12 августа 2008
В. Герасименко, Ю. Кирсанов, Ю. Язов. Особая роль национального стандарта РФ ГОСТ Р 52633—2006 в системе международных биометрических стандартов.
В. Г. Герасименко, Ю. Г. Кирсанов, Ю. К. Язов
Защита информации №2, 2008
Показано, что происходит активное внедрение биометрических технологий для защиты интересов частных граждан и государства. Введено и вводится в действие порядка 50 национальных и международных биометрических стандартов. При этом возрастает роль защиты биометрических данных граждан и обеспечения высоконадежной биометрической аутентификации. Россия является первой страной, разработавшей для себя национальный стандарт по обеспечению требований к средствам высоконадежной биометрической аутентификации.
Тотальная информатизация современного общества усиливает роль средств защиты информации. Одним из направлений информатизации является использование новых технологий биометрической идентификации и аутентификации личности человека. Технологии биометрической идентификации личности активно развиваются как в России, так и во всех других странах, имеющих соответствующий научно-технический потенциал. Активизация разработки новых биометрических технологий связана с введением мировым сообществом паспортно-визовых документов нового поколения, ориентированных на замену органолептической идентификации человека по его фотографии и образцу подписи в обычном паспорте на автоматизированную биометрическую идентификацию.
В связи с тем, что международные паспортно-визовые документы следующего поколения должны выдаваться в одних странах, а проверяться в других, основные технологические моменты биометрической идентификации должны быть стандартизованы системой национальных и международных стандартов. Далее даны названия, даты публикации уже разработанных биометрических стандартов.
Перечень введенных в действие национальных и международных биометрических стандартов
- ISO/IEC FDIS 19784-2.
Publication date: 2006-09 Information technology — Biometric application programming interface — Part 2: Biometric archive function provider interface.
- ISO/IEC 19794-8.
Publication date: 2006-10 Information technology - Biometric data interchange formats - Part 8: Finger pattern skeletal data.
- ISO/IEC FDIS 19794-9.
Publication date: 2006-10 Information technology - Biometric data interchange formats - Part 9: Vascular image data.
- ISO/IEC FDIS 19795-2.
Publication date: 2006-10 Information technology — Biometric performance testing and reporting — Part 2: Testing methodologies for technology and scenario evaluation.
- ISO/IEC FDIS 24709-1.
Publication date: 2006-10 Information technology - Conformance testing for the biometric application programming interface (BioAPI) — Part 1: Methods and procedures.
- ISO/IEC FDIS 24709-2.
Publication date: 2006-10 Information technology - Conformance testing for the biometric application programming interface (BioAPI) — Part 2: Test assertions for biometric service providers.
- BS ISO/IEC 19794-3.
Publication date: 2006-09-29 Information technology - Biometric data interchange formats - Finger pattern spectral data.
- DIN V 66400.
Publication date: 2003-07 Finger minutiae encoding format and parameters for on-card matching.
- DIN EN 12251.
Publication date: 2005-07 Health informatics — Secure User Identification for Health Care — Management and Security of Authentication by Passwords; English version EN 12251:2004.
- ISO/IEC 7816-11.
Publication date: 2004-04 Identification cards - Integrated circuit cards - Part 11: Personal verification through biometric methods.
- ISO/IEC 11694-6.
Publication date: 2006-03 Identification cards Optical memory cards — Linear recording method — Part 6: Use of biometrics on an optical memory card.
- ISO/FDIS 19092-1.
Publication date: 2006-08 Financial services - Biometrics - Part 1: Security framework.
- ISO/IEC 19784-1.
Publication date: 2006-05 Information technology — Biometric application programming interface — Part 1: BioAPI specification.
- ISO/IEC 19785-1.
Publication date: 2006-05 Information technology — Common Biometric Exchange Formats Framework — Part 1: Data element specification.
- ISO/IEC 19785-2.
Publication date: 2006-04 Information technology — Common Biometric Exchange Formats Framework — Part 2: Procedures for the operation of the Biometric Registration Authority.
- ISO/IEC 19794-1.
Publication date: 2006-04 Information technology — Biometric data interchange formats — Part 1: Framework.
- ISO/IEC 19794-2.
Publication date: 2005-09 Information technology — Biometric data interchange formats — Part 2: Finger minutiae data.
