Tweeling misleidt stemidentificatie Britse bank HSBC
Een twee-eiige tweeling is erin geslaagd de stemidentificatie van de Britse HSBC Bank te omzeilen. Voice ID laat bankklanten via hun stem telefonisch bankieren. Volgens de bank is het eenvoudiger en veiliger om bankrekeningen via telefonisch bankieren te benaderen.
Om van de dienst gebruik te maken moet een gebruiker eerst een "voiceprint" aanmaken door vijf keer de zin "My voice is my password" te zeggen. Hierna is het niet meer nodig om met codes of wachtwoorden te werken. Het zeggen van deze zin is voldoende om toegang te krijgen. Een BBC-verslaggever had stemidentificatie voor zijn HSBC-rekening ingesteld. Vervolgens liet hij zijn twee-eiige tweelingbroer opbellen.
Die bleek na zeven mislukte pogingen bij de achtste poging ook toegang tot het account te krijgen. De bank heeft aangegeven dat het naar manieren gaat kijken om het systeem veiliger te maken. Volgens een woordvoerder van HSBC hebben tweelingen gelijke voiceprints, maar heeft de introductie van stemidentificatie voor een grote vermindering van fraude gezorgd en is het veiliger dan pincodes en wachtwoorden.
Maar hee, als je graag jezelf voor de gek wil houden dan is biometrie helemaal supergaaf en fixie hip, weetsjewel. Want je in een hollywoodfilm wanen geeft echt een veilig gevoel, gewoon.
Maar dit zijn twee-eiige tweelingen. Dus eigenlijk gewone broers die even oud zijn.
Als "toevoeging" is het leuk, maar los heeft het geen meerwaarde.
Het gebruik van admin/admin 12345678 qwerty 12 als User password oplossingen zijn in het geheel niet veilig. Om dan te zeggen dat het hele mechanisme niet deugt is te kort door de bocht. Na 7 keer herhalen pad een hit, hoe zat het ook alweer met pogingen om passwords te kraken....
Het gebruik van admin/admin 12345678 qwerty 12 als User password oplossingen zijn in het geheel niet veilig. Om dan te zeggen dat het hele mechanisme niet deugt is te kort door de bocht. Na 7 keer herhalen pad een hit, hoe zat het ook alweer met pogingen om passwords te kraken....
Probleem met biometrie ipv wachtwoord is dat je je wachtwoord kan veranderen als die geconpromitteerd is. Je stem/iris/vingerafdruk veranderen is wat lastiger..
Biometrie voor authenticatie is als één en hetzelfde wachtwoord voor alle systemen, waarbij je het wachtwoor ....
Een nogal zwakke aanpak als password iets weten moet je niet als imentatatie doortrekken naar iets anders.
Het doel van autenticatie is het bewijs leveren dat de bewering wie je bent (dat accout) ook klopt. Het bewijs via een password is een omweg met iets dat je weet. Het ultieme bewijs is de overeenstemming als biometrische gegeven, vingerafdruk dna irisscan stem oor gezicht echt alles.
En dat gedoe met sloten kunnen vervangen als de sleutel gejat of verloren of gewoon niet door je ex teruggegeven is? Nergens voor nodig. "WANT BIOMETRIE!" Heel goed, karma4, je hebt het helemaal begrepen.
Erger…
Er staat nergens dat 7x het maximum is. In het bronartikel staat ook een voorbeeld waarbij men 20x foutieve inlogpogingen kon doen, waarna men alsnog kon inloggen. Misschien is het aantal pogingen nog veel hoger, of zelfs ongelimiteerd.
Dit is waar want het blijkt keer op keer echt onmogelijk om biometrie te omzeilen..
Enkele cold cases zijn recent zo aangepakt ter ontlasting van iemand en als bewijs van een onopgelost iets.
Dit is waar want het blijkt keer op keer echt onmogelijk om biometrie te omzeilen..
Het gebruik van admin/admin 12345678 qwerty 12 als User password oplossingen zijn in het geheel niet veilig. Om dan te zeggen dat het hele mechanisme niet deugt is te kort door de bocht. Na 7 keer herhalen pad een hit, hoe zat het ook alweer met pogingen om passwords te kraken....
Laten we hier een goede insteek op nemen; als een wachtwoord met 7 bruteforce-pogingen gekraakt kan worden... wat zegt dat over het wachtwoord?
Duidelijk wordt uit dit voorbeeld dat wss een deel van de methodiek zo toegepast wordt om bij lagere geluidskwaliteit wel te kunnen authenticeren; wedden dat dit de zwakte indirect veroorzaakt?
Zie het dan als een gebruteforced wachtwoordveld wat nog een extra handje geholpen kan/zal worden...
Je moet bewijzen wie je wel bent, zij moeten niet bewijzen wie je niet bent.
Ik heb altijd gevonden dat veiligheid een beetje ongemak mag opleveren. Een wereld waarin je geen huissleutels nodig hebt zou ook makkelijk zijn, maar het ongemak van een sleutelbos en een aantal keer per dag even naar de juiste sleutel moeten zoeken neem ik graag op de koop toe omdat het me nog veel grotere ellende bespaart. Niet alles hoeft zo makkelijk mogelijk gemaakt te worden, de optimale balans ligt niet bij het ultieme gemak.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
