4 de novembro de 2022
Na semana passada, no Fórum de Serviços de Confiança da ENISA, foram debatidos os desafios técnicos e a importância de chegar a acordo sobre uma norma adequada. Fórum da ENISA sobre serviços de confiança em Berlim. Como podemos avançar com os ambiciosos planos de lançamento de carteiras digitais seguras em toda a UE? Andrew Bud, Diretor Executivo da iProov, apresentou a natureza evolutiva do ambiente de ameaças e a importância de uma abordagem centrada no utilizador para a criação de uma carteira digital que seja não só acessível e fácil de utilizar, mas também segura.
Carteira digital da UE
Há um grande prémio para a Europa e para a economia europeia se nós, enquanto indústria da identidade digital, juntamente com os grupos de consumidores e os decisores políticos, formos capazes de colaborar com sucesso na construção, implementação e adoção de plataformas mais convenientes para apoiar transacções digitais seguras e fiáveis. Uma carteira digital tem muitas utilizações potenciais e pode ser uma forma de efetuar pagamentos seguros, de facilitar o processo de substituição de documentos oficiais, como a carta de condução, e de acelerar a passagem pelos controlos fronteiriços nos aeroportos e portos. Por exemplo, McKinsey estima que os utilizadores de serviços públicos poderiam poupar até 110 mil milhões de horas se simplificassem os serviços públicos de forma segura em linha.
A UE está a liderar o mundo com um ambicioso quadro legislativo que permite a criação de um sistema de carteiras digitais da UE. Estamos entusiasmados por