Úřad pro ochranu osobních údajů


International


Vyhledávání

 

Základní odkazy

 

Cesta: Titulní stránka > Hlavní menu > Pro mládež > Články, zajímavosti a příklady konkrétních situací > Biometrika > Jak nakupovat za pár prstů a přitom nekrást...

 

Jak nakupovat za pár prstů a přitom nekrást...

 
 
 

Následující situaci asi zažil skoro každý z nás. Stojíte v obchodě a tiše proklínáte chvíli, kdy jste se zařadili do té nejdelší fronty k pokladně, která navíc postupuje nejpomaleji ze všech. Když už jste skoro u pokladny a doufáte, že budete brzy z obchodu venku, vidíte, že člověk stojící u pokladny podává pokladní platební kartu... Nejprve nefunguje terminál, pak majitel karty špatně zadá PIN, aby nakonec terminál kartu přijal, ale kvůli přetížení komunikační sítě s autorizačním centrem plateb trvá vyřízení platby neuvěřitelně dlouho. U vedlejší pokladny mezitím odešli tři další zákazníci... V takové chvíli si asi každý pokládá dvě základní otázky – „Mám to (nakupování) vůbec zapotřebí?“ a „Copak to (placení) nejde udělat nějak rychleji?“ Se samotným nakupováním asi nic neuděláme, ale placení u pokladen urychlit jde, někdy dokonce velmi výrazně. A právě na toto téma se teď podíváme podrobněji.

V průběhu posledních let se i v České republice masově rozšířily platební karty, nejprve debetní (pracují primárně s penězi, které jsou reálně uloženy na bankovním účtu, k němuž je karta přiřazena), posléze i kreditní (při jejich použití využíváte vydavatelem karty předem stanovený úvěrový rámec a tento dluh posléze splácíte, přičemž kreditní karta může být vydána i bez vazby na konkrétní bankovní účet). Jejich použití je nejen pohodlné, ale v případě odcizení stačí kartu v bance zablokovat a nehrozí vám žádná finanční ztráta (tedy až na poplatek za zablokování karty, resp. vydání karty nové). Na druhou stranu však platební karty nijak výrazně nezrychlily proces placení v obchodech (v případě většího zatížení autorizačních systémů, např. v období předvánočních nákupů, ho dokonce výrazně zpomalují), ale mohou znamenat i bezpečnostní riziko pro váš účet. V případě výběru z bankomatu musí držitel karty zadat správný PIN (personal identification number), který je přiřazen ke kartě jako její jedinečný identifikátor. Vedle PIN je platební karta vybavena i magnetickým proužkem, na kterém jsou uloženy všechny potřebné údaje pro použití karty, a podpisem držitele karty. Netrvalo dlouho a podvodníci přišli s jednoduchým nápadem, jak toto zabezpečení obejít. Princip tzv. libanonské smyčky spočívá v tom, že do otvoru pro vložení karty do bankomatu je umístěna smyčka z magnetofonového pásku, která kartu zachytí. Držitel karty se domnívá, že karta byla zadržena a odchází od bankomatu přesvědčen, že bude muset navštívit svou banku a požádat o vrácení karty či vydání karty nové. Ve skutečnosti však po jeho odchodu podvodníci kartu ze smyčky bez problémů vytáhnou. Jak ale zjistí PIN karty? Jednoduše... Současně se smyčkou „vybavili“ bankomat i miniaturní kamerou, která zaznamenala zadaný PIN na klávesnici bankomatu... Po zkopírování magnetického proužku mají v ruce dokonalou kopii původní platební karty, kterou mohou využít k vyrabování účtu majitele karty. Mimo jiné právě z tohoto důvodu začaly banky vydávat platební karty vybavené čipem, jehož zkopírování je podstatně obtížnější. Protože však zdaleka ne všichni obchodníci disponují terminály, které dokáží spolupracovat s čipem na platební kartě, jsou i čipové karty stále vybaveny starší technologií magnetického proužku. Pokud bankomat stále pracuje jen s touto technologií, tak vám ani čipová karta nepomůže... Podobná situace může nastat i v případě, kdy je vám platební karta odcizena a vy ji ve své bance nestihnete rychle zablokovat, nebo na to zapomenete. Pokud je karta vybavena čipem a obchodník disponuje terminálem pro čipové karty, musí být k autorizaci platby zadán PIN. V takovém případě je zneužití odcizené karty prakticky vyloučeno. Jiná situace ale nastává v případě, kdy obchodník používá terminál, který pracuje s technologií magnetického proužku. V takovém případě je totiž transakce ověřována pouze pomocí podpisu. A ten si schopný podvodník nacvičí během několika desítek minut... Samostatnou kapitolou jsou pak hrozby zneužití platební karty na Internetu, ale o tom až někdy příště...

