Che cos’è l’Autenticazione Biometrica Comportamentale

L’Unione Europea ha introdotto la Strong Customer Authentication (SCA) nell’ambito della PSD2  che è in vigore dal gennaio 2018.

In sostanza, nell’ambito della autenticazione solitamente utilizzata per i pagamenti online, la UE richiede di utilizzare almeno due fattori di sicurezza e tipicamente questo sistema è noto come autenticazione forte (Strong Authentication n.d.r.). Si ricorda che esistono tre tipi di fattori che possono essere impiegati: Il fattore legato alla conoscenza (un’informazione che si conosce), come una password o un codice PIN. Il fattore legato al possesso (qualcosa che si possiede), come una smart card o un telefono cellulare e il fattore biometrico (qualcosa che fa parte di sè), come un’impronta digitale.

Vantaggi e svantaggi dei tre fattori

Ognuno ha vantaggi e svantaggi: la conoscenza è attualmente la forma di autenticazione più comunemente usata, ma è anche vulnerabile perché può essere acquisita fraudolentemente, sottratta, condivisa o anche ottenuta attraverso l’osservazione diretta. Il possesso deve essere mantenuto dall’utente in ogni momento e comporta il rischio di perdita o furto. L’autenticazione biometrica (fisiologica) richiede che l’utente sia presente fisicamente. Questo metodo ha un grande potenziale, perché facile da usare e relativamente sicuro, ma deve far fronte alle stringenti normative e al rischio di spoofing con cui un criminale informatico può copiare i dati biometrici, falsificando l’identità, e ottenere un accesso non autorizzato. Per questo motivo sono state approfondite ricerche nel campo della biometria integrata all’intelligenza artificiale (AI) e al machine learning e si è arrivati all’autenticazione biometrica comportamentale, come trend futuro per aumentare la sicurezza degli accessi a informazioni sensibili.

Che cos’è l’autenticazione biometrica comportamentale

Per capirne meglio le caratteristiche e l’applicabilità ne abbiamo parlato con Wael Elloumi, ricercatore presso CTO/R&D/Trusted Services di Worldline (azienda di servizi di pagamento, per la quale equensWorldline offre anche servizi transazionali) che ha voluto introdurre una premessa: “Innanzitutto, vorrei chiarire che la biometria può essere utilizzata per due diversi scopi che sono l’identificazione e l’autenticazione. Nella modalità di autenticazione (o verifica), il sistema biometrico permette di verificare l’identità dell’utente. A tal fine, esso effettua un confronto a uno a uno del campione biometrico catturato con il modello specifico memorizzato nella banca dati biometrica. Se il campione biometrico corrisponde al template, significa che l’individuo è la persona che dichiara di essere. Nella modalità di identificazione, il sistema biometrico esegue un confronto uno a molti rispetto a un gruppo di utenti già salvati in una banca dati biometrica centralizzata, al fine di stabilire l’identità di un individuo sconosciuto. Sottolineo che, nel nostro caso, stiamo lavorando sulla biometria per l’autenticazione. Quindi, per tutte le mie risposte si parla dell’uso della biometria per lo stretto scopo dell’autenticazione.

L’intervista

In cosa consiste l’autenticazione biometrica comportamentale?

L’autenticazione biometrica comportamentale è la verifica automatica dell’identità di un individuo utilizzando la sua propria caratteristica comportamentale. La biometria comportamentale comprende l’analisi delle modalità che sono legate alla condotta di un individuo come la voce, l’andatura, la dinamica della battuta dei tasti, la dinamica della firma, i gesti. L’autenticazione biometrica comportamentale a cui stiamo lavorando fornisce un modo affidabile per stabilire l’identità delle persone in base al modo unico in cui interagiscono con i loro dispositivi: smartphone, tablet, PC e laptop. Ci basiamo sulle caratteristiche comportamentali che rappresentano modelli di attività umana: pressione dei tasti, pulizia, scorrimento, pressione tattile, superficie tattile, movimento tattile, modo in cui lo smartphone viene tenuto, ecc. Questo tipo di autenticazione biometrica comportamentale è utilizzabile in vari tipi di applicazioni, perché risponde ad esigenze di sicurezza, di esperienza dell’utente e di basso costo.

Come e perché rende la vita difficile agli attaccanti?

A differenza dell’autenticazione biometrica fisica (riconoscimento facciale, impronta digitale, ecc.), l’autenticazione biometrica comportamentale si basa su modelli di attività umana praticamente impossibili da falsificare o duplicare. Inoltre, essa consente un’autenticazione continua e passiva. Ciò significa che le caratteristiche comportamentali vengono continuamente acquisite e confrontate con il profilo esistente dell’utente e durante tutta la sua sessione e non solo in fase di accesso.

