werden kann und da das „Hantieren“ ein gewohnter Vorgang ist.
Abbildung 1:
Genauigkeit-Praktikabilitäts- Diagramm illustriert unsere Einschätzung qualitativ.
Abbildung 2:
Zwei wichtige Größen sind
FRR (Anzahl der Ablehnungen, obwohl es sich um die richtige Person handelt) und
FAR (Akzeptieren, obwohl es die falsche Person ist).
Nebenstehende Tabelle zeigt die Werte für unterschiedliche Verfahren
(Quelle: Fujitsu, 2019).
Wir setzen die Messlatte an biometrische Verfahren sehr hoch: Top Sicherheit, gute Benutzerakzeptanz, hoher Replay-Schutz; keine Preisgabe biometrischer Information; verdecktes Merkmal, natürliche Bedienung und einfache Administrierbarkeit und Bewährung mit einer Vielzahl an unterschiedlichste Installationen. Diese Anforderungen werden nur durch die Venentechnologie erfüllt.
Was mache ich, wenn biometrische Information, die ich ja kaum ändern kann, in falsche Hände gerät?
Dies ist in der Tat eine große Gefahr beziehungsweise ein hohes Risiko, insbesondere, wenn die Biometrie einfach nachgemacht werden kann. Bei Fingerabdruck, Gesicht, Stimme, selbst bei der Iris ist dies heute einfach möglich. Diese Merkmale können auch am Körper kaum geschützt werden und können so in falsche Hände gelangen. Zunehmend werden diese auch von Smartphone-Herstellern zentral abgelegt und unterliegen damit dem Sicherheitslevel dieser Dienste.
Zum Glück verhält es sich bei der Venentechnologie anders:
Bei der Handvene wird bereits im Sensor aus bis zu 50 Mio. Messpunkten ein biometrisches Template generiert und von dort verschlüsselt übertragen. Die eingesetzten Zertifikate können bei Bedarf durch einen kundenspezifischen Schlüssel ergänzt werden. Das Template wird nochmals verschlüsselt abgespeichert. Es ist quasi der öffentliche Schlüssel. Jede neue Lesung führt zu einem anderen Template. Der Weg zurück vom Template zur Handvenenstruktur ist nicht möglich. Das heißt: Das Template nützt niemanden etwas ohne die wirkliche Hand.
Daneben sollten Sie natürlich alles daran setzen, dass Ihre Daten ausreichend geschützt sind.
Ein Ausblick zum Schluss
Warum dann überhaupt Biometrie, wenn es so viele Risken gibt? Zutritt ins Haus ohne Schlüssel, ohne Schlüsselkarte, das hat was. Passwörter mit hunderten von Zeichen, die ich mir nicht merken muss, das hat auch was. Meine digitale Identität über die physische Identität abzusichern, das hat was. Gute Biometrie hat einfach was!
Wir glauben es wird immer wichtiger, dass wichtige Vorgänge über Personenmerkmale abgesichert werden, dafür eignen sicher aber nur Merkmale, die nicht leicht nachgemacht werden können. Wir sind gespannt, welche Technologien künftig noch erscheinen werden. Bis dahin ist unser Favorit die Handvene.
Falls Sie an der Handvenentechnologie interessiert sind, würden wir uns über eine Rückmeldung oder Ihre Fragen freuen. Richten Sie diese bitte an info@secobit, Stichwort: Handvene.
Weitere Informationen zur Biometrie finden Sie unter