Platební karty tedy pro své držitele znamenaly velký krok směrem k většímu pohodlí při manipulaci s penězi, ale zároveň s sebou nesou i bezpečnostní rizika. Není proto divu, že se stále objevují nápady, jak dále zjednodušit celý proces platby v obchodech, tak aby bylo placení nejen pohodlnější, ale také rychlejší. Netrvalo dlouho a pozornost výzkumníků se soustředila na biometrické údaje, tj. jedinečné fyziologické či charakterové vlastnosti jedince. Některé z nich lze totiž využít k automatizované identifikaci, jejíž spolehlivost je prakticky 100% a vyhovuje tak i potřebám autentizace platebních transakcí. Na prvním místě jsou to především otisky prstů, neboť identifikace konkrétního jedince je s jejich pomocí nejen velmi spolehlivá, ale také nevyžaduje žádné rozměrné či nadmíru komplikované technologické vybavení. Myšlenka využití otisků prstů při autentizaci plateb však byla v praxi ve větším měřítku realizována až před několika lety a jedná se tedy stále ještě o poměrně žhavou technologickou novinku. První společnosti, které se rozhodly tento princip komerčně využít, vznikly v USA (nejznámější jsou Pay-By-Touch a BioPay) a v současnosti tam systémy autentizace platby pomocí otisků prstů využívá již několik milionů zákazníků. V nedávné době se objevily i informace o plánech společností provozujících systémy biometrické autentizace plateb na expanzi do Evropy, prozatím však najdeme jen několik jednotlivých míst, kde tyto systémy fungují, ve Velké Británii.

Princip celého systému využívajícího autentizaci plateb pomocí otisků prstů je v zásadě velmi jednoduchý. Nejprve musíte navštívit obchod, který využívá systém ověřování plateb pomocí otisků prstů a je v něm umístěn informační kiosek příslušné firmy, která systém provozuje. V kiosku předložíte osobní doklad pro ověření totožnosti (v USA je to typicky řidičský průkaz), dále si zvolíte své osobní číslo, které budete zadávat v obchodě při placení (nejedná se o zabezpečení, ale identifikaci zákazníka, proto je pro snadnou zapamatovatelnost doporučováno telefonní číslo), platební prostředek (platební karta, účet, šek atd.), se kterým bude systém provázán, a také všechny slevové a členské karty, které chcete do systému zaregistrovat. Nakonec si necháte sejmout otisky prstů, přičemž např. společnost Pay-By-Touch vám sejme jeden otisk a společnost BioPay otisky dva. Během cca dvou minut je registrační procedura hotova a od této chvíle můžete začít nakupovat „pouze“ prostřednictvím svých otisků prstů. U pokladny zadáte své osobní číslo a necháte si sejmout otisk. Systém Vás rozpozná a nabídne vám způsoby zaplacení, které jste si vybrali při registraci. Poté, co zvolíte způsob platby, systém automaticky odečte hodnotu vašeho nákupu. Vypadá to skoro až idylicky, ale jako vždy, i tento systém má svá slabá místa.

Nejprve je nutné se zaměřit na bezpečnost samotného principu autentizace plateb pomocí otisků prstů. Z různých vědeckých studií vyplývá, že pravděpodobnost chybné identifikace na základě otisků prstů je cca 1:1.000.000 a zhruba 2% populace nemají dostatečně vyvinuté otisky, aby mohly být použity k identifikaci. Nebezpečí chybné identifikace je sice téměř eliminováno díky nutnosti zadat před identifikací své osobní číslo, ale nabízí se jiná otázka – nešlo by náhodou odpozorovat něčí osobní identifikační číslo a následně zfalšovat jeho otisky..? Princip podvodu by tak byl prakticky shodný jako s podvody u platebních karet, ale jeho nebezpečnost by byla mnohonásobně vyšší, neboť podvodníci by nekopírovali jen obyčejný magnetický proužek, ale jedinečné biometrické identifikátory člověka. Že jste slyšeli, že otisky prstů nejde zfalšovat? Ale jděte... Stačí získat otisk např. ze sklenice. Tento otisk zvýrazníte pomocí prášku, stejně jako to dělají policisté při vyšetřování. Poté otisk vyfotíte, v počítači upravíte do kontrastní podoby a tu vytisknete na průhlednou fólii. Tuto fólii pak přiložíte na fotocitlivou desku, kterou následně osvítíte. Po vyvolání získáte plastický otisk prstu, na který nalijete želatinu, necháte ztuhnout a heuréka ... máte přesnou kopii původního otisku. Podle různých studií takováto kopie oklame více než 80% běžně komerčně používaných systémů pro identifikaci pomocí otisků prstů. Největší nebezpečí tohoto postupu spočívá v tom, že nepotřebujete žádné zvláštní vybavení, ale stačí vám jen běžné dostupné předměty.