Come è possibile acquisire queste informazioni sul comportamento utente continuando a rispettare la privacy e la normativa GDPR?

Prima di acquisire i modelli comportamentali, chiediamo esplicitamente all’utente il suo consenso. L’utente ha anche tutto il controllo dei suoi dati biometrici che non lasciano mai il suo dispositivo. Infatti, la registrazione, la memorizzazione e la corrispondenza dei modelli biometrici vengono effettuati sul dispositivo dell’utente. Proponiamo anche un’alternativa o una soluzione di ripiego basata su un codice PIN, da utilizzare se l’utente non accetta di utilizzare la sua biometria comportamentale o se l’autenticazione biometrica comportamentale non dovesse riuscire.

Come è possibile proteggere le informazioni sul dispositivo dell’utente per evitare che un’esfiltrazione di questi dati sensibili o dei dati associati al profilo, utente possa essere usata in modo malevolo?

Ci sono molti approcci per proteggere i dati biometrici sul dispositivo di un utente. Per un alto livello di protezione, proponiamo di utilizzare una soluzione basata su software e hardware: i dati biometrici originali estratti vengono prima trasformati in un modello (una rappresentazione matematica) e protetti utilizzando algoritmi dedicati come le tecniche biometriche cancellabili che si basano su una trasformazione dei dati biometrici grezzi. Successivamente, questo template biometrico di riferimento viene salvato nel TEE (Trusted Execution Environment), che è un ambiente di elaborazione sicuro presente sui dispositivi mobili, isolato dal Rich Execution Environment (REE). Il template biometrico non lascia mai il TEE, nemmeno per il matching. Un’altra alternativa per la protezione dei dati biometrici è l’utilizzo di un approccio distribuito con un match sul dispositivo. Per questo, il modello di riferimento biometrico è criptato, diviso in due parti, A e B, che vengono salvate tra il dispositivo utente (nel TEE) e il server. La perdita o la compromissione di una delle parti non comporta la compromissione del template completo. Il template di riferimento originale viene ricreato e abbinato al template di prova nel TEE sul dispositivo utente.

Come viene implementata nella vostra azienda la SCA?

I fattori di autenticazione sono suddivisi in tre gruppi. Poiché la Strong Customer Authentication (SCA) consiste nella combinazione di almeno due diversi fattori di autenticazione, nel nostro prodotto WL Trusted Authentication forniamo SCA ai nostri clienti combinando il fattore di conoscenza (codice PIN) e il fattore di possesso (il dispositivo utente) ma aggiungiamo anche il terzo tipo di fattori di autenticazione, che è la biometria. Siamo riusciti a migliorare la sicurezza dell’autenticazione basata su PIN sui dispositivi mobili aggiungendo un ulteriore livello di sicurezza trasparente e non intrusivo basato sul comportamento di BioTyping. La nostra soluzione raccoglie e analizza i modelli sulla base dei dati raccolti, che consistono nel tempo di battitura, nella pressione sullo schermo, nella superficie toccata sullo schermo e nel movimento fatto sullo schermo. In totale, sono stati raccolti 540 schemi che ritraggono le modalità con cui gli utenti digitano il codice PIN che sono successivamente stati utilizzati per costruire il profilo comportamentale. I risultati ottenuti hanno dimostrato che l’accuratezza media del nostro metodo è del 99,52%. Attraverso la nostra soluzione di autenticazione biometrica comportamentale miglioreremo la sicurezza del prodotto WL Trusted Authentication.

Questo tema è stato affrontato nell’ambito dei pagamenti digitali e, più nello specifico, del 3D Secure 2.0, il nuovo protocollo di autenticazione per i “pagamenti con carta di credito online basato su scelte di rischio”. Stiamo testando l’autenticazione biometrica comportamentale continua per prendere decisioni di rischio più accurate, raccogliendo fattori contestuali come la posizione, il dispositivo e il modello di rete e le diverse caratteristiche del comportamento dell’utente, la pressione applicata eseguendo azioni di swipe, di scroll e al tocco dello schermo. Al fine di identificare l’utente, le caratteristiche contestuali e comportamentali vengono continuamente confrontate con il profilo dell’utente. A seconda del punteggio di rischio (grado di rischio che chi tenta di accedere non sia davvero chi dice di essere n.d.r.), all’utente può essere chiesto di identificarsi con un secondo fattore di autenticazione. La nostra soluzione non interferisce con l’esperienza utente perché funziona passivamente, in background, e in modo trasparente all’utilizzatore.