¿Permitir que el usuario inicie sesión a través de un conjunto de IP con reconocimiento facial sería una alternativa lo suficientemente segura?

0

Estoy tratando de averiguar cómo el reconocimiento facial se consideraría una opción lo suficientemente válida y segura de iniciar sesión en una cuenta.

La forma en que veo que esto funciona es la siguiente, el usuario inicia sesión en su cuenta a través de una contraseña y permite iniciar sesión en esta cuenta desde la dirección IP actual a través del reconocimiento facial. No hay opción para proporcionar una dirección IP. Debes habilitarlo para cada uno. Una vez que el usuario cierra la sesión y desea volver a iniciar sesión, puede usar el reconocimiento facial que buscará en la base de datos las caras que coincidan con la dirección IP del usuario y en una coincidencia registrará automáticamente al usuario sin la necesidad de proporcionar un nombre de usuario o una contraseña.

¿Se puede considerar esto como una opción lo suficientemente segura para iniciar sesión y cuáles son los riesgos?

    
pregunta Yates 25.10.2016 - 15:05
fuente

4 respuestas

3

Considere el escenario en el que un compañero de trabajo obtiene una foto del retrato de alguien y la imprime. Luego usan la misma red (y, por lo tanto, la IP pública) para iniciar sesión, manteniendo esa impresión en la cámara web. Luego inician sesión, porque el reconocimiento facial reconoce la cara y la IP es la misma.

El reconocimiento facial implica "algo que eres", en el que los factores de seguridad adicionales son "algo que sabes" (contraseña, etc.) y "algo que tienes" (ficha, etc.) Reconocimiento facial en combinación con algo que cae bajo cualquiera de los dos últimos sería más seguro, aunque tiene que sopesar su relación costo-beneficio y si "algo que tiene" todavía es comprometible, dependiendo de la situación.

    
respondido por el Dan 25.10.2016 - 15:13
fuente
1

"Lo suficientemente seguro" depende completamente de su amenaza, los datos que está protegiendo y si el usuario tiene acceso a recursos locales o de red.

Ya que está asegurado por IP, asumo que está asegurando una red interna o externa.

La única solución que conozco que le permite iniciar sesión a través de la cámara es la cámara Intel3d.

Hice una pregunta similar a continuación.

¿Qué tan seguro es Windows Hello cuando se usa con el reconocimiento facial Intel 3D?

    
respondido por el random65537 25.10.2016 - 16:37
fuente
0

Absolutamente no. La reutilización de la contraseña ya es un problema ahora. Lo que estás haciendo es en realidad imponer la reutilización de la contraseña. Si su sitio web puede ser lo suficientemente exitoso, alguien más aprenderá. En un momento dado, su compañero de cuarto podría crear un sitio web dirigido a usted que también use este mecanismo como creía, pero en realidad pasa lo que se transfiere a su servidor a la computadora del compañero de cuarto y luego al servicio original.

No hace falta decir que iniciar sesión solo con IP no es seguro. Pero parece que no entiendes esto. Supongamos que está trabajando en un proyecto nuclear secreto y que ningún empleado podría filtrar ninguna de las informaciones. ¿Eso significa que fácilmente podría decirle todo a la novia de un compañero de trabajo? Digamos que usted está ejecutando un banco. ¿Qué sucede si un padre lo demanda porque su hijo roba su dinero (en connivencia o no)? Y el inicio de sesión utilizando el reconocimiento facial por sí solo no es seguro. Combinar dos mecanismos inseguros difícilmente podría conseguir uno seguro.

Una mejora obvia de la autenticación de IP es usar tokens (con o sin también verificar la IP según las situaciones). En otras palabras, simplemente manténgalos conectados. ¿Por qué se desconectarán si saben que están en una ubicación segura?

