Технология распознавания лиц, позволяющая сканировать не радужную оболочку глаза, а все лицо целиком, – одно из главных направлений развития биометрической аутентификации в мобильных устройствах, а также в государственных и коммерческих системах видеонаблюдения. После реализации в смартфоне Apple iPhone X этой функции, названной Face ID, и другие разработчики стали встраивать в свои мобильные устройства аналогичные системы.
Система распознавания лиц работает по тому же принципу, что и другие биометрические устройства: на камеру (обычную и/или инфракрасную) фотографируется лицо человека, взявшего в руки гаджет, и снимок сравнивается с тем, что сохранен в базе данных. Если совпадение обнаружено, человек получает доступ к содержимому устройства и всем его функциям.
Важно отметить, что разработанная компанией Apple технология Face ID очень сложна и использует в работе не только обычную, но и инфракрасную камеру, а также проектор точек. Последний проецирует на лицо человека свыше 30 000 инфракрасных точек, а инфракрасная камера фотографирует лицо вместе с этими точками. Также Face ID использует алгоритмы машинного обучения. Эта система считается самой надежной и устойчивой к взлому.
КЕЙС Сотрудники вьетнамской компании Bkav, занимающейся решением вопросов информационной безопасности, смогли обойти систему защиты инновационной технологии Apple Face ID. Они распечатали на 3D-принтере каркас маски, имитирующей лицо владельца (своего сотрудника), добавили силиконовый нос и двухмерные изображения глаз, потратив на все 150 долларов. Разблокировать устройство удалось с первого раза[91]. Тем не менее исследователи признали, что затраченные усилия были слишком велики, чтобы тратить время на взлом смартфона обычного гражданина. Для «снятия» трехмерного слепка с лица владельца была использована установка с несколькими камерами. Получив снимки с разных ракурсов, специалисты вручную сформировали объемное изображение, которое было напечатано на 3D-принтере. Впоследствии готовая маска подверглась ручной обработке для имитации естественного человеческого взгляда. Аналогичным образом в 2018 г. журналист Forbes Томас Брюстер обманул смартфоны LG G7 ThinQ, Samsung S9, Samsung Note 8 и OnePlus 6, а iPhone X при испытаниях выстоял[92].
Таким серьезным подходом не могут похвастаться другие производители: их системы распознавания лиц можно обмануть даже с помощью обычных фотографий. Исследователи смогли обойти биометрическую защиту, поочередно показывая смартфону под управлением операционной системы Android фотографии лица с закрытыми и открытыми глазами (имитируя моргание глаз)[93].
Также к недостаткам (точнее, неудобствам) систем распознавания лиц следует отнести то, что устройства могут не срабатывать при недостаточной освещенности, тряске (и, как следствие, смазанности изображения) или изменении внешнего вида (например, если была сбрита борода).
Выбирая способ защиты на своем устройстве, следует поискать в интернете информацию, чтобы по возможности узнать, не подвергалась ли ваша модель взлому. На момент создания этой книги самым надежным (но и неудобным для многих) способом защиты информации оставалось использование сложного пароля.
Практическое задание
1. Составьте список ваших аккаунтов и паролей к ним. Надежны ли эти пароли? Используете ли вы одинаковые пароли на двух и более сайтах?
2. Были ли утечки данных с сайтов, используемых вами, после того как вы зарегистрировались на них? Поищите информацию об утечках в интернете.
3. Перейдите на сайт https://howsecureismypassword.net и введите пароль от одного из ваших аккаунтов. Каков результат? Не забудьте после этого сменить скомпрометированный пароль.
4. Придумайте сложный, на ваш взгляд, пароль, который вам было бы относительно просто запомнить, и введите его на сайте https://howsecureismypassword.net. Устраивает ли вас результат?
○ Если да, то по схожей схеме создайте пароли для всех своих аккаунтов (но не используйте тот, который ввели на этом сайте). Для удобства можно использовать менеджер паролей.
○ Если нет – вернитесь к пункту 4 и выполните задание еще раз.
5. Вспомните, когда последний раз вы меняли пароли в своих аккаунтах. Если прошло много времени – сделайте это снова. Периодически возвращайтесь к этому вопросу (рекомендация специалистов – каждые 30 дней).
6. Проверьте сайты, на которых хранятся ваши персональные данные, и в случае поддержки дополнительного фактора аутентификации включить его!
