Сбербанк планирует запустить использование Единой биометрической системы до конца 2018 года, пишет РБК. Тестирование регистрации пройдет в пилотных отделениях в течение второго полугодия. Сейчас, поскольку не все нормативно-правовые акты выпущены, закупка и поставки оборудования в отделения запустить невозможно, объяснили в организации.

Ранее сообщалось, что сбор данных для Единой биометрической системы в своих отделениях банки России начнут 1 июля. В Минкомсвязи рассказали, что сначала разработанную партнерами систему внедрят в банки, затем ее станут применять в госуслугах, далее — в других областях. Для ее создания только отечественное программное обеспечение. Все данные хранятся в облачной инфраструктуре «Ростелекома». Ключевая особенность системы заключается в том, что она позволяет совершать юридически значимые операции.

Центробанк рассчитывает, что банки будут постепенно обеспечивать сбор биометрических данных по мере готовности их технологической инфраструктуры. Регулятор обозначил срок полного запуска до конца 2019 года.

Исследователи из университета штата Нью-Йорк в Буффало создали экспериментальную систему аутентификации пользователей смартфонов и других электронных устройств на основе мозговых импульсов. Доклад о ней был представлен на конференции MobiSys 2018 в Германии.

Для разблокирования смартфона с помощью этой системы пользователю придется надевать шлем с датчиками. Затем система быстро покажет ему несколько изображений, записывая реакцию мозга и сравнивая ее с записанной при настройке системы. Датчики регистрируют импульсы в трех областях мозга, отвечающих за декларативную память (при этом демонстрируются изображения разных животных), распознавание лиц (показываются фотографии известных людей) и понимание письменной речи (при этом на экране показываются фразы).

Основное преимущество такой системы перед другими биометрическими системами аутентификации в том, что ее легко можно перенастроить, тогда как отпечаток пальца, лицо или рисунок радужной оболочки глаза поменять нельзя, а вот способы подделки их уже появились. При этом «мозговой пароль» можно сменить, не раскрывая личность пользователя. В испытаниях система показала эффективность в 95%, даже спустя пять месяцев после настройки пароля.

Коммерческий директор «Актива» Дмитрий Горелов считает, что невозможно сделать сильной страну без цифрового суверенитета. Поэтому, по его мнению, вопросы аутентификации и идентификации являются очень важными для развития цифровой экономики. Новые устройства поддерживают криптографические алгоритмы, обязательные к применению с 2019 года, совместимы с распространенными продуктами и на рынке информационной безопасности и используют биометрическую идентификацию по отпечаткам пальцев Match-on-Card. «Рутокен» обеспечивает строгую двухфакторную аутентификацию пользователей, шифрование документов и почты, дает доступ к защищенным хранилищам и удаленный доступ к сети предприятия.

«Актив» запустил проект в конце 2017 года. Микросхемы для созданных в его рамках продуктов поставляет отечественный производитель, компания «Микрон». Средства электронной подписи в первую очередь рассчитаны на госструктуры, к информационным системам которых предъявляются самые жесткие требования безопасности.

Компания DocuSign намерена избавить мир от пересылки бумажных документов на далекие расстояния, упростив их электронную подпись, которая будет применяться при аутентификации и обмене электронными документами как организациями, так и частными лицами.

Поначалу компания ориентировалась на сферу недвижимости, но теперь предлагает свои услуги предприятиям самых разных отраслей, в том числе банковской, фармацевтической и телекоммуникационной. В партнерстве со Stripe она намерена также освоить сектор онлайн-платежей.

Система DocuSign Payments позволит организациям получать платежи и подписи одновременно. Предлагаемая технология упрощает проведение платежей с помощью всех популярных систем банковских карт, а также Apple Pay, Android Pay и Paypal. Приложения сервиса могут охватить сферу аренды автомобилей, сдачи недвижимости, а также распространения страховых полисов.

Основой для развития рынка электронных подписей стал бум глобального бизнеса и транзакций электронной коммерции. При этом предприятия озабочены вопросами безопасности и ищут средства управления цифровыми транзакциями, которым можно было бы доверять.

Приближающееся IPO вызывает дополнительный интерес к этому сектору, а некоторые конкуренты уже пытаются извлечь из этого дивиденды и для себя.

