Закроют личико: биометрию россиян защитят от утечек и подмены
В «Ростелекоме», который выступает оператором единой биометрической системы (ЕБС), нашли способ защитить слепки лица и голоса россиян от утечек с помощью криптографического модуля, рассказали «Известиям» в компании. Это актуально в период активного внедрения идентификации в банковских приложениях по биометрии — функционал должен быть реализован к 1 января 2022 года. К готовящейся технологии уже проявили интерес крупнейшие кредитные организации, узнали «Известия». Недостаточная защита такой чувствительной информации грозит утечкой данных или мошенничеством с подменой слепков, опасаются эксперты.
Криптозащита
По требованиям ЦБ к 1 января 2022 года банки с универсальной лицензией, у которых есть приложения для работы с физлицами, должны реализовать открытие счетов по биометрии. Если гражданин ранее сдавал слепки лица и голоса в ЕБС, он сможет стать клиентом любой кредитной организации без посещения офиса.
Реализовать функционал можно с помощью отдельного приложения «Биометрия», которое уже защищено по всем требованиям регуляторов, пояснили «Известиям» в «Ростелекоме». Его представитель подчеркнул, что это наиболее простое с точки зрения запуска решение, однако пользователю для открытия счета придется установить на смартфон сразу две программы: приложение ЕБС и банка, услугами которого он хочет воспользоваться.
Другой вариант — встраивание идентификации по биометрии непосредственно в приложение кредитной организации, но в этом случае придется сертифицировать собственное решение по информационной безопасности, разъяснили в «Ростелекоме». Этот путь может занять несколько лет, он достаточно дорогой и трудозатратный. Чтобы облегчить задачу, компания разрабатывает отдельный криптографический модуль для защиты биометрии.
— Банк сможет реализовать сервис удаленной идентификации в своем ПО без необходимости сертифицировать приложение банка. Клиенту, в свою очередь, не придется скачивать на смартфон утилиту ЕБС. В ближайшее время планируется начать пилотные проекты по внедрению модуля в банках, в продажу решение поступит до конца 2021 года, — заявили в «Ростелекоме».
Криптомодуль обеспечивает безопасность канала связи, чтобы мошенники не могли перехватить слепки лица и голоса: он защищает биометрию от утечки и от подмены во время передачи данных. Кроме того, технология проверяет, что приложение не было взломано и злоумышленники не пытаются пройти идентификацию вместо пользователя.
ЕБС заработала в России в июле 2018 года. Сдать туда слепки лица и голоса можно более чем в 13 тыс. отделений около 230 банков. На январь 2020 года, по подсчетам ЦБ, в базе хранилось только 160 тыс. образцов.
В работе пилотной группы по внедрению криптографического модуля безопасности принимают участие Росбанк и Ак Барс Банк, а также вендор по дистанционному обслуживанию Абсолют Банка, рассказали «Известиям» их представители.
— Поскольку криптомодуль будет готов, скорее всего, к концу года, то Абсолют Банк первоначально рассматривает для подключения приложение ЕБС как наиболее быстрый и наименее затратный способ выполнить требование регулятора. Когда решение будет готово, мы заменим им приложение «Биометрия» или оба пути будут работать параллельно, — сообщил директор департамента розничных продуктов Виталий Костюкевич.
Решение для крупных
Аналогичного подхода придерживаются в ОТП-банке: приоритетным остается сценарий встраивания модуля биометрии непосредственно в контур мобильного приложения для улучшения клиентского опыта, но вопрос в сроках реализации этого проекта. К варианту открытия счетов через собственное ПО также склоняются в «Открытии» и «Дом.РФ». Для обеспечения безопасности кредитные организации рассматривают решение оператора ЕБС.
В ВТБ, Почта Банке и ПСБ, которые уже запустили открытие счетов онлайн по слепкам лица и голоса, идентификация проходит через единое приложение «Биометрия», рассказали «Известиям» в этих банках. Такой вариант также рассматривает крымский РНКБ.
Биометрическая идентификация несет риск подделки данных с использованием фотографий человека из открытых ресурсов — с помощью нейронных сетей мошенники могут сгенерировать подходящий биометрический слепок, рассказал «Известиям» замдиректора департамента аудита Digital Security Александр Романов. По его словам, источником проблем также может служить человеческий фактор: при заведении слепка клиента в ЕБС оператор может, например, ошибиться в формировании шаблона.
Пока в России осведомлены об уязвимостях биометрических систем и невозможности полного перехода на них в условиях постоянных нарушений информационной безопасности, отметил директор по развитию бизнеса IT-компании КРОК в коммерческих банках Александр Филиппов. По его оценкам, срок в один год достаточен для подключения к ЕБС любого банка, даже небольшого — с ограниченными финансовыми и технологическими ресурсами.
Небольшие финансовые организации могут нарушить сроки подключения, но это коснется меньшинства клиентов — не более 10%, поскольку основной потребительский спрос сконцентрирован в крупнейших организациях, оценил руководитель направления исследований Центра исследования финансовых технологий и цифровой экономики Сколково–РЭШ Егор Кривошея.
— Крупные же банки, в которых есть риски, связанные со скоростью интеграции сторонних решений, с утечкой интеллектуальной собственности или необходимостью совершения дополнительных действий со стороны клиента, скорее всего, предпочтут вариант с открытием счета через собственное приложение, тогда криптографический модуль станет необходимым решением для защиты, — подчеркнул эксперт.
В ЦБ оперативно не ответили на запрос «Известий» о рекомендациях по безопасной интеграции ЕБС в мобильные приложения банков.
