Authentification… et si même la biométrie ne suffisait pas

Les technologies biométriques continuent de s’insinuer en tant que moyens d’authentifier les clients bancaires et autres transactions sensibles. Il est donc « naturel » que les escrocs leur témoignent un intérêt croissant. De « nouveaux » types de fraude s’adaptent aujourd’hui à la progression des usages biométriques : nouvelles menaces ?

Accenture vient de publier un rapport (Beating the Biometric Fraudsters) pointant du doigt certains dangers. Au cœur de son argumentaire, la notion de faillibilité des systèmes biométriques. Les fraudeurs miseraient sur deux types d’attaques pour tenter de contourner ces dispositifs dernière-génération : l’imposture et l’obfuscation.

• imposture : usurpation de l’identité de l’utilisateur légitime en invoquant un défaut de fonctionnement du dispositif ;
• obfuscation : manipulation par le fraudeur de ses propres caractéristiques biométriques pour empêcher la reconnaissance.

Selon Accenture, tous les principaux outils biométriques pourraient être contournés ; les cibles privilégiées, car plus répandues, seraient la reconnaissance d’empreintes, faciale et vocale. Plus robustes, la reconnaissance irienne, veineuse et génétique pourraient aussi être mises en échec.

L’application de solutions multimodales constituerait un premier niveau de contournement de ces attaques. Parallèlement, les mesures plus traditionnelles de lutte contre la fraude doivent également persister.

Source : Computer World

Accenture rappelle que les mesures de luttes contre la fraude doivent être adaptées au type de systèmes ou d’actifs qu’il s’agit de protéger : leurs rôle, criticité, niveaux d’exposition (physique, logique), etc. doivent être pris en compte. Une approche coût/bénéfice est nécessaire. Tout aussi importante : l’ergonomie des solutions d’authentification, facteur clé de leur adoption ou de leur bon usage par les utilisateurs finaux.

Les risques liés à l’usurpation d’identité sont réels et l’authentification biométrique reste perçue comme un moyen efficace d’y remédier. Associée à des techniques plus courantes de sécurisation et d’analyse des menaces, elle doit trouver sa place dans une politique globale cohérente. Rappelons néanmoins qu’en France la CNIL proscrit la centralisation des données biométriques, jugées trop sensibles.