Votre visage n'est pas privé, mais vos données biométriques devraient l'être

La violation de données du "pot de miel" de 2024 au Salvador a été un signal d'alarme. Près de 80 % de la population du pays a vu ses données personnelles, y compris ses images faciales, exposées. Alors que cet incident refait surface sur les médias sociaux, il soulève des questions essentielles sur ce qui rend réellement l'authentification biométrique sûre.

Mais voici ce qui échappe à de nombreux commentateurs : cette violation, bien qu'alarmante pour des raisons de protection de la vie privée, ne compromet pas les systèmes d'authentification biométrique dotés de capacités de détection de l'état de veille. Pour comprendre pourquoi, il faut dissiper une idée fausse très répandue.

Dans cet article, nous expliquerons la différence entre la protection de la vie privée et la sécurité de l'authentification dans les systèmes biométriques, et nous ferons la distinction entre la façon dont les données biométriques sont stockées et la façon dont elles sont utilisées pour vérifier l'identité.

Une idée reçue : Le mythe du secret du visage

De nombreuses personnes supposent que la sécurité biométrique dépend de la confidentialité de votre image faciale, comme si votre visage était un mot de passe qui doit rester caché. L'idée est que si votre visage reste caché, votre identité l'est aussi, et donc que le service que vous utilisez reste sécurisé. 

À l'ère numérique, la réalité est que notre visage est déjà public. Pensez-y :

• Photos professionnelles sur LinkedIn
• Images personnelles sur les médias sociaux
• Photos d'identité délivrées par le gouvernement
• Caméras de sécurité dans les espaces publics

Un pirate peut facilement trouver une photo sur les médias sociaux sans avoir à pénétrer dans une base de données sécurisée. Si la sécurité biométrique repose uniquement sur le secret d'un visage, la publication de votre photo sur Instagram constituerait un risque énorme pour la sécurité.

Un pirate n'a pas besoin de pénétrer dans une base de données sécurisée pour trouver votre visage - il lui suffit de consulter vos profils publics. Pourtant, les systèmes d'authentification biométrique continuent de sécuriser des milliards de transactions chaque jour. Comment cela se fait-il ?

Ce n'est pas parce que quelqu'un voit votre visage ou une image de celui-ci qu'il peut reproduire les conditions exactes requises pour l'authentification sans votre présence. Le véritable défi consiste à vérifier que la personne qui tente d'accéder à un système est bien la bonne personne, une vraie personne, qui s'authentifie en temps réel - ce qu'une image statique n'est pas en mesure de prouver.

Pour en savoir plus sur la manière dont iProov parvient à se défendre en permanence contre les menaces émergentes et en constante évolution, cliquez ici.

Vie privée et sécurité : Une distinction essentielle

Les informations biométriques stockées doivent être cryptées et sauvegardées, mais principalement pour respecter les droits individuels à la vie privée et rester conforme, et non parce que leur exposition compromet la sécurité biométrique. 

La protection de la vie privée et la sécurité, bien que liées, ont des objectifs différents dans les systèmes biométriques :

• La protection de la vie privée concerne la manière dont les données personnelles sont stockées, consultées et utilisées. Il s'agit de respecter le droit des personnes à contrôler leurs informations et d'empêcher tout accès non autorisé à ces données.
• La sécurité de l'authentification se concentre sur une question cruciale : La personne qui tente d'accéder au site est-elle réellement celle qu'elle prétend être, en s'authentifiant en temps réel ?

Bien qu'elle constitue une grave violation de la vie privée, l'affaire du Salvador ne crée pas nécessairement une faille de sécurité dans des systèmes d'authentification bien conçus. 

Si le cryptage des données biométriques est essentiel pour la protection de la vie privée, la véritable mesure de la sécurité est de savoir si le système peut confirmer que la personne qui y accède est effectivement présente au moment de la transaction.

Le véritable fondement de la sécurité biométrique

La véritable protection contre les tentatives d'usurpation d'identité est une combinaison de technologies et d'algorithmes sous-jacents qui déterminent la présence d'un véritable être humain en temps réel - et non une rediffusion, deepfakeou attaque par injection numérique.

Lorsqu'une solution d'authentification biométrique fondée sur la science est mise en œuvre, les images volées n'ont plus aucune valeur dans les attaques. Elles ne peuvent pas être utilisées pour tromper un système de détection biométrique sophistiqué qui détermine si la personne réelle s'authentifie à ce moment-là.

