4 de novembro de 2022
Uma grande quantidade de discussões sobre desafios técnicos e a importância de se chegar a um acordo sobre o padrão adequado foi abordada na semana passada no Fórum de Serviços de Confiança da ENISA em Berlim. Como podemos avançar com os ambiciosos planos de lançar carteiras digitais seguras em toda a UE? O CEO da iProov, Andrew Bud, fez uma apresentação sobre a natureza evolutiva do ambiente de ameaças e a importância de uma abordagem centrada no usuário para criar uma carteira digital que não seja apenas acessível e fácil de usar, mas também segura.
Carteira digital da UE
Há um grande prêmio disponível para a Europa e para a economia europeia se nós, como setor de identidade digital, juntamente com grupos de consumidores e formuladores de políticas, conseguirmos colaborar com sucesso para criar, implementar e adotar plataformas mais convenientes para apoiar transações digitais seguras e confiáveis. Uma carteira digital tem muitos usos em potencial e pode ser uma forma de fazer pagamentos seguros, facilitar o processo de substituição de documentos oficiais, como a carteira de motorista, e acelerar a passagem pelos controles de fronteira em aeroportos e portos. Por exemplo, McKinsey estima que os usuários de serviços governamentais poderiam economizar até 110 bilhões de horas ao simplificar os serviços governamentais de forma segura on-line.
A UE está liderando o mundo com uma estrutura legislativa ambiciosa para um sistema de carteiras digitais da UE. Estamos entusiasmados por fazer parte do projeto NOBID para financiamento da Comissão Europeia para um esquema piloto de carteira digital. A proposta da NOBID tem um bom suporte, conta com parceiros experientes e tem um caso de uso atraente (serviços de pagamento). No entanto, nosso relatório de pesquisa publicado recentemente sobre a carteira digital da UE da UE destaca a importância das barreiras à adoção. O registro em larga escala, a aceitação organizacional e a comprovação do uso contínuo são essenciais para que os benefícios sejam concretizados.
De forma crítica, o tamanho do prêmio, com um mercado potencial de 447 milhões de usuários, também atrairá atacantes criminosos.
A ameaça e o papel da biometria facial
Para ser aceitável, o registro deve proteger contra toda a gama de ataques de personificação, apresentação e ataques de injeção digitale ser consistente com os tipos de padrões que observamos por meio de nosso exclusivo recurso iSOC. As organizações devem ter certeza de que o usuário é quem afirma ser e que tem o direito de acessar as informações na carteira, que o usuário é uma pessoa real e que está se autenticando em tempo real.
Os criminosos por trás dos ataques têm bons recursos, são altamente qualificados e operam estrategicamente quando identificam um alvo altamente valorizado. Nossa própria experiência é consistente com a orientação que recebemos de uma agência de segurança europeia que aconselhou sobre a estratégia de testar e aprender dos atacantes criminosos, que atacarão um alvo, aprenderão com a experiência e, em seguida, usarão esse aprendizado para adaptar sua técnica antes de atacar o próximo alvo.
O fornecimento de deepfakes sofisticados também é uma oportunidade de negócios atraente para aqueles com capacidade de IA. A Europol relatou recentemente o crescimento de deepfakes como serviço, com um agente de ameaças oferecendo US$ 16.000 por um deepfake que, presumivelmente, será usado para fins ilegais ou prejudiciais. Estamos vendo aqui a evolução do Crime-As-A-Service.
Manter a confiança e a acessibilidade do usuário
O modo como lidamos com as ameaças biométricas é importante se quisermos manter a confiança dos usuários nas carteiras digitais, e a comunidade de políticas cibernéticas tem um papel fundamental a desempenhar para garantir que nossa abordagem não seja apenas tecnicamente robusta e ágil, mas que siga os princípios de design centrados no usuário.
É extremamente importante que usemos a inteligência dos métodos de ataque que temos e nossa compreensão dos usuários para garantir que a estrutura da política de segurança que está sendo desenvolvida, seja a Lei de IA, a Lei de Resiliência Cibernética ou a NIS2, seja construída em torno das necessidades, vulnerabilidades e capacidades dos usuários. Uma abordagem baseada na suposição de que a educação do usuário resolverá as lacunas de capacidade fracassará.
Na iProov, defendemos o princípio de uma abordagem centrada no usuário para o design de soluções, inspirados pelo trabalho da professora Angela Strasse nessa área. Os serviços de verificação e autenticação de ID devem ser criados com base em alguns princípios simples, mas essenciais, centrados no usuário. A conformidade com as WCAG 2.1 AA deve ser um requisito mínimo. Ninguém deve ser excluído, seja por ser portador de deficiência ou por não ter o smartphone ou tablet mais recente. Não se pode esperar que os usuários enfrentem o inconveniente de se inscreverem novamente sempre que mudarem ou substituírem seus dispositivos.
Precisamos reconhecer que os dispositivos são um ponto fraco na cadeia de vulnerabilidade e evitar depender deles para a segurança. Muitos dos smartphones de uso diário não são mais suportados e seus usuários não estão necessariamente instalando os patches de segurança mais recentes que estão disponíveis.
Qual deve ser o objetivo da política?
- Inclusão por meio da escolha do usuário: Sem imposição ou exigência de hardware ou sensores especiais para o dispositivo. Capacidade de autenticação segura em qualquer dispositivo com uma câmera voltada para o usuário.
- Inclusão por meio da acessibilidade: Agnosticismo de dispositivo e plataforma para incluir todos os usuários;desempenho robusto e monitoramento de preconceito; fornecimento baseado em nuvem.
- Caminhos de escolha robustos: A opção de registro não biométrico deve ser igualmente segura... mesmo que a conveniência seja sacrificada.
- Mitigação de riscos do dispositivo: Não dependa dos dispositivos dos usuários para segurança. Mitigar o risco de dispositivos sintéticos ou comprometidos.
- Recuperação de identidade: Os usuários não devem ser obrigados a se registrar novamente quando os dispositivos são alterados ou substituídos.
- Integridade da verificação: Use o processamento inacessível para evitar a engenharia reversa por parte dos invasores. Mitigar a ameaça de ataques adversários.
- Aliviar os usuários do ônus da responsabilidade: A implementação de novos algoritmos de detecção não deve depender ou obrigar o usuário a atualizar seu dispositivo pessoal.
- Resposta ágil: Inteligência contínua sobre ameaças para evoluir as defesas.
Como operadores, devemos aceitar o dever de cuidar dos usuários e assumir a responsabilidade pela segurança deles sempre que possível.