«Надвигающееся IPO привлекает вполне заслуженное внимание к отрасли электронной подписи, оцениваемой в 25 млрд долл., и ее лидерам, в том числе к предлагаемому нами сервису eSignLive», – заявил Скотт Клементс, генеральный директор компании Vasco, конкурирующей с DocuSign.

IPO, которое готовит DocuSign, может побудить другие частные компании (например, Secured Signing), работающие на рынке электронных подписей, последовать ее примеру.

В 2015 году наибольшей популярностью пользовались средства электронной подписи, развертываемые в собственной ИТ-среде клиента. На них приходилось 60% оборота рынка.

Сегодня активно развиваются облачные решения, позволяющие добавлять подписи к документам в удаленном режиме. Ожидается, что после 2022 года эти модели, толкающие рынок вперед, займут на нем доминирующее положение.

Средства простановки электронной подписи все чаще предлагаются в рамках модели SaaS. Индивидуальным потребителям DocuSign предоставляет соответствующую технологию в своем приложении бесплатно, а предприятия могут оформить подписку на получение необходимых им услуг. В рамках тарифного плана Business Pro стоимостью 33 фунта стерлингов в месяц организация получит весь необходимый функционал для подписи документов и удаленного проведения платежей.

По оценкам Business Insider, в период с 2017-го по 2023 год объемы продаж на мировом рынке электронных подписей будут ежегодно увеличиваться на 34,7% и к концу этого периода достигнут 9 млрд долл.

В настоящее время рынок электронных подписей растет очень быстрыми темпами, но в перспективе он может столкнуться с конкуренцией со стороны средств биометрической аутентификации, обеспечивающих распознавание на основе голоса или отпечатков пальцев.

Некоторые компании, работающие на рынке электронных подписей, (например, Icon UK) уже интегрируют в каждую подпись на бумаге биометрическую информацию о ритме написания, давлении и т.д.

Соответствующая культура получает все более широкое распространение. Исследование, проведенное IBM, показало, что 87% людей в ближайшей перспективе будут чувствовать себя достаточно комфортно, используя средства биометрической аутентификации.

В DocuSign утверждают, что у них насчитывается свыше 200 млн пользователей по всему миру, а объем продаж компании за последний год вырос на 39%, до 485 млн долл.

Компания подходит к порогу, который считается приемлемым для проведения IPO. «Наш операционный денежный поток обеспечивает нам безубыточность», – отметил генеральный директор DocuSign Дэн Спрингер в интервью MarketWatch в 2017 году, где обсуждалась подача заявки на проведение IPO в начале 2018 года.

Тем не менее, по итогам последнего финансового года компания сообщила об убытках в размере 52 млн долл., пускай и меньших по сравнению с убытками в 115 млн долл., полученными в предыдущем году. Инвесторов предупредили, указав, что у DocuSign «долгая история операционных убытков, в связи с чем достичь прибыльности в будущем или удержаться на этом уровне, возможно, и не удастся». Впрочем, подобные заявления в преддверии IPO для технологических компаний – не редкость.

При наличии таких конкурентов, как Adobe Sign и Secured Signing, компании DocuSign удалось увеличить в 2016 году свою долю на рынке электронных подписей до 40%. В 2017 году она заняла четвертое место в списке Forbes Cloud 100, где были представлены лучшие частные облачные компании мира. Продукты DocuSign интегрированы с технологиями Apple, Google, Windows и SalesForce, предлагается и целый ряд мобильных приложений.

В 2011 году DocuSign выпустила бесплатное приложение для Apple iOS, Google Android и Windows Phone, и в настоящее время по итогам 18 тыс. отзывов имеет в App Store рейтинг 4,9.

DocuSign получает финансирование от инвестиционных фондов Bain Capital и ClearBridge Investments, а также от компаний, которым она предоставляет свою технологию, в том числе от Salesforce, Apple и Dell.

В статусе частной компании DocuSign работает уже на протяжении 15 лет. Сегодня это уже нельзя назвать отклонением от нормы. Все больше технологических компаний предпочитают откладывать проведение IPO.