- ISO/IEC 19794-3.
Publication date: 2006-08 Information technology - Biometric data interchange formats - Part 3: Finger pattern spectral data.
- ISO/IEC 19794-4.
Publication date: 2005-06 Information technology - Biometric data interchange formats - Part 4:
Finger image data.
- ISO/IEC 19794-5.
Publication date: 2005-06 Information technology — Biometric data interchange formats — Part 5: Face image data.
- ISO/IEC 19794-6.
Publication date: 2005-06 Information technology — Biometric data interchange formats — Part 6: Iris image data.
- ISO/IEC 19795-1.
Publication date: 2006-04 Information technology — Biometric performance testing and reporting — Part 1: Principles and framework.
- ASTM D 6954.
Publication date: 2004 Standard Guide for Exposing and Testing Plastics that Degrade in the Environment by a Combination of Oxidation and Biodegradation.
- 02/648270 DC.
Publication date: 2002-08-21 BS ISO/IEC 7816: Information technology - Identification cards - Integrated circuit(s) cards with contacts — Part 11: Personal verification through biometric.
- 05/30107743 DC.
Publication date: 2005-08-26 ISO/IEC 19794-7: Biometric data interchange - Part 7: Signature/sign data.
- 05/30107760 DC.
Publication date: 2005-08-26 ISO/IEC 24713-1: Biometric profiles for interoperability and data interchange — Part 1: Biometric reference architecture.
- 05/30111479 DC.
Publication date: 2005-08-26 ISO/IEC 19794-8: Biometrics - Biometric data interchange formats - Part 8: Finger pattern skeletal data.
- 05/30116896 DC.
Publication date: 2005-09-01 ISO 19092-1: Financial services - Biometrics - Part 1: Security framework.
- 05/30130618 DC.
Publication date: 2005-07-28 ISO/IEC 19784-2: BioAPI - Biometric application programming interface — Part 2: Biometric archive function provider interface.
- 06/30107742 DC.
Publication date: 2006-02-01 ISO/IEC 19794-7: Biometric data interchange - Part 7: Signature/sign data.
- 06/30107745 DC.
Publication date: 2006-02-01 ISO/IEC 19795-2: Biometric performance testing and reporting – Part 2: Testing methodologies.
- 06/30116899 DC.
Publication date: 2006-06-16 ISO 19092-2: Financial services - Biometrics - Part 2: Message syntax and cryptographic requirements.
- 06/30130581 DC.
Publication date:2006-02-01 ISO/IEC 19794-9: Biometric data interchange formats - Part 9. Vascular image data.
- 06/30130585 DC.
Publication date: 2006-02-01 ISO/IEC 19794-10: Biometric data interchange formats - Part 10: Hand geometry silhouette data.
- 06/30130621 DC.
Publication date: 2006-02-01 ISO/IEC 19785-3: Common biometric exchange formats framework - Part 3: Patron format specifications.
- 06/30145978 DC.
Publication date: 2006-08-08 ISO/IEC 19794-5 AMD 1 - Biometric data interchange formats - Part 5: Face image data.
- 06/30145999 DC.
Publication date: 2006-08-08 ISO/IEC 19784-1 AMD 1 - BioAPI biometric application programming interface — Part 1: BioAPI specification.
- BS ISO/IEC 11694-6.
Publication date: 2006-05-31 Identification cards - Optical memory cards - Linear recording method —Use of biometrics on an optical memory card.
- BS ISO/IEC 19784-1.
Publication date: 2006-05-31 Information technology — Biometric application programming interface — BioAPI specification.
- BS ISO/IEC 19785-1.
Publication date: 2006-05-31 Information technology — Common biometric exchange formats framework — Data element specification.
- BS ISO/IEC 19785-2.
Publication date: 2006-05-31 Information technology - Common biometric exchange formats framework — Procedures for the operation of the biometric registration authority.
- BS ISO/IEC 19794-1.
Publication date: 2006-04-28 Information technology - Biometric data interchange formats -
Framework.
- BS ISO/IEC 19794-2.
Publication date: 2005-10-17 Information technology - Biometric data interchange formats - Finger minutiae data.
- BS ISO/IEC (9794-4.
