Американский стартап Bionym представил носимое устройство — Nymi, разработанное, чтобы избавить нас от хлопот при наборе паролей и поиске ключей. Единственным паролем отныне станет уникальный сердечный ритм владельца, который и в компьютер пустит, и двери автомобиля разблокирует. Аналитики и журналисты заинтригованы и требуют технических подробностей. Можно ли верить обещаниям о «полной безопасности без ущерба для удобства»?
Nymi — это небольшой браслет, оснащённый датчиком, который считывает электрокардиограмму (ЭКГ) владельца. Как только он подтверждает, что перед ним зарегистрированное сердце, включается механизм аутентификации, который в теории может пригодиться для доступа к бесконечному количеству электронных устройств, от интерактивных терминалов и дверей гостиничного номера до компьютерных сетей. Как видим, предусмотрено три фактора аутентификации: наличие у человека браслета и синхронизированного с ним мобильного телефона, а также ЭКГ. В рекламном видео некто проходит длинный путь от кровати до аэропортов, гостиниц и кафе, входя во все нужные ему устройства и отпирая двери без паролей и ключей. Заманчиво? Ещё бы!
Что внутри у этого устройства, как оно работает, совершенно неизвестно. Поэтому невозможно судить о том, действительно ли это новаторское изобретение или очередная разрекламированная, но в сущности бесполезная вещица. Генеральный директор компании Карл Мартин признаётся, что девайс ещё не прошёл проверку на безопасность, то есть пока нельзя говорить даже о том, насколько он устойчив к хакерским атакам, которые, без сомнения, немедленно воспоследуют.
Между тем г-н Мартин обмолвился о методах взлома, которым устройство сможет противостоять.
Во-первых, это атака повторного воспроизведения (replay attack). Если злоумышленник сможет перехватить сигнал ЭКГ и получить сам браслет, ему достаточно будет подключить гаджет к простой схеме, которая будет воспроизводить нужный сигнал. Как вариант — перехватить пакеты данных, которые браслет отправляет во время процедуры аутентификации, и воспроизвести их с помощью другого оборудования. Другими словами, это как изготовить дубликат ключа: достаточно раздобыть секретные данные и клонировать их.
Во-вторых, это релейная атака (relay attack). Если владелец Nymi, сидя в кафе, разблокировал смартфон, ничто не помешает оказавшемуся поблизости злоумышленнику ретранслировать сигнал и сесть в автомобиль пользователя на соседней стоянке.
В-третьих, атака «человек посередине» (man-in-the-middle attack): хакер располагается между браслетом и устройством, в которое входит пользователь, перехватывает сигнал, отправленный, скажем, к компьютеру, и отправляет его сам. Затем преступник принимает ответ с компьютера и переправляет его пользователю. Аутентификация завершена, однако идентифицирован не пользователь, а злоумышленник.
Так вот, г-н Мартин поясняет, что для обеспечения сохранности данных, путешествующих между браслетом и другим устройством, используется криптография на эллиптических кривых. Кроме того, между браслетом и разблокируемым гаджетом происходит зашифрованное «рукопожатие». Если технология действительно реализована как следует (а мы не знаем, как она реализована), атаки первого типа можно исключить. Например, получив сигнал о разблокировке, дверь автомобиля могла бы отправить Nymi случайный набор данных, расшифровать который можно только с помощью кода, имеющегося у браслета. В этом случае дверь подчинилась бы лишь такому приказу, в который включена расшифровка.
Кроме того, браслет способен почувствовать близость устройства, которое он намерен отпереть, — ещё одна мера, способная испортить взломщику настроение.
Хорошо, предположим, Nymi защищён от самых изощрённых атак. Но этого мало. А что если пользователь потеряет устройство или мобильный телефон (напомним, он должен быть поблизости, когда браслет надевается на руку)? Мы все время от времени теряем ключи от машины и прочие важные вещи. Как тогда проверять электронную почту и открывать двери автомобиля, пока выписывается дубликат? Это очень деликатный момент: если инженеры поставят на первое место безопасность, пользователи придут в ярость оттого, что их цифровые пожитки окажутся на какое-то время недоступными; если решат, что главное — удобство, злоумышленники получат лазейку.
И потом, не ясно, как устройство будет работать, если у пользователя случится сердечный приступ или другое расстройство. Впрочем, нас уверяют, что оно узнает сердечный ритм даже во время физических упражнений и при сильном волнении. Но если вы решили бежать марафон, браслет лучше снять.
Вопросов без ответов множество. Насколько уникальны ЭКГ? А если злоумышленники изготовят устройства, которые смогут считывать сердечный ритм других людей (ради универсального доступа они пойдут на всё, мы гарантируем это)? Каким образом базы данных, в которых хранятся все эти сведения, будут одновременно и надёжно защищены, и соединены с многообразными устройствами, которые отпирает браслет?
Г-н Мартин обещает опубликовать все детали, как только с гаджетом наиграются поставщики сторонних товаров и услуг (изготовлено и роздано несколько прототипов, а первые предпродажные экземпляры появятся в декабре) и будут завершены и аппаратная, и программная стадии разработки. Кстати, комплект разработчика будет базироваться на открытом исходном коде.
Только тогда Nymi можно будет считать действительно революционным устройством, которое избавит нас от головной боли бесконечных регистраций и аутентификаций.
Предзаказы начинают принимать сегодня. Поставки стартуют в начале 2014 года. Ориентировочная цена — меньше $100. Первыми будут разблокироваться устройства на iOS, Android, Windows и Mac OS X. Кроме того, браслет будет подавать сигнал о новых электронных письмах и сообщениях в социальных сетях.
Источник : http://compulenta.computerra.ru/tehnika/devices/10008848/