В 2017 году заявку на IPO подали всего 27 технологических компаний, тогда как в 2013 году таковых насчитывалось 50. Чем объяснить такое положение дел при наличии 171 частного гиганта с венчурным финансированием, оцениваемого в сумму свыше 1 млрд долл.

Одной из причин может быть неудовлетворительное IPO известных компаний, таких как Snapchat и Blue Apron, в 2017 году. Обе они завершили год с капитализацией ниже, чем после выхода на публичный рынок. Другая связана с доступностью существенных объемов финансирования, предоставляемого 100-миллиардным фондом Softbank и прочими. Однако в 2018 году, после успешного дебюта Dropbox на рынке ценных бумаг ситуация для DocuSign может измениться.

К технологическим компаниям, которым в 2018 году удалось успешно провести IPO, относятся также Spotify и разработчик корпоративного программного обеспечения Zuora. Оценка технологических компаний, вышедших в 2018 году на IPO, уже достигла 7 млрд долл. – это больше, чем в 2015 и 2016 годах вместе взятых. И хотя ориентированные на потребительский рынок технологические гиганты Uber, Airbnb и Pinterest в последние годы обсуждают тему IPO неохотно, они вполне могут стать следующими в этой очереди. Генеральный директор Uber Дара Хосровшахи заявил, что его компания, оцениваемая сейчас в 68 млрд долл., планирует выйти на IPO в 2019 году. Lyft и Airbnb также сигнализируют о подготовке к этому процессу.

Заместитель главы Минкомсвязи Алексей Козырев особо подчеркнул, что биометрические технологии надежнее паролей. По его словам, сначала разработанную партнерами систему внедрят в банки, затем ее станут применять в госуслугах, далее — в других областях. Для ее создания только отечественное программное обеспечение. Все данные хранятся в облачной инфраструктуре «Ростелекома». Ключевая особенность системы заключается в том, что она позволяет совершать юридически значимые операции.

Вице-президент по развитию бизнеса ПАО «Ростелеком» Александр Айвазов считает получившийся продукт важным элементом будущего цифровой экономики. Он рассказал, что оператор совместно с банками работал над ним всего полгода. В результате получилась мультимодальная и мультивендорная система идентификации, в качестве биометрических данных использующая голос и фотографию пользователя. Ее можно применять не только в банковской системе, но и в образовании, ретейле, интернет-торговле и медицине. Сейчас же 12 банков тестируют технологию в пилотом режиме. По его подсчетам, 30% счетов будут оптимизированы, что приведет к снижению цен для клиентов. По словам Айвазова, рынок биометрических технологий в данный момент наиболее активно развивается именно в коммерции.

Удаленная биометрическая идентификация призвана упростить взаимодействие финансовых организаций с клиентами, сказал председатель правления «Тинькофф банка» Оливер Хьюз. Это важно как для самих клиентов, так и для банков, особенно онлайн-банков, каким является сам «Тинькофф банк».

Директор созданного «Ростелекомом» офиса «Цифровая идентичность» Иван Беров продемонстрировал технологию в действии. Сначала клиент должен зарегистрироваться на портале госуслуг, если у него еще не было учетной записи, затем сделать в банке фотографию и голосовую запись, которые будут приняты системой в качестве шаблона. Когда пользователь входит в систему, он вводит логин и пароль, дает согласие на сбор и обработку персональных данных, делает фото и произносит набор цифр для записи голоса одновременно. После входа он выполняет нужные ему банковские операции и подтверждает их простой электронной подписью.

Взятие биометрических данных проходит бесплатно, однако стоимость разового доступа банков к персональным данным граждан в единой системе составит 200 руб., сообщил Айвазов. Из них половину будут переводить банку, который первоначально участвовал в снятии первичной биометрии, оставшиеся 100 руб. уйдут другим участникам системы — операторам, Единому порталу госуслуг, а также поставщикам технологических решений.

На первом этапе в качестве биометрических данных предусмотрены только голос и внешность, поскольку у основной массы населения есть телефон с камерой, объяснили эксперты. Далее могут появиться другие варианты, например, идентификация по радужной оболочке глаза или линиям ладони. Это позволит с удобством пользоваться в том числе людям с инвалидностью.

