Dati biometrici, cosa sono e quanto cambia nella protezione dei dati

Cosa si intende con dati biometrici e perché se ne parla spesso?

Partiamo dalla definizione data dal GDPR, in cui è spiegato che si tratta di “dati personali ottenuti da un trattamento tecnico specifico, relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica e che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici”.

Il dato biometrico è per esempio l’impronta digitale usata per sbloccare gli smartphone di ultima generazione, ma anche la forma fisica della mano, del volto, dell’iride o della retina, il timbro e la tonalità della voce.

La raccolta di questi dati avviene tramite componenti hardware e software che acquisiscono le informazioni e le analizzano confrontandole con dati acquisiti in precedenza e conservati in un database (di solito direttamente sullo smartphone, nel caso delle, impronta, e non condivisi con il produttore). In tal modo è possibile identificare la persona interessata.

Cosa cambia per la sicurezza dei dati? Scopriamo nel dettaglio come funziona e come può essere sfruttata da malintenzionati.

Sicurezza dei dati biometrici

In che modo dati biometrici come impronte digitali e riconoscimento facciale, pur essendo un passo avanti rispetto a SMS e alle password, sono comunque un rischio per la sicurezza?

Il punto è che video e audio possono essere adoperati come porta d’ingresso per malware e gli algoritmi utilizzati per creare i deep fake stanno diventando sempre più avanzati e accurati.

DeepLocker, infatti, è stato uno dei primi AI powered Malware Attack, che rimane silente attivandosi solo quando raggiunge la vittima designata. Grazie all’Intelligenza Artificiale, in altre parole, attivava il “detonatore” dopo aver identificato il bersaglio attraverso parametri di natura biometrica.

Il DeepLocker ha cambiato le tecniche di intrusione adottate dai malware tradizionali riuscendo a nascondersi in software come quelli di videoconferenza, una minaccia non da poco se pensiamo all’utilizzo frequente che se ne fa oggi.

Ciò non vuol dire che sia sbagliato adottare sistemi basati sulla biometrica, ma nessuna soluzione nel campo della cyber security è realmente immune da rischi.

Le impronte digitali sono davvero sicure?

Tutti sappiamo che ogni impronta digitale è unica, eppure è possibile bypassare anche questa misura di sicurezza: un esperto ha utilizzato l’applicazione VeriFinger per replicare l’impronta del Presidente della Commissione Europea Ursula von der Leyen, partendo da una semplice foto, dimostrando così che anche questo tipo di misura di sicurezza ha delle falle. Inoltre, a pensarci bene, dati come le impronte e l’iride non sono sostituibili e ottenere queste informazioni, pur essendo molto difficile, non è impossibile, poiché il PSD2 (la Direttiva dei Sistemi di Pagamento) ha consentito di creare database giganteschi contenenti queste informazioni, che quindi possono essere sottratte.

Secondo una ricerca effettuata dalla New York University e della Michigan State University, risulta che gli smartphone possono essere facilmente ingannati da impronte digitali “finte”, composte combinando le caratteristiche comuni trovate nelle impronte digitali di tutti.

Ciò può avvenire perché gli scanner sugli smartphone sono molto piccoli e sono in grado di leggere solo impronte digitali parziali. In genere, un device prende da 8 a 10 immagini di un dito per rendere più facile fare una corrispondenza.

Per sbloccare il telefono basta che una sola immagine corrisponda a una di quelle memorizzate, perciò questo sistema è vulnerabile.

Esempi di bug del riconoscimento tramite impronta

A causa di un bug, due prodotti samsung erano vulnerabili, si tratta del Galaxy Note 10 e dello smartphone S10; a causa di interferenze provocate da alcune cover di silicone, lo scanner di impronte digitali ad ultrasuoni riconosceva le impronte di chiunque come quelle del proprietario; il bug è stato risolto con una patch in circa 48 ore, ma bisogna ricordare che che per molti utenti questo è il device più utilizzato anche accedere ai servizi di home banking.

Questo è un grande rischio e probabilmente i sistemi basati unicamente sull’impronta digitale non sono necessariamente i più sicuri.

Biometria e Privacy

L’impiego sempre più pervasivo dei dati biometrici porta anche un’altra conseguenza: ogni giorno si raccolgono tantissimi dati degli utenti che potrebbero essere usati per esercitare un maggiore controllo sulle persone.

Se, da un lato, vengono usate tecnologie utili come i lettori automatici di targhe (ANPR) per scansionare le auto e individuare quelle rubate, dall’altro le tecnologie di riconoscimento facciale sono usate dall’FBI negli USA in alcuni caso anche senza il consenso degli interessati, scaricando i dati nel proprio database e utilizzando i propri algoritmi.

Questo fenomeno si sta espandendo rapidamente e conferma che l’utilizzo di dati biometrici è un tema delicato, sul quale si dovrà intervenire per tutelare sia la sicurezza dei nostri dati che la privacy.