L'autenticazione? Basta una foto. Ne parliamo con la startup italiana ToothPic

[Redazione di Hardware Upg]

Link alla notizia: https://edge9.hwupgrade.it/news/inno...ic_102904.html

Abbiamo parlato con Giulio Coluccia, CEO di ToothPic, della soluzione sviluppata dalla sua azienda per superare alcune delle sfide legate all'autenticazione dei dispositivi e degli utenti nel panorama odierno della sicurezza

Click sul link per visualizzare la notizia.

[Ombra77]

sto bene con password complesse senza dare gratuitamente al primo che passa i miei dati biometrici.
Se volete fare queste porcate trasferitevi in Korea.
https://www.vice.com/en/article/xgdxqd/south-korea-is-selling-millions-of-photos-to-facial-recognition-researchers

[Slater91]

Originariamente inviato da Ombra77

sto bene con password complesse senza dare gratuitamente al primo che passa i miei dati biometrici.
Se volete fare queste porcate trasferitevi in Korea.
https://www.vice.com/en/article/xgdx...on-researchers

Perdonami, ma non colgo affatto il collegamento con ToothPic, per quanto sia d'accordo con il fatto che sia meglio non dare i propri dati biometrici (cosa che, peraltro, nessuno chiede nei fatti per i motivi espressi nell'articolo).

[Qarboz]

L'idea sembra interessante, ma leggendo la news mi sono venuti un paio di dubbi.
- Dicono che i "difetti" della fotocamera (credo si tratti dei pixel difettosi del sensore) non si possono replicare, e questo lo capisco. Ma se un malintenzionato viene in possesso del file che contiene la "firma" del sensore penso possa usarlo come secondo fattore per impersonare il legittimo proprietario del dispositivo, o sbaglio?
- Nel caso di guasto/smarrimento del terminale, come si deve fare per riaccreditarsi ai vari servizi sottoscritti con questo sistema?

[Slater91]

Originariamente inviato da Qarboz

L'idea sembra interessante, ma leggendo la news mi sono venuti un paio di dubbi.
- Dicono che i "difetti" della fotocamera (credo si tratti dei pixel difettosi del sensore) non si possono replicare, e questo lo capisco. Ma se un malintenzionato viene in possesso del file che contiene la "firma" del sensore penso possa usarlo come secondo fattore per impersonare il legittimo proprietario del dispositivo, o sbaglio?
- Nel caso di guasto/smarrimento del terminale, come si deve fare per riaccreditarsi ai vari servizi sottoscritti con questo sistema?

Più che di pixel difettosi, credo che si tratti di piccole imperfezioni che fanno sì che la luce venga catturata in maniera non perfetta. Ad esempio, un pixel che cattura la luce con una tinta un po' più verde, un altro con una tinta un po' più rossa, un terzo che cattura meno luce, un quarto che ne cattura un po' di più... Imperfezioni microscopiche e impossibili da notare a occhio nudo che, però, se prese tutte insieme e analizzate con tecniche apposite rivelano appunto una "firma". Non credo ci sia un file con tale firma; piuttosto, credo che questa venga usata per generare una chiave crittografica unica, presumibilmente con un cifrario a chiave pubblica. Il problema si sposta quindi al furto delle chiavi dai server del fornitore del servizio, ma questo problema è lo stesso per tutte le tecniche di cifratura, purtroppo, e non c'è rimedio (che io sappia).
Per quanto riguarda i servizi sottoscritti, bisogna ri-autenticare il dispositivo come avviene già ora per le applicazioni delle banche, ad esempio. Questo è un passaggio inevitabile per qualunque fattore di possesso (se cambia, è ovvio che vada ri-registrato).