Данная система предполагает несколько уровней идентификации, призванных защитить клиентов от мошенничества. Во-первых, в ней остаются пароли. Во-вторых, во время входа изображение и голос записывается одновременно — так технология определяет, живой ли перед ней человек. В-третьих, система будет отслеживать поведение клиента и реагировать в подозрительных случаях. В-четвертых, все операции завершаются подтверждением простой электронной подписью. В-пятых, голосовые записи и фотографии размещаются отдельно друг от друга, в разных контурах, поэтому при доступе к одному из них злоумышленник не обязательно сможет добраться до другого. Наконец, для обеспечения безопасности данных используется криптография.

Персональные данные будут защищаться федеральным законом. Правоохранительные органы могут иметь к ним доступ, но только в случаях, когда это действительно необходимо, заверили спикеры.

Система сможет распознать клиента при незначительных изменениях внешности и голоса, например, при простуде. Очки и борода тоже не помещают. Однако если происходит что-то серьезное (скажем, операция на связках), потребуется повторная регистрация.

Как сказал член правления ВТБ Владимир Верхошинский, банки оставляют за собой право дополнительной идентификации, то есть даже после прохождения процедуры идентификации в единой биометрической системе возможен отказ в обслуживании.

Банки смогут предоставлять друг другу собранные ими данные по аналогии с бюро кредитных историй.

Официально система заработает 1 июля 2018 года. При желании пользователь может удалить внесенные данные: процедура выхода из системы предусмотрена, обещали спикеры.

В IBM Security выяснили, что при входе в приложения и устройства пользователям важнее уровень безопасности (70%), а не удобство использования. Исследование показало, что молодые люди традиционным паролям предпочитают биометрию, многофакторную аутентификацию и диспетчер паролей. Респонденты посчитали биометрические технологии (считывание отпечатков пальцев, распознание лиц и голоса) более надежными: 67% опрошенных уже используют их. Также по сравнению с людьми страше 55 лет миллениалы в два раза чаще применяют диспетчер паролей (34% против 17%).

Наиболее осведомленными в вопросе аутентификации оказались пользователи из стран Азиатско-Тихоокеанского региона: 78% респондентов в регионе высказывались за новые виды идентификации, в то время как в ЕС этот показатель составил 65%, а в США – 57%.

В IBM считают, что, поскольку работники молодого поколения сегодня начинают преобладать на рынке труда, организации должны адаптироваться к их предпочтениям, прибегая к новым способам защиты информации.

Система биометрической аутентификации Face ID, реализованная в смартфоне iPhone X, распознает лицо пользователя по изображениям, полученным в инфракрасном и видимом диапазоне. Она должна работать в самых разных условиях и, как заявляют в Apple, исключительно безопасна. Некоторые аспекты работы Face ID разъясняются в недавно опубликованном на сайте Apple информационном документе.

При разблокировке смартфона Face ID снимает в инфракрасном диапазоне больше 30 тыс. точек на лице пользователя и строит по ним глубинную карту, причем расположение точек индивидуально для каждого смартфона. Кроме того, она делает обычный плоский снимок лица. Данные подписываются цифровой подписью и отправляются в защищенный сопроцессор Secure Enclave. Сравнение снимка с образцом производится нейронными сетями, обученными более чем на миллиарде изображений. Благодаря съемке в инфракрасном диапазоне система может узнать пользователя даже в солнечных очках.

Как утверждают в компании, вторая нейронная сеть проверяет, не предъявлена ли системе вместо настоящего лица фотография или маска. Впрочем, недавно специалисты вьетнамской компании Bkav показали, что смартфон все-таки можно разблокировать с помощью специально изготовленной маски, хотя процесс ее изготовления довольно сложен и включает в себя съемку лица с нескольких точек и печать маски на трехмерном принтере.

Разработчики менеджера паролей Dashlane первыми воспользовались преимуществами малоизвестной функции, поддерживаемой процессорами Intel Core восьмого поколения. Речь идет о двухфакторной аутентификации исключительно средствами ПК, не прибегая к помощи телефона.

