Stockage sécurisé d'informations biométriques à des fins de comparaison

Question

J'utilise un lecteur biométrique d'empreintes digitales avec un SDK qui me permet de comparer deux images d'une empreinte digitale. Ma question est si je voulais stocker localement l'une des images pour une comparaison ultérieure quelle est la façon la plus sûre de le faire? Ma pensée est que lorsque vous faites la même chose avec des mots de passe, un moyen facile et sûr serait de hacher le mot de passe d'origine pour le stockage, et de comparer plus tard les hachages au lieu des mots de passe en clair. Évidemment, cela est impossible avec les images d'empreintes digitales car elles produiraient des résultats légèrement différents à chaque fois. Alors, quel est le moyen le plus sûr de stocker l'image originale?

Merci d'avance

Answer 1

La biométrie repose sur une comparaison floue. Pour que cela se produise, vous devez avoir l'image originale. Un hachage est par définition une opération à sens unique, et ne convient donc pas.

Afin de stocker en toute sécurité ces informations d'identification, vous devez utiliser un chiffrement symétrique. AES-256 avec le mode CBC et un IV randomisé, et un c ryptographic nonce comme une clé est un très bon choix. Bien que IV soit moins important dans cette implémentation spécifique car 2 empreintes digitales identiques sont impossibles donc 2 textes chiffrés identiques ne devraient jamais arriver, cependant je mettrais encore en œuvre un IV aléatoire. Beaucoup de choses peuvent mal tourner avec un chiffrement symétrique et il y a des libraires qui s'en occupent, même si je ne sais pas quelle plate-forme vous utilisez.

Si un attaquant est capable de récupérer l'empreinte originale utilisée pour les comparaisons, il pourra contourner ce système de sécurité. Par exemple The MythBusters where able to break 2 off the shelf fingerprint readers using this attack. À la lumière de cette attaque, vous pouvez envisager Two-Factor Authentication.