Publication date: 2005-07-29 Information technology - Biometric data interchange formats - Finger image data.
- BS ISO/IEC 19794-5.
Publication date: 2005-07-28 Information technology - Biometric data interchange formats - Face image data.
- BS ISO/IEC 19794-6.
Publication date: 2005-07-29 Information technology - Biometric data interchange formats - Iris image data.
- BS ISO/IEC 19795-1.
Publication date: 2006-04-28 Information technology - Biometric performance testing and reporting — Principles and framework.
- ГОСТ Р ИСО/МЭК 19784-1.
Дата публикации: 2006 г., "Автоматическая идентификация. Биометрическая идентификация. Биометрический программный интерфейс. Спецификация биометрическиго программного интерфейса" (BioAPI).
- ГОСТ Р ИСО/МЭК 19794-5.
Дата публикации: 2006 г., "Автоматическая идентификация. Идентификация биометрическая. Форматы обмена биометрическими данными. Часть 5. Данные изображения лица.
- ГОСТ Р ИСО/МЭК 19794-6.
Дата публикации: 2006 г., "Автоматическая идентификация. Идентификация биометрическая. Форматы обмена биометрическими данными. Часть 6. Данные изображения радужной оболочки глаза".
- ГОСТ Р ИСО/МЭК 19794-2.
Дата публикации: 2006 г., "Автоматическая идентификация. Идентификация биометрическая. Форматы обмена биометрическими данными. Часть 2. Данные изображения отпечатка пальца — контрольные точки".
- EGV 2252/04.
Council Regulation (EC) No 2252/2004 of 13 December 2004 on standards for security features and biometrics in passports and travel documents issued by Member States, Publication date: 2004-12-13 published in: AB1 EU (2004).
- ГОСТ Р 52633-2006.
Дата ввода в действие 01.04.07, "Защита информации. Техника защиты информации. Требования к средствам высоконадежной биометрической аутентификации".
Из данного перечня видно, что сегодня мировым сообществом осуществляется огромная работа. Из 53 приведенных выше стандартов только 3 опубликованы ранее 2005 г., 50 стандартов — в 2005 — 2006 гг. Ожидается, что в ближайшее время число опубликованных стандартов возрастет примерно на 10 — 20 стандартов ежегодно.
Разработкой международных биометрических стандартов занимается ISO/IEC JTC1 SC37, его функции в России выполняет ГОСТ Р ТК355 ПК7 "Биометрическая идентификация". Вопросами защиты биометрической информации занимается ISO/IEC JTC1 SC27, в России эти функции выполняет ГОСТ Р ТК362 "Защита информации".
В период 2005 — 2006 гг. мировое сообщество уделяло значительное внимание вопросам стандартизации средств защиты информации, ориентированным на биометрические приложения. Лидером по этим вопросам является Россия, уже разработавшая свой национальный стандарт, который решил проблемы защиты биометрических шаблонов человека и безопасной дистанционной биометрической аутентификации в открытых информационных пространствах. Международный комитет ISO/IEC JTC1 SC27 пока только приступил к разработке соответствующих международных стандартов. Перечень стандартов, разрабатываемых ГОСТ Р ТК362 и ISO/IEC JTC1 SC27 по вопросам защиты биометрических приложений, приводится далее.
Высоконадежная и высокозащищенная биометрия, ориентированная в том числе на использование в открытых информационных пространствах не может создаваться без учета особенностей безопасной стыковки с криптографическими механизмами. Россия идет по пути использования больших и сверхбольших искусственных нейронных сетей, автоматически обучаемых преобразовывать биометрический образ человека в его личный криптографический ключ (длинный пароль). Если судить по открытым публикациям, то исследователи США ту же самую задачу намерены решать с привлечением "fuzzy''-экстрактора, который должен нечеткий биометрический образ преобразовать в четкий криптографический ключ. Подходы России и США существенно различаются. Российская технология позволяет получать сильные ключи от специальных генераторов случайных чисел, и по этой причине качество ключей российских разработчиков не волнует. "Fuzzy''-технология США близка к нейросетевой, но она не предполагает обучения. "Fuzzy''-логика проектируется однократно, и далее "fuzzy''-правила не изменяются, т. е. заранее неизвестно, какой ключ получится на выходе "fuzzy''-преобразователя биометрия — код. Последнее порождает проблему потенциально слабых биометрических ключей или длинных паролей [1].