Заключение
В этой главе вы узнали, что большинство пользователей не уделяют должного внимания защите своих персональных данных, по старинке используя наипростейшие пароли вроде 123456 или qwerty. Кроме того, многие включают в пароли названия сайтов, имена и различные словарные слова, упрощая хакерам взлом методом перебора. А другие, проявляя изобретательность, набирают слова на одном языке в раскладке на другом, мучаясь затем при использовании устройств с виртуальными клавиатурами. И самый главный враг безопасности – одинаковые пароли на нескольких сайтах. Преступнику достаточно узнать ваш пароль на одном сайте, чтобы похитить вашу цифровую личность целиком.
Вы научились придумывать надежные пароли и использовать для их запоминания не только мозг, но и специальную программу – менеджер паролей.
Помимо этого, вы узнали о преимуществах и недостатках систем многофакторной аутентификации; о том, какая из них самая безопасная и как ее правильно использовать.
Еще вы познакомились с основными способами биометрической аутентификации, которая, к сожалению, зачастую, наоборот, ослабляет защиту вашего устройства. Между тем на момент создания книги это одно из главных направлений развития информационной безопасности.
В следующей главе мы поговорим об электронной почте: вы научитесь отличать фишинговые письма от легитимных и выберете наиболее безопасный почтовый клиент, чтобы ваша переписка была доступна только вам и вашему собеседнику.
Глава 3Электронная почта
Меня зовут Бакаре Тунде, я брат первого нигерийского космонавта, майора ВВС Нигерии Абака Тунде. Мой брат стал первым африканским космонавтом, который отправился с секретной миссией на советскую станцию в 1979 г. В 1990 г., когда СССР пал, он как раз находился на станции. Все русские члены команды сумели вернуться на Землю, однако моему брату не хватило в корабле места. С тех пор и до сегодняшнего дня он вынужден находиться на орбите, и лишь редкие грузовые корабли «Прогресс» снабжают его необходимым…
То, что вы сейчас прочитали, не выдержка из фантастического романа и даже не сценарий очередного творения Голливуда, а фрагмент фишингового письма, из числа тех, что уже многие годы рассылаются по каналам электронной почты. К таким письмам, способным привести к утечке персональных данных, потере финансовых средств или даже жизни, мы вернемся чуть позже, а пока поговорим о том, чем же может быть опасна электронная почта.
Электронная почта, появившись более 50 лет назад[95], в настоящее время практически заменила обычную, оставив последней лишь обмен бумажными документами и предметами. С помощью электронной почты люди общаются, пересылают электронные копии документов, фотографии и прочие данные, упростив и ускорив свои коммуникации. Электронная почта остается одним из основных каналов корпоративного и личного общения и при этом самым незащищенным каналом связи. Наряду с этим с помощью электронной почты осуществляется слежка за людьми, а также доставка вредоносного контента (92 % вредоносных объектов передается по электронной почте[96]).
Далее рассмотрим основные опасности использования электронной почты.
Фишинговые сообщения
Первое, что приходит на ум в контексте «угрозы электронной почты», – фишинг. Это слово происходит от английского phishing (а phishing в свою очередь – слегка измененное fishing («рыбная ловля»)) и обозначает вид мошенничества, цель которого получение доступа к конфиденциальным данным пользователей, как правило, логинам и паролям. В большинстве случаев фишинговое письмо представляет собой поддельное сообщение якобы от банка, платежной системы или ритейлера[97] с просьбой к адресату срочно передать какие-либо данные. Выдуманные причины запроса данных могут быть самыми разными – сбой системы, подтверждение личности, разблокировка счета или аккаунта, выплата вознаграждения или приза и пр. Согласно отчету ФБР, в 2019 г. это был наиболее распространенный вид киберпреступлений[98].
Пример типичного фишингового письма показан на рис. 3.1.
Рис. 3.1. Фишинговое письмо якобы от компании Apple
В данном случае довольно легко определить, что на самом деле письмо получено не от компании Apple. Так, злоумышленники производили массовую (нецелевую) рассылку, поэтому вместо имени адресата указан электронный адрес (на рисунке размыт из соображений безопасности). Злоумышленники даже не потрудились разузнать имя владельца адреса электронной почты, хотя это довольно легко сделать. Рассылая такие письма, они рассчитывают на то, что потенциальная жертва испугается, поверив, что ее аккаунт заблокирован, сразу нажмет кнопку «Войти» и на открывшейся странице введет учетные данные своего аккаунта Apple ID. Но если посмотреть адрес, на который ведет кнопка-ссылка, то можно увидеть, что он принадлежит вовсе не серверу Apple. Кстати, если все-таки перейти по ней, откроется довольно похожая на оригинал копия сайта компании Apple с формой ввода адреса и пароля Apple ID. Причем в любые другие разделы сайта, например