- No final de Fevereiro, a polícia de São Paulo indiciou os donos de duas auto-escolas que fraudavam o sistema do Detran através de moldes em silicone das digitais dos alunos, que eram utilizadas para burlar o sistema que controla a presença dos alunos nas aulas de direção. Foram apreendidas cerca de 400 moldes com as digitais dos alunos.
- Nesta semana, uma médica do SAMU (Serviço de Atendimento Móvel de Urgência) foi flagrada marcando o ponto de seis colegas usando dedos de silicone.
Surpreso? Afinal, quem nunca assistiu um filme no qual o mocinho, ou o vilão, usou um molde de silicone para burlar um sensor e entrar em uma instalação super-hiper-ultra-segura? Para piorar as coisas, em 2006 os MythBusters fizeram um programa no qual testaram a eficácia dos leitores de biometria. O resultado é que os sensores que eles testaram falharam em três testes: usando uma fita de latex com a impressão digital, usando um dedo falso criado com gel balístico e, o pior de tudo, usando uma simples xerox da impressão digital. Infelizmente o vídeo não está disponível no site deles e foi retirado do YouTube, mas eu tive a sorte de assistir em 2006 e fiz um pequeno post sobre isso. No experimento eles até que tiveram um pouquinho de trabalho no começo dos testes, mas depois de um tempo tiveram uma sacada que os ajudou a conseguir burlar os leitores biométricos que estavam testando.
Mas estas duas notícias recentes de golpes em sistemas de autenticação biométrico são tão parecidas e surgiram em datas tão próximas, que nos levam a um questionamento natural: será que os dispositivos de leitura biométrica podem ser enganados tão facilmente? E como ficamos, agora que até mesmo o TSE está planejando usar biometria para identificar os eleitores nas próximas eleições?
Se você perguntar para um fabricante (ou representante) desta tecnologia, certamente ele dirá que o sistema é infalível e totalmente confiável. Sei disso pois, há muitos anos atrás, eu já trabalhei em uma empresa que revendia este tipo de solução. Mas há alguns fatores que podem fazer com que esta solução se torne ineficaz contra fraudes (e, na verdade, estes fatores se aplicam a qualquer solução):
- Falta de cuidado na escolha da tecnologia e do fornecedor. Assim como qualquer solução tecnológica, há fabricantes mais confiáveis e soluções mais robustas - em contra-partida, sempre há também os fornecedores de solução "baratinha". A verdade é uma só: quanto menos confiável for o fornecedor, mais barato e de pior qualidade será o produto oferecido. Não temos informações obre quais eram as marcas dos produtos utilizados, mas isto pode ajudar a explicar o porque os sistemas falharam ao reconhecer um dedo falso.
Falta de cuidado na implementação e na configuração, diminuindo a sensibilidade do sensor. Os sistemas de leitura de impressão digital "escaneiam" o dedo do usuário e, a partir da impressão digital, identificam alguns padrões e pontos-chave que serão utilizados para construir uma "minutiae", que descreverá aquela impressão no sistema. O nível de sensibilidade deste processo é configurável: quanto mais preciso for configurado, maior a chance de identificar uma digital corretamente mas também é maior o risco de não identificar uma digital válida, exigindo que o usuário passe seu dedo no sensor diversas vezes até ser autenticado - algo que pode ser irritante e inconveniente. Por isso, é provável que em ambos os casos os técnicos que instalaram os sensores e o software de reconhecimento o configuraram para ter um grau baixo de precisão (e, portanto, uma maior taxa de aceite e menos dor de cabeça para os usuários - é o velho questionamento entre segurança versus usabilidade e conveniência). Além do mais, no caso da auto-escola, o leitor biométrico devia estar instalado no micro da própria auto-escola e, portanto, próprio dono do equipamento poderia configurar a sensibilidade do leitor biométrico - quanto menos sensível, mais fácil cometer a fraude.
- Testes insuficientes. Fala sério, se você vai adquirir uma solução destas para proteger um sistema que já tem histórico de fraudes (como o cartão de ponto de funcionários ou os sistemas do Detran), você não iria testar o sistema contra fraudes óbvias como o uso de um molde de silicone?
Na minha opinião, é muito provável que a fraude aconteceu por má qualidade dos fornecedores ou por má configuração dos dispositivos, e não por problemas na tecnologia em si. De qualquer forma, este tipo de fraude devia ter sido prevista e testada antes da aquisição e instalação dos sistemas.
Nenhum comentário:
Postar um comentário