Implementações biométricas são ainda menos precisas do que pensávamos

*Artigo originalmente publicado em 05 de dezembro de 2022

A biometria deve ser um dos pilares de um sistema de autenticação moderno. Mas muitas implementações biométricas (sejam digitalizações de impressões digitais ou reconhecimento facial) podem ser totalmente imprecisas, e a única coisa universalmente positiva a dizer sobre elas é que são melhores do que nada.

Além disso – e isso pode ser crítico – o fato de que a biometria é falsamente vista como muito precisa pode ser suficiente para dissuadir algumas tentativas de fraude.

Há uma variedade de razões práticas pelas quais a biometria não funciona bem no mundo real, e uma postagem recente de um especialista em segurança cibernética da KnowBe4, fornecedora de treinamento de conscientização de segurança, adicionou uma nova camada de complexidade à questão da biometria.

Roger Grimes, Evangelista de Defesa da KnowBe4, escreveu no LinkedIn sobre as classificações de avaliação do Instituto Nacional de Padrões e Tecnologia (NIST). Como ele explicou: “Qualquer fornecedor biométrico ou criador de algoritmo pode enviar seu algoritmo para revisão. O NIST recebeu 733 envios para sua revisão de impressão digital e mais de 450 envios para suas revisões de reconhecimento facial. As metas de precisão do NIST dependem da revisão e do cenário que está sendo testado, mas o NIST está procurando uma meta de precisão em torno de 1:100.000, o que significa um erro por 100.000 testes.

“Até agora, nenhum dos candidatos apresentados chegou perto”, escreveu Grimes, resumindo as descobertas do NIST. “As melhores soluções têm uma taxa de erro de 1,9%, o que significa quase dois erros para cada 100 testes. Isso está muito longe de 1:100.000 e certamente longe dos números anunciados pela maioria dos fornecedores. Eu estive envolvido em muitas implantações biométricas em escala e vemos taxas muito mais altas de erros do que o que o NIST está vendo, no melhor cenário possível, nos testes de condição de laboratório. Eu vejo erros rotineiramente em 1:500 ou menos”.

Deixe isso afundar em um momento.

Em testes independentes, muitos biométricos simplesmente não cumprem com precisão o que prometem. Além disso, muitos fornecedores, incluindo Apple (iOS) e Google (Android), fazem escolhas de marketing em suas configurações, onde escolhem o grau de restrição ou tolerância da autenticação. Eles não querem que muitas pessoas sejam bloqueadas indevidamente de seus telefones, então eles optam por torná-lo menos rigoroso, dando luz verde ao acesso ao dispositivo por um número maior de pessoas não autorizadas.

Você se lembra daqueles vídeos que mostram telefones permitindo o acesso de filhos ou irmãos de um usuário do telefone através do reconhecimento facial? Esse é um grande motivo.

Outro fator-chave é a precisão teórica versus a precisão do mundo real. Considere dois métodos populares de autenticação por telefone: reconhecimento facial e de impressão digital. Em teoria, o reconhecimento facial é muito mais criterioso porque pode considerar um número maior de pontos de dados. Na prática, porém, isso muitas vezes não acontece.

Você já viu alguma criança ou irmão obtendo acesso ao telefone via impressão digital? O reconhecimento facial tem que lidar com iluminação, cosméticos, mudança de cabelo e dezenas de outros fatores. Nada disso está em jogo ao usar o reconhecimento de impressão digital.

Há também uma questão de distância. Com o reconhecimento facial, um dispositivo precisa estar a uma distância precisa do rosto para lê-lo com precisão – nem muito perto, nem muito longe. Eu pessoalmente uso um iPhone com Face ID e normalmente vejo falhas em 60% das vezes. Em seguida, ajusto um pouco a diferença e – se tiver sorte – meu telefone será desbloqueado. (Novamente, isso não é um problema com as impressões digitais.)

Observação: Por que muitos aplicativos bancários lidam com verificações de cheques (sim, algumas empresas ainda usam cheques) de maneira mais sofisticada? O aplicativo normalmente diz para você “aproximar o telefone” ou “voltar” antes de fotografar a imagem do cheque. Por que o reconhecimento facial não pode fazer a mesma coisa?

Não se esqueça também que, do ponto de vista da autenticação, muitas das implantações biométricas são uma piada. Por quê? Porque quando uma autenticação biométrica falha, o acesso padrão é o PIN de um telefone.

Em outras palavras, se um ladrão quiser contornar a biometria, tudo o que ele precisa fazer é falhar uma ou duas vezes e depois lidar com o PIN, mais fácil de decifrar. Qual é o ponto? É claro que os principais fornecedores de telefones usam biometria mais por conveniência do que para autenticação ou segurança cibernética. É uma maneira de acessar um dispositivo sem precisar digitar um PIN.

Por mais negligente que pareça, Grimes argumenta que a situação provavelmente é pior. “Os testes do NIST são os melhores cenários. Eles são todos terrivelmente imprecisos. A segurança promete mais do que pode entregar em quase todas as situações”, disse ele em entrevista.

Grimes também expressou preocupação com a natureza imutável da biometria. Se uma senha ou PIN for comprometido, é fácil gerar uma nova senha ou PIN. Mesmo um token físico pode ser substituído. Então, o que acontece se a biometria for comprometida? Você não pode mudar facilmente seu rosto, retina, voz ou impressão digital.

“Uma vez roubados, como você os recupera?”, disse Grimes, acrescentando que a engenharia reversa de dados biométricos é bem possível.

O problema final aqui é a percepção e a caracterização. Esses esforços biométricos, conforme implementados atualmente, são pouco mais que conveniência. (Não me interpretem mal; como uma pessoa naturalmente preguiçosa, sou loucamente apaixonado por conveniência.) Mas eles são oferecidos como sendo feitos sob medida para segurança cibernética. E, como resultado, usuários e tecnólogos contarão com a biometria como medida de proteção.

Existem várias maneiras de implantar a biometria com segurança. As varreduras de retina geralmente são seguras e as impressões digitais funcionam bem para pessoas que possuem impressões digitais digitalizáveis adequadamente. Mas a biometria de voz, atualmente usada por uma variedade de instituições financeiras, continua muito fácil de falsificar.

Isso nos traz de volta às decisões de configuração. Se as configurações forem suficientemente rígidas, até mesmo o reconhecimento facial pode se tornar um mecanismo de segurança. Em resumo, a biometria é uma ótima conveniência. Como defesa de segurança, a maioria das implementações de hoje não funciona.