Dalle dita al volto, così la biometria protegge chi siamo

Nei laboratori di tutto il mondo che si occupano di sicurezza informatica la ricerca prosegue senza sosta. Nel prossimo futuro miliardi di oggetti della nostra vita saranno collegati in rete, dagli altoparlanti intelligenti all’automobile, dalla serratura di casa ai dispositivi medici indossabili, per non parlare delle infinite applicazioni della nostra presenza attiva sul web tra smartphone e servizi online. E la necessità di identificare gli utenti con certezza non può più essere affidata soltanto alle vecchie password, sempre più minacciate da attacchi telematici e da esche psicologiche. Gian Luca Marcialis, docente di Tecnologie biometriche al Dipartimento di Ingegneria elettronica ed elettrica dell'Università di Cagliari, prova a tracciare le linee dei vari tentativi allo studio per rendere sicura la nostra presenza su Internet. E anticipa a Bancaforte l'intervento che farà a Banche e Sicurezza 2019, in programma a Milano il 21 e 22 maggio (clicca qui).

Direi che per una serie di ragioni economiche e di avanzamento tecnologico le impronte digitali sono per ora la forma che fornisce maggiori garanzie di sviluppo. Anzitutto per una questione di familiarità. Molti telefoni cellulari, infatti, già oggi permettono di identificarsi premendo le dita sullo schermo. È partita Apple con gli iPhone e ora anche gli altri marchi stanno seguendo questo metodo. Evoluzioni promettenti offre poi la scansione del volto. Anche qui in molti cellulari è possibile sbloccare le applicazioni inquadrando la propria faccia con la telecamera. Il livello di sicurezza di questo sistema è però ancora tutto da verificare.

Un altro sistema su cui si sta studiando è quello dell'impronta palmare. Può essere rilevata sia con il tocco, ossia poggiando la mano su uno schermo, sia senza, a distanza, catturando l'immagine con una telecamera e confrontandola coi dati che identificano l'utente. Come le impronte delle dita, il palmo presenta solchi e creste epidermiche dotate di assoluta unicità e dunque attribuibili a una singola determinata persona. Anche qui ci sono progetti in corso, ad esempio, quelli lanciati da Fujitsu e già utilizzata nelle dogane della Malesia.

La retina è un tessuto composto da cellule neurali presente sul fondo dell’occhio e mostra una rete di capillari che, proprio come nella mano, è esclusiva per ognuno di noi e non si modifica mai nel corso della vita, salvo particolari malattie dell’occhio. Quanto all’iride c'è da dire che è uno standard molto efficace e i brevetti che prevedono questo genere di applicazioni sono solidi e apprezzati dalla comunità scientifica. Il problema, però, è che identificare una persona scrutando nel bulbo oculare richiede una forma di cooperazione piuttosto elevata. E per quanto riguarda gli usi di tipo personale, ad esempio usare l'iride per accedere al proprio conto bancario, bisogna considerare un lungo addestramento preliminare.

È una vecchia tecnologia, con una discreta efficacia. Ha due problemi, però. Il primo è di essere esposta ad attacchi di falsificazione, sia quelli di un bravo imitatore sia quelli dei software che, analizzando pochi frammenti della nostra vera voce, riescono a estrarre frasi di senso compiuto che sembrano pronunciate da noi. Il secondo problema è che non funziona quando siamo in situazioni particolari: basta un abbassamento di voce o un mal di gola e potremmo trovarci senza accesso a servizi magari indispensabili.

Sì, anche questa caratteristica ci identifica in modo inconfondibile. È una tecnologia che si presta per esempio ai controlli di frontiera e richiede un apposito corridoio per effettuare l'analisi.

Questo è un punto centrale della riflessione. Accanto alla ricerca di nuovi sistemi di identificazione bisogna sempre affiancare quella per smascherare gli inganni, i fake. Nella nostra università sviluppiamo in collaborazione con le aziende programmi per rilevare i falsi. Un bravo hacker, per esempio, può riprodurre un’impronta digitale usando silicone e gelatina ed evadere così il riconoscimento di un utente registrato. Nostro compito è allora quello di sviluppare algoritmi in grado di osservare micro dettagli per individuano le eventuali azioni fraudolente.

La fantasia criminale è senza limiti. Ad esempio inducendo la vittima a fornire il calco del dito. Basta convincerlo con qualche espediente a premere il dito su una superficie gommosa. Oppure osservare le superfici dove il malcapitato ha poggiato la mano e, appena il soggetto attaccato si allontana, recuperare le impronte come fanno gli agenti della scientifica. Operazione molto difficile, ma possibile. Per quanto riguarda i volti, poi, ci sono algoritmi che generano una sorta di mascherina in grado di ingannare il sistema di riconoscimento. Con un bel po' di conoscenza tecnica, anche il più anonimo dei volti può essere riconosciuto dalla macchina come quello di George Clooney.

Dalla fase di sperimentazione accademica stiamo passando al trasferimento tecnologico, con brevetti che diventano imprese e prodotti già contesi sul mercato. Molte aziende, inoltre, anche nel settore bancario, entrano in relazione con università e centri di ricerca per sviluppare soluzioni sempre più mirate ed efficienti. Sia per quanto riguarda l'identificazione degli utenti sia per la protezione contro attacchi pirata.

Se dimentico la password o se qualcuno la intercetta posso avere problemi seri. Mentre le impronte digitali, per dire, sono molto più difficili da catturare e non posso certo dimenticarmi un dito da qualche parte. Detto questo, credo che i due sistemi non siano antitetici, ma possono benissimo essere complementari.

In realtà prima della codifica, l'impronta dell'utente viene trasformata in un lungo codice binario e perde la sua natura analogica. Dunque se l'impronta viene rubata, gli algoritmi permettono di cambiare la sequenza matematica mantenendo la corrispondenza con la mia impronta reale. L’equivalente di un cambio di password.

In una lunga prospettiva si può guardare con interesse alle impronte palmari. Oggi invece il sistema più indicato rimane quello delle impronte digitali, seguite dall’analisi del volto. L'importante è incoraggiare il lavoro comune tra banche ed enti di ricerca, come le università, per sperimentare nuove strade e scoprire soluzioni integrate in modo da irrobustire la sicurezza finanziaria di tutti.