Наблюдается ситуация, когда мировому сообществу две страны предлагают два разных технических решения для ликвидации проблемы "цифрового неравенства" граждан информационного общества [2]. Какая из двух технологий окажется лучше, покажет будущая практика, однако до реальных действительно массовых ответственных применений преобразователей биометрия — код пока достаточно далеко. Высоконадежные средства защиты информации (криптографические или биометрические) нуждаются в сертификации. Проблемы сертификации криптографических средств давно решены, и уже построены соответствующие национальные системы сертификации. Применительно к высоконадежной биометрии эти проблемы только предстоит решать. В связи с этим члены ГОСТ Р ТК362 на предыдущем заседании (31.05.2006 г. Воронеж) проголосовали за включение в план на 2007 — 2008 гг. разработку двух новых национальных стандартов по тестированию средств высоконадежной биометрии.
Перечень разрабатываемых и вводимых в действие национальных и международных биометрических стандартов, касающихся защиты биометрических данных и технологий
- ГОСТ Р 52633-2006
, дата ввода в действие: 01.04.2007 г. "Защита информации. Техника защиты информации. Требования к средствам высоконадежной биометрической аутентификации".
- ISO/IEC 24745
Publication date:******** Information technology — Security techniques — Biometric template protection.
- ISO/IEC 24761
Publication date:******** Information technology — Security techniques —Authentication context for biometric.
Перечень планируемых к разработке национальных биометрических стандартов, касающихся тестирования преобразователей биометрия—код
- ГОСТ Р *******ТК362-2007-2008
, дата публикации: ******* "Защита информации. Техника защиты информации. Требования к формированию баз биометрических образов, предназначенных для тестирования средств высоконадежной биометрической аутентификации".
- ГОСТ Р *******ТК362-2007-2008
, дата публикации: ******* "Защита информации. Техника защиты информации. Тестирование средств высоконадежной биометрической аутентификации".
Оба эти стандарта органически связаны. Для тестирования средств высоконадежной и высокозащищенной биометрии необходимо создавать большие базы биометрических образов (рукописных, голосовых, отпечатков пальцев и т. д.). Эти базы должны быть правильно созданы, корректно сбалансированы по своей представительности и далее корректно использованы при тестировании. Тестирование средств высоконадежной биометрии является самостоятельной проблемой. Средства относительно слабой биометрии с вероятностью ошибок второго рода порядка 0.0001 можно проверить на базе из 300000 образов за несколько часов. Для аналогичной проверки средств высоконадежной биометрии со стойкостью 1012 автоматизированная проверка потребует несколько лет машинного времени. В связи с этим стандарт № 2 из этого списка должен описывать процедуры ускоренного тестирования, занимающего приемлемые интервалы времени. Так как Россия на данный момент является лидером по созданию технологий высоконадежной биометрической аутентификации, мы не можем воспользоваться международным опытом при разработке новых стандартов. В связи с тем, что аналогов в мировой практике нет, необходимо закладывать определенный запас времени и ресурсов на разработку новых стандартов.
Из приведенного выше вытекает, что национальный российский стандарт ГОСТ Р 52633-2006 (№ 1, перечень 2) на данный момент играет важную роль в системе международных стандартов. Этот документ демонстрирует мировому сообществу, что существует реальный путь существенного усиления биометрической защиты, одновременно решающий как вопросы обеспечения защиты личных биометрических данных, так и вопросы безопасной дистанционной биометрико-криптографической аутентификации. Это одно из ярких подтверждений необходимости многополярного мира, когда технологии наиболее развитых стран дополняют друг друга и позволяют совместными усилиями обеспечивать безопасность открытых информационных пространств всех государств.
Литература
- Dodis Y., Reyzin L., Smith A. Fuzzy Extractors: How to Generate Strong Keys from Biometrics and Other Noisy Data / April 13, 2004. www.cs.bu.edu/-reyzin/fuzzy.html.
- Иванов А. И., Анисимова Л. Ю., Акмаев А. А. Механизмы противодействия "цифровому неравенству" граждан информационного общества // Защита информации INSIDE. 2006. № 4. С. 26-29.
Источник: Журнал "Защита информации"