Aby toho nebylo málo, objevuje se otázka, co se děje se všemi vašimi údaji poté, co jsou sejmuty při prvotní registraci. Všechny společnosti tvrdí, že údaje nejsou dostupné jednotlivým obchodníkům. Ti ale nemusí být jediní, kdo by o takové údaje mohl mít zájem. Představte si, co by znamenal úspěšný útok hackera na takovou databázi... Vždyť databáze obsahuje identifikační údaje zákazníků, čísla kreditních karet a především otisky prstů. Při samotné autentizaci platby sice nejsou využívány kompletní otisky prstů, ale soubor cca 40 významných znaků, z nichž nelze zpětně otisk rekonstruovat. Zatímco ale společnost Pay-By-Touch ve své databázi uchovává pouze soubory těchto významných znaků, společnost BioPay má ve své databázi kompletní otisky dvou prstů všech svých zákazníků (v tuto chvíli již více než 2 milionů osob). A tady se nabízí tak jednoduchá a zároveň strašidelná úvaha, až mrazí. Co když bude policie, výzvědná služba nebo jiná vládní agentura hledat osobu podezřelou např. z terorismu a požádá o přístup do této databáze? Všichni lidé, kteří budou mít v databázi své otisky, budou v tu chvíli podezřelí a jejich otisky budou porovnávány s policejní databází. Hranice mezi policejní databází odsouzených osob a lidí, kteří si pouze chtěli usnadnit nakupování v obchodě, tak v tu chvíli zmizí... Na tomto místě je nutné znovu připomenout, že soukromí je to nejcennější co máme, a jakmile o ně jednou přijdeme, naše šance na jeho znovuzískání jsou v dnešní moderními technologiemi nabité společnosti téměř nulové. Proto je vždy dobré několikrát si rozmyslet, komu dáme své osobní údaje a zda se nám to skutečně vyplatí tak, jak je nám slibováno. Abychom totiž někdy v budoucnu svého rozhodnutí nelitovali...


[Jan Folda]
Březen 2007

zdroje:

HOLČÍK, Tomáš. Čtečku prstů překoná gumový medvídek [online]. 17.5.2002 [cit. 2007-03-06].
Dostupný z WWW: http://www.zive.cz/H/Uzivatel/AR.asp?PG=1&ARI=105728&CAI=2104.

STANČÍK, Martin. Nakupování pomocí otisku prstu: pohodlí a bezpečnost? [online]. 9.10.2005 [cit. 2007-03-07].
Dostupný z WWW:
http://www.pctuning.cz/index.php?option=com_content&task=view&id=5403&Itemid=67&limit=1&limitstart=99
.

ŠINDELÁŘ, Jan. Platba otiskem prstu - dokonalé či nebezpečné? [online]. 13.10.2005 [cit. 2007-03-06].
Dostupný z WWW: http://www.zive.cz/h/Byznys/AR.asp?ARI=126068&CAI=203.

Dle průzkumu společnosti Unisys se více než polovina Evropanů obává podvodů s doklady totožnosti [online]. 11.11.2005 [cit. 2007-03-06].
Dostupný z WWW: http://www.cardmag.cz/pages/2006/cm_01_06/bezpecnost.html.

Falešné otisky prstů [online]. 4.6.2002 [cit. 2007-03-06].
Dostupný z WWW:
http://www.zdrav.cz/modules.php?op=modload&name=News&file=article&sid=4007&mode=thread&order=0
.

Placení otiskem prstu (Pay-By-Touch) [online]. 2006 [cit. 2007-03-06]. Dostupný z WWW:
http://www.cardmag.cz/pages/2006/cm_01_06/technologie.html
.

Platby pomocí otisku prstu Pay By Touch realizuje NCR [online]. 2006 [cit. 2007-03-07]. Dostupný z WWW:
http://www.cardmag.cz/pages/2006/cm_03_06/technologie.html
.

http://www.paybytouch.com

http://www.biopay.com

 

Kontext

Umístění: Složky dokumentů > Mapa stránek > Hlavní menu > Pro mládež > Články, zajímavosti a příklady konkrétních situací > Biometrika > Jak nakupovat za pár prstů a přitom nekrást...

Zobrazit aktuální dokumenty | archiv dokumentů | dokumenty včetně archivu

 
 

Nacházíte se v módu "Bez grafiky", takže vidíte tuto stránku bez zdobné grafiky a pokročilého formátování. Pokud váš prohlížeč podporuje CSS2, můžete se přepnout do grafického módu.


Copyright © 2013 Úřad pro ochranu osobních údajů. Všechna práva vyhrazena.
web & design , redakční systém