Закроют личико: биометрию россиян защитят от утечек и подмены

Оператор ЕБС работает над криптографическим модулем для безопасной идентификации в банках по лицу и голосу
В "Ростелекоме", который выступает оператором единой биометрической системы (ЕБС), нашли способ защитить слепки лица и голоса россиян от утечек с помощью криптографического модуля, рассказали "Известиям" в компании. Это актуально в период активного внедрения идентификации в банковских приложениях по биометрии - функционал должен быть реализован к 1 января 2022 года. К готовящейся технологии уже проявили интерес крупнейшие кредитные организации, узнали "Известия". Недостаточная защита такой чувствительной информации грозит утечкой данных или мошенничеством с подменой слепков, опасаются эксперты.
Криптозащита
По требованиям ЦБ к 1 января 2022 года банки с универсальной лицензией, у которых есть приложения для работы с физлицами, должны реализовать открытие счетов по биометрии. Если гражданин ранее сдавал слепки лица и голоса в ЕБС, он сможет стать клиентом любой кредитной организации без посещения офиса.
Реализовать функционал можно с помощью отдельного приложения "Биометрия", которое уже защищено по всем требованиям регуляторов, пояснили "Известиям" в "Ростелекоме". Его представитель подчеркнул, что это наиболее простое с точки зрения запуска решение, однако пользователю для открытия счета придется установить на смартфон сразу две программы: приложение ЕБС и банка, услугами которого он хочет воспользоваться.
Другой вариант - встраивание идентификации по биометрии непосредственно в приложение кредитной организации, но в этом случае придется сертифицировать собственное решение по информационной безопасности, разъяснили в "Ростелекоме". Этот путь может занять несколько лет, он достаточно дорогой и трудозатратный. Чтобы облегчить задачу, компания разрабатывает отдельный криптографический модуль для защиты биометрии.
- Банк сможет реализовать сервис удаленной идентификации в своем ПО без необходимости сертифицировать приложение банка. Клиенту, в свою очередь, не придется скачивать на смартфон утилиту ЕБС. В ближайшее время планируется начать пилотные проекты по внедрению модуля в банках, в продажу решение поступит до конца 2021 года, - заявили в "Ростелекоме".
Криптомодуль обеспечивает безопасность канала связи, чтобы мошенники не могли перехватить слепки лица и голоса: он защищает биометрию от утечки и от подмены во время передачи данных. Кроме того, технология проверяет, что приложение не было взломано и злоумышленники не пытаются пройти идентификацию вместо пользователя.
СПРАВКА "ИЗВЕСТИЙ" ЕБС заработала в России в июле 2018 года. Сдать туда слепки лица и голоса можно более чем в 13 тыс. отделений около 230 банков. На январь 2020 года, по подсчетам ЦБ, в базе хранилось только 160 тыс. образцов.
В работе пилотной группы по внедрению криптографического модуля безопасности принимают участие Росбанк и Ак Барс Банк, а также вендор по дистанционному обслуживанию Абсолют Банка, рассказали "Известиям" их представители.
- Поскольку криптомодуль будет готов, скорее всего, к концу года, то Абсолют Банк первоначально рассматривает для подключения приложение ЕБС как наиболее быстрый и наименее затратный способ выполнить требование регулятора. Когда решение будет готово, мы заменим им приложение "Биометрия" или оба пути будут работать параллельно, - сообщил директор департамента розничных продуктов Виталий Костюкевич.
Решение для крупных
Аналогичного подхода придерживаются в ОТП-банке: приоритетным остается сценарий встраивания модуля биометрии непосредственно в контур мобильного приложения для улучшения клиентского опыта, но вопрос в сроках реализации этого проекта. К варианту открытия счетов через собственное ПО также склоняются в "Открытии" и "Дом.РФ". Для обеспечения безопасности кредитные организации рассматривают решение оператора ЕБС.
В ВТБ, Почта Банке и ПСБ, которые уже запустили открытие счетов онлайн по слепкам лица и голоса, идентификация проходит через единое приложение "Биометрия", рассказали "Известиям" в этих банках. Такой вариант также рассматривает крымский РНКБ.
Биометрическая идентификация несет риск подделки данных с использованием фотографий человека из открытых ресурсов - с помощью нейронных сетей мошенники могут сгенерировать подходящий биометрический слепок, рассказал "Известиям" замдиректора департамента аудита Digital Security Александр Романов. По его словам, источником проблем также может служить человеческий фактор: при заведении слепка клиента в ЕБС оператор может, например, Источник: Известия: https://iz.ru/1142867/natalia-ilina/zakroiut-lichiko-biometriiu-rossiian-zashchitiat-ot-utechek-i-podmeny





Пока в России осведомлены об уязвимостях биометрических систем и невозможности полного перехода на них в условиях постоянных нарушений информационной безопасности, отметил директор по развитию бизнеса IT-компании КРОК в коммерческих банках Александр Филиппов. По его оценкам, срок в один год достаточен для подключения к ЕБС любого банка, даже небольшого - с ограниченными финансовыми и технологическими ресурсами.
Небольшие финансовые организации могут нарушить сроки подключения, но это коснется меньшинства клиентов - не более 10%, поскольку основной потребительский спрос сконцентрирован в крупнейших организациях, оценил руководитель направления исследований Центра исследования финансовых технологий и цифровой экономики Сколково-РЭШ Егор Кривошея.
- Крупные же банки, в которых есть риски, связанные со скоростью интеграции сторонних решений, с утечкой интеллектуальной собственности или необходимостью совершения дополнительных действий со стороны клиента, скорее всего, предпочтут вариант с открытием счета через собственное приложение, тогда криптографический модуль станет необходимым решением для защиты, - подчеркнул эксперт.
В ЦБ оперативно не ответили на запрос "Известий" о рекомендациях по безопасной интеграции ЕБС в мобильные приложения банков.

29.03.2021