Si los usuarios deben instalar algunos programas para usar su servicio, también puede proporcionar la opción de usar reconocimiento facial en el cliente para "bloquear" la cadena del token, como medida de precaución del usuario. Probablemente no sea muy útil en Windows. Pero para Android, puede que no sea tan fácil para un invitado rootear su dispositivo, extraer la cadena del token y restaurar su dispositivo al estado original en unos minutos sin que se note.

Supongo que también puede usar el reconocimiento facial además de las contraseñas para mejorar la "seguridad" en algunos casos especiales como, por ejemplo, no desea que los usuarios revendan sus cuentas a otra persona o quieren asegurarse de que todos los usuarios saben que no estamos utilizando accidentalmente la cuenta incorrecta por alguna razón.

    
respondido por el user23013 25.10.2016 - 15:43
fuente
0

Honestamente, no estoy seguro de estar de acuerdo con esto. El software de reconocimiento facial utiliza patrones basados en las dimensiones y ángulos de la cara. No estoy seguro de que una simple imagen sea suficiente para engañar al sistema. Una imagen representa una imagen del objetivo, no replica la estructura facial o las dimensiones del objetivo en un entorno 3D. El software de reconocimiento facial no solo usa una imagen de la persona y la combina con una imagen existente, también verifica el espacio entre los ojos, los ángulos de la nariz, la definición de la mejilla, la distancia entre la barbilla y los labios, la curvatura de los labios, etc. este tipo requiere que empiece a mirar recto, luego gire la cabeza ligeramente a la derecha, a la izquierda, luego a la derecha otra vez, y luego vuelva a la recta. Mientras haces esto, estás calculando todos los identificadores clave y las dimensiones de tu rostro y los comparamos con lo que se guardó del escaneo original. Eso es difícil de emular con una foto. Tal vez una imagen funcione para un software menos complicado, pero si la operación va a pasar por el problema de todo esto, no creo que él / ella vaya a comprar el especial de kmart.

Ahora, estaría más preocupado de que los usuarios queden bloqueados debido al bronceado, (cambia la complexión del usuario), el gesto facial no coincide con la sonrisa / no la sonrisa, cambia las dimensiones de la cara, el aumento de peso o la pérdida, etc.

Honestamente, esta es una especie de pregunta cargada, realmente todo depende de las capacidades de hardware y software del producto en cuestión. Asegúrese de probar el producto antes de comprarlo. Pregunte a los desarrolladores si utiliza el mapeo facial 3D, pregunte cuáles son sus limitaciones, ¿realiza un análisis facial exhaustivo en profundidad, es decir; verifica el ancho, la longitud, la profundidad, los ángulos, etc. ¿Verifica la profundidad del fondo / frente a la colocación facial? La mayoría del software de reconocimiento facial real (bueno, lo que considero real) tendrá estas características. Si el software no utiliza la asignación en 3D, y no hace controles punto a punto para identificadores de clave únicos, como las percepciones de profundidad, distancias, etc., busque algo mejor.

Cuando se trata de decisiones como esta, realmente obtienes lo que pagas. Si está tratando de comprar solo software, y ejecute el software con la cámara incorporada, o una cámara usb externa barata comprada a través de grapas o mejor compra, entonces no, estoy de acuerdo con Anders al 100% y le digo a cualquiera que tenga una imagen HD del objetivo. Probablemente se le concedería acceso. Si planea gastar mucho dinero y compra todo el sistema que incluye una cámara especializada que se hace solo para este propósito, que tiene un software que es específico para la cámara diseñada para mapear la cara correctamente, entonces diría que sí, vaya para ello. Todo vuelve a cuánto estás dispuesto a gastar, y ese gasto realmente vale la pena.

Lo siento, Anders, veo que tu publicación cuenta y sé que eres un veterano, con amplios conocimientos en informática. Simplemente no estoy seguro de estar de acuerdo contigo en esta respuesta al 100%. Si bien tiene razón en su declaración sobre el uso de la imagen, eso solo es aplicable con un grado bajo a medio grado (FTS).

    
respondido por el JohnAnon 25.10.2016 - 18:30
fuente

Lea otras preguntas en las etiquetas