Технологии биометрического распознавания являются уникальными с точки зрения построения систем защиты информации (СЗИ). С одной стороны, по биометрическим параметрам можно однозначно идентифицировать человека (пользователя) — предъявляемые и оцениваемые параметры (отпечаток пальца, сосудистое русло, динамика почерка) позволяют системам защиты информации точно определить пользователя системы. С другой стороны, они могут выступать и в качестве аутентифицирующей пользователя информации — предъявив те же самые палец или руку, пользователь однозначно подтверждает, что предъявленный идентификатор принадлежит именно ему. Причем эта логика (подтверждения предъявлением параметра принадлежности идентификатора пользователю) работает даже в том случае, если идентификатором является сам биометрический признак. Получается, что идентификатор — признак, а аутентифицирующий признак — факт его предъявления. В этом нет нарушения логической сущности идентификации и аутентификации, однако есть существенное нарушение технического смысла реализации этих двух механизмов, поскольку данные, поступающие по одному и тому же каналу, принципиально не могут оцениваться как разные данные, а не один информационный набор. Так, доказано и давно не нуждается в мотивировке, что логин и пароль, вводимые с клавиатуры, ничем не отличаются от более длинного логина (или пароля). И уж тем более они ничем не отличаются между собой, поэтому называться идентифицирующим и аутентифицирующим признаками могут только условно, а обрабатываться могут и вовсе наоборот (пароль — как логин, а логин — как пароль).

В настоящее время сложились все предпосылки для активного использования биометрических технологий: они существенно подешевели и применять их в СЗИ стало проще: сканеры отпечатка пальца стоят десятки долларов, есть SDK для различных ОС. Однако дуализм биометрического признака влечет за собой необходимость очень высокой степени самоконтроля разработчиков при встраивании этих технологий в свой продукт, чтобы вместо усиления защитных свойств, точности и надежности работы не получалось смешения идентификации с аутентификацией и авторизацией (ошибки сколь очевидной, столь и распространенной).

< ... >