Konto Google: jak bezpieczne jest naprawdę nowe logowanie za pomocą selfie-wideo

Firma Google wprowadza nowy sposób odzyskania dostępu do konta: krótki filmik z selfie. Funkcja ta została zaprojektowana z myślą o sytuacjach, w których utracili Państwo dostęp do konta i nie mają Państwo pod ręką swojego zwykłego telefonu lub komputera. Podczas konfiguracji należy nagrać siebie i wykonać kilka ruchów głową zgodnie z instrukcjami, aby system mógł zarejestrować Państwa twarz pod różnymi kątami. Jeśli w przyszłości utracą Państwo dostęp do konta, należy nagrać nowe wideo, które zostanie porównane z tym znajdującym się w bazie danych. Wdrażanie tej funkcji odbywa się etapami od 23 lipca; mogą Państwo sprawdzić, czy dotyczy to Państwa konta, pod adresem g.co/signin-selfie.

Nie zastępuje to Państwa hasła

Należy pamiętać, że film z selfie nie zastępuje ani hasła, ani klucza dostępu. Stanowi on dodatkową metodę odzyskiwania dostępu i dołącza do listy kontaktów awaryjnych oraz innych opcji. Sama firma Google zaleca skonfigurowanie kilku takich metod. Wyłączone z tej funkcji są konta Workspace, konta dzieci oraz konta objęte Programem zaawansowanej ochrony. Jak na ironię, są to właśnie użytkownicy, którzy najbardziej potrzebują ochrony. Zapisane wideo jest zaszyfrowane, domyślnie służy wyłącznie do logowania i można je usunąć w dowolnym momencie. Google może wykorzystać je do ulepszenia swoich funkcji wykrywania wyłącznie po uzyskaniu Państwa zgody.

Czy Google naprawdę wykrywa deepfake’i?

Google promuje wielowarstwową ochronę przed fałszywymi zdjęciami i filmami. Podstawą jest wykrywanie obecności osoby żywej. Użytkownik jest proszony o wykonanie niewielkich ruchów w celu potwierdzenia, że przed kamerą znajduje się prawdziwa osoba, a nie zdjęcie. Rozwiązanie to sprawdza się w przypadku prostych ataków; wydrukowane zdjęcie lub stare nagranie nie przejdą tego testu.

Problem leży jednak gdzie indziej. Nowoczesny deepfake mruga, kiwa głową i obraca głowę na polecenie. Najbardziej niebezpieczny rodzaj ataku całkowicie omija kamerę. W ramach tzw. „wstrzyknięcia” fałszywy obraz na żywo jest przekazywany bezpośrednio do aplikacji tak, jakby pochodził z kamery. To właśnie tego rodzaju ataku nie są w stanie zapobiec testy ruchu. Szeroko cytowane badanie zaprezentowane już w 2022 roku podczas konferencji USENIX Security wykazało, że komercyjne systemy wykrywania żywości można automatycznie obejść. Ponadto standardowe systemy certyfikacji, takie jak ISO 30107-3, iBeta czy FIDO, testują ataki przeprowadzane przed kamerą, a nie ataki typu „injection”. Firmy zajmujące się bezpieczeństwem odnotowały w ciągu ostatnich dwóch lat gwałtowny wzrost liczby takich ataków typu „injection”.

Co należy z tego wywnioskować

Amerykańska norma bezpieczeństwa NIST jasno stwierdza: dane biometryczne nigdy nie powinny stanowić jedynego czynnika uwierzytelniającego, lecz zawsze powinny być łączone z drugim czynnikiem oraz alternatywą niebiometryczną. Nie można bowiem zmienić swojej twarzy tak samo, jak zmienia się hasło. W praktyce oznacza to, że jako jedna z kilku opcji odzyskiwania dostępu film z selfie jest przydatny i nadal lepszy niż odzyskiwanie za pomocą wiadomości tekstowej, które jest podatne na ataki typu „SIM swapping”. W przypadku samego procesu logowania klucze dostępu i klucze sprzętowe pozostają bezpieczniejszym wyborem. Osoby stanowiące szczególnie atrakcyjne cele powinny unikać korzystania z nagrania wideo twarzy; firma Google i tak wyklucza tę grupę z programu Advanced Protection Program.