Um relatório da Gartner de outubro de 2019,“Technology Insight for Biometric Authentication“, afirma que a autenticação biométrica é geralmente adoptada para “…conseguir uma autenticação sem palavra-passe, melhorando assim a UX/CX (experiência do utilizador/experiência do cliente) e potencialmente melhorando a confiança e a responsabilidade”. Isto parece ser um sucesso garantido e uma grande vantagem para as organizações de serviços financeiros quando competem por clientes.
O relatório da Gartner chama aos serviços bancários móveis a “killer app”.killer app(“killer app”, ou seja, que em breve será indispensável em casos de utilização de serviços bancários móveis) para a autenticação biométrica. Acreditamos que chegou o momento de as instituições financeiras adoptarem a autenticação biométrica nos casos de utilização de serviços bancários móveis para aumentar a confiança e a responsabilidade e melhorar a experiência do cliente, componentes essenciais para aumentar as receitas das instituições financeiras.
Os consumidores estão preparados para a biometria no comércio e na banca?
Um inquérito recente da Visa a 1000 consumidores norte-americanos, por exemplo, diz que sim. A maioria dos inquiridos prefere a autenticação biométrica à autenticação baseada numa palavra-passe:
- Os inquiridos afirmaram que a biometria é mais fácil (70%) e mais rápida (61%) do que as palavras-passe.
- 52% afirmaram que mudariam de banco se este não oferecesse a autenticação biométrica no futuro.
- Os benefícios da autenticação biométrica mais citados pelos inquiridos foram
- Não tens de te lembrar de várias palavras-passe / PINs (50%)
- Melhor segurança do que as palavras-passe / PIN (46%)
- Não te esqueceres/esqueceres de um método de autenticação (33%)
Quando se mede a qualidade da experiência do cliente, as taxas de abandono de transacções são uma métrica importante. Quase 50% dos inquiridos pela Visa confirmaram ter abandonado uma compra em linha por não se lembrarem da sua palavra-passe.
“Os benefícios em CX (Experiência do cliente) da autenticação biométrica impulsionaram o aumento das aplicações bancárias móveis nos últimos anos”, afirma o relatório da Gartner. Ao avaliarem as soluções de autenticação biométrica, as instituições financeiras devem considerar as diferenças entre os métodos de autenticação biométrica nativos do dispositivo e de terceiros. Uma vantagem dos métodos biométricos de terceiros, que envolvem a incorporação de um SDK em um aplicativo móvel (como o oferecido pela OneSpan), é que os bancos podem atender a mais clientes. Nem todos os utilizadores têm dispositivos que incluem hardware e software nativos para dispositivos biométricos. No entanto, quase todos os dispositivos móveis incluem uma câmara, que pode ser utilizada para capturar o rosto de um utilizador para autenticação biométrica.
A autenticação biométrica é mais fiável do que outros métodos de autenticação?
É possível que sim, a autenticação biométrica é de facto mais segura do que outros métodos de autenticação. A chave para um sistema de autenticação biométrica fiável é a capacidade de detetar ou impedir a imitação da caraterística biométrica de uma pessoa viva. Uma impressão digital, “impressão facial” ou qualquer outra modalidade biométrica que escolhas não é simplesmente outra forma de palavra-passe ou ficha.
Sem uma análise adicional, não há realmente nenhuma maneira de saber quem está a fornecer uma palavra-passe. Apenas sabes que a palavra-passe foi introduzida e que corresponde à chave registada na base de dados. Por outro lado, um sistema de autenticação biométrica fiável com deteção eficaz de vivacidade e atenuação de falsificação fornece um indicador adicional de confiança, uma vez que valida o sujeito/pessoa que está a fornecer a amostra biométrica para verificação. Porque a impressão digital, o rosto ou [insira aqui a sua modalidade biométrica preferida] é apresentada em direto e está relacionada com o utilizador em pessoa.
Desfazendo um equívoco sobre a autenticação biométrica
Segundo a Gartner, “a autenticação biométrica não pode e não se baseia no sigilo das caraterísticas biométricas, mas na dificuldade de se fazer passar pela pessoa que apresenta a caraterística num dispositivo de captura (sensor). Este último ponto não é muito conhecido, o que leva a alguns equívocos comuns, reforçados pela deteção dos raros ataques de apresentação (PAD ou deteção de ataques de apresentação) detectados em dispositivos de consumo e pela publicidade sobre ataques perpetrados contra o Touch ID da Apple, os sensores de passagem da Samsung, o reconhecimento facial do Android, etc.”.
Provavelmente já ouviste a crítica de que “não podes mudar a tua impressão digital ou o teu rosto se alguma vez forem comprometidos”. É verdade: não podes mudar os teus traços biométricos como uma palavra-passe. No entanto, a ideia de que, se um cibercriminoso roubar os teus dados biométricos, ele passará com êxito o desafio de autenticação correspondente no ponto de captura biométrica está errada.
- Não podes roubar literalmente a cara/impressão digital/etc. de alguém.1– Para além dos filmes de terror, na realidade, os cibercriminosos não procuram remover (ou seja, “roubar”) o rosto ou a impressão digital de alguém do seu corpo. Os sistemas biométricos bem concebidos não “armazenam” literalmente o rosto ou a impressão digital de um utilizador. Em vez disso, armazena uma representação matemática da amostra biométrica registada no sistema (designada por modelo). A representação matemática, por si só, não tem valor no ponto de captura (ver ponto número um destacado na imagem abaixo).
- A apresentação ao vivo do traço biométrico é o ponto fulcral – Como argumenta o relatório da Gartner, “num método robusto de recolha de impressões digitais, não deve ser importante que um atacante possa apresentar uma cópia exacta da impressão digital de uma pessoa; tudo o que não seja o dedo real da pessoa (mesmo que ligado ao seu corpo vivo) não deve funcionar”. Um ataque de apresentação consiste em um inimigo apresentar uma reprodução de um traço biométrico (uma “personificação”) que se assemelha a uma referência armazenada de um utilizador legítimo (por exemplo, modelos impressos em 3D, máscaras, imagens, vídeo, etc.). A deteção em direto identifica se a caraterística biométrica apresentada é de um ser humano vivo ou é uma representação digital ou fabricada (ou, mais uma vez, uma imitação). A deteção de ataques à apresentação (Presentation Attack Detection – PAD) é uma combinação de mecanismos de deteção de falsificações e de deteção de vivacidade. Nalguns casos, o sistema PAD nativo dos consumidores pode ter de ser complementado por sistemas biométricos de terceiros. A norma ISO/IEC 30107 estabelece uma metodologia através da qual se pode medir a eficácia da PAD de uma solução biométrica.
Claro que, de ponta a ponta de ponta a ponta de um sistema de autenticação biométrica não se limita aos ataques de apresentação ao sensor onde os dados biométricos são capturados. Os ataques de repetição são um exemplo de outro risco, mas em muitos casos, a tecnologia que garante a integridade da aplicação, como a proteção na aplicação e a blindagem da aplicação/RASP, ajuda a mitigar estes riscos. No entanto, as instituições financeiras devem ter cuidado na conceção, implementação, implantação e configuração da solução de autenticação biométrica.
Interessado neste conteúdo? Descobre o nosso artigo sobre Como os bancos podem automatizar as suas comunicações jurídicas utilizando o burofax postal online.