Même si un pirate accède à une base de données d'images faciales, ces images seraient inutiles si le système exige une preuve de présence en direct. Une photo statique ou même un "deepfake" échouerait au test de vivacité basé sur la science.

Les systèmes biométriques avancés requièrent la preuve que :

1. Un véritable être humain (pas une photo ou un deepfake) est présent.
2. Cette personne spécifique (correspondant aux informations d'identification stockées) est authentifiée.
3. L'authentification a lieu maintenant (elle n'est pas rejouée à partir d'une session précédente).

Pour en savoir plus sur les processus et accréditations de notre système en matière de protection de la vie privée et de sécurité, consultez le nouveau livre électronique sur la sécurité et l'architecture.

Aller au-delà de la sécurité des modèles

De nombreuses organisations se concentrent sur la manière de stocker les données biométriques en toute sécurité, en les répartissant et en les chiffrant sur plusieurs sites, un peu comme si des pièces d'un tableau de grande valeur étaient conservées dans différents coffres-forts de haute sécurité. 

La technologie d'iProov utilise un pare-feu de protection de la vie privée. iProov n'a pas accès à d'autres informations que le visage, et l'organisation qui utilise iProov n'a pas accès aux données biométriques. Il existe une séparation structurelle entre l'identité de l'utilisateur et les données biométriques de l'utilisateur, ce qui est très efficace pour protéger la vie privée de l'utilisateur.

Mais la sécurité de l'authentification biométrique ne dépend pas de la qualité du stockage des images faciales ou des modèles biométriques - elle dépend de la capacité du système à détecter et à empêcher les tentatives d'usurpation d'identité au cours de l'événement d'authentification lui-même.

Détection du caractère vivant basée sur la science

L'établissement de l'authenticité en temps réel est l'un des défis les plus pressants en matière de sécurité biométrique. Pour ce faire, les systèmes passifs défi-réponse est nécessaire ; elle constitue le véritable fondement de l'authentification biométrique sécurisée. Contrairement aux réponses actives, comme un tour de tête, une réponse passive ne comporte pas d'instructions complexes et offre des performances élevées dans toutes les catégories démographiques.

iProov Dynamic Liveness vérifie qu'il s'agit d'une personne réelle et qu'elle s'authentifie en temps réel, offrant ainsi le plus haut niveau d'assurance d'identité et de défense contre les fraudes profondes. Les niveaux de sécurité avancés sont obtenus grâce à la technologie brevetée Flashmark™ qui illumine l'écran de l'appareil pendant le processus de capture du visage. La réflexion de la lumière sur le visage de l'individu confirme qu'il est réellement présent et offre une atténuation avancée des attaques zero-day basées sur l'IA, y compris les deepfakes et les échanges de visages.

Regarder vers l'avenir

La brèche du Salvador met en lumière une vérité cruciale : dans un monde de plus en plus menacé par les deepfakes sophistiqués et les attaques par injection numérique, la sécurité des systèmes biométriques dépendra plus que jamais de leur capacité à vérifier la présence humaine authentique. En se concentrant sur l'authenticité scientifique et la vérification en temps réel, les organisations peuvent créer un environnement de sécurité dans lequel les données volées ne peuvent pas être utilisées pour usurper l'identité d'une personne.

La leçon à tirer du Salvador n'est pas que l'authentification biométrique est défectueuse ; c'est que les visages ne sont pas des éléments de base pour l'authentification biométrique. pas la clé de la biométrie - c'est la détection du comportement qui l'est. Avec la mise en place d'une détection de présence adéquate, l'authentification biométrique reste l'un de nos meilleurs outils contre la fraude à l'identité.

Alors que l'authentification biométrique devient de plus en plus centrale dans nos vies numériques - de la banque aux soins de santé en passant par les services gouvernementaux - le choix du bon partenaire technologique est crucial.

iProov prend au sérieux la protection de la vie privée et la sécurité - notre technologie est certifiée par FIDO et ISOet est conforme aux normes GDPR, SOC 2, et eIDAS (et autres - en savoir plus), offrant le plus haut niveau d'assurance d'identité pour réduire la fraude et protéger votre organisation. Prêt à voir comment nos solutions d'authentification avancée peuvent protéger vos utilisateurs ? Réservez votre démo dès aujourd'hui.