Аутентификация Universal Second Factor (U2F) поддерживается восьмым поколением архитектуры Core. Как правило, двухфакторная аутентификация (two-factor authentication, 2FA), рекомендуемая на протяжении многих лет как дополнительное средство защиты электронной почты, облачного хранилища и других источников данных, подразумевает передачу на телефон пользователя специального кода посредством приложения или SMS. Архитектура Intel Core восьмого поколения и связанное с нею программное обеспечение позволяют пользователю обойтись без телефона. Для аутентификации транзакции 2FA достаточно нажать соответствующую программную «кнопку».

С технической точки зрения в поддержке U2F нет ничего нового. В седьмом поколении чипов Intel Core, разрабатывавшихся под кодовым наименованием Kaby Lake, появилась технология Software Guard Extensions. По сути, SGX представляет собой защищенную область внутри чипа, предназначенную для хранения ключей шифрования. Но до сих пор поддержка SGX, как заявлялось, обеспечивалась только в двух сервисах: Dropbox и Duo Security.

«Обладателям восьмого поколения чипов Core мы предлагаем воспользоваться преимуществами встроенной технологии и использовать U2F в качестве дополнительного средства аутентификации», – заявила менеджер компании Dashlane по вопросам стратегического партнерства Эллисон Бейкер. Она подтвердила, что U2F будет работать с восьмым поколением чипов Core для потребителей, а для бизнеса технология Intel vPro требоваться не будет.

«Вам не понадобится телефон или что-то еще, – добавила Бейкер. – Только ПК, поддерживающий технологию Intel».

Почему это так важно? Проникновение злоумышленников в ваш ПК грозит немалыми неприятностями, вот почему были придуманы Windows Hello, пользовательские PIN-коды и пароли Windows. Но с появлением веб-сервисов, доступных фактически из любой точки, возникла необходимость создать еще один уровень безопасности, который защитил бы пользователей от непрошеных гостей. Двухфакторная аутентификация поможет обеспечить безопасность транзакций такого рода; U2F обещает избавить вас от хлопот.

Реализация U2F в чипах Core

Организация FIDO Alliance разработала U2F в качестве открытого стандарта, призванного упростить двухфакторную аутентификацию. Для регистрации в интернет-сервисах наподобие Dashlane создаются два ключа — открытый, зарегистрированный в самом сервисе, и закрытый, хранящийся в чипе Core на клиентском ПК.

Клиентским закрытым ключом, объяснила Бейкер, подписывается сообщение, которое сервис идентифицирует как исходящее от клиентского ПК. Подпись проставляется после того, как пользователь уведомляет о своем присутствии нажатием специальной кнопки на экране. Кнопку эту выводит связующее программное обеспечение Intel Online Connect. Корпорация Intel уже много лет занимается созданием решений безопасности для ПК. В прошлом году Intel продемонстрировала технологию Authenticate, в которой использовались отпечатки пальцев, PIN-коды, пары телефонов и другие средства.

Для аутентификации Dashlane пользователю требуется ввести пароль. Затем Intel Online Connect находит ключ безопасности. Чтобы отправить этот ключ, необходимо нажать кнопку, которая отображается на протяжении 15 секунд в отдельном окне в случайной области экрана. При выводе окна используется технология Intel Protected Transaction Display, позволяющая чипу непосредственно формировать изображение на экране. Пользователь видит на экране кнопку. В случае атаки типа «человек посередине» атакующий увидит перед собой всего лишь пустой черный прямоугольник.

U2F укрепляет первую линию защиты ПК и создается при помощи Windows Hello, PIN-кода или пароля. Если атакующему удалось подобрать PIN-код в тот момент, когда вы отошли от компьютера, то для подключения ему понадобится еще и пароль Dashlane. При традиционной двухфакторной аутентификации посредством телефона специальный сервис отправляет код на этот телефон и предупреждает тем самым вас о совершении атаки.

Сервисы наподобие Dashlane дают возможность воспользоваться функциями U2F, встроенными в чипы Intel Core. Паролей обычно вполне достаточно, но постоянно вводить сложные, труднозапоминаемые пароли весьма неудобно. Задача заключается в том, чтобы обеспечить необходимую безопасность, не перекладывая это бремя на пользователя, и похоже, Intel и ее партнерам, удалось найти достаточно быстрый и удобный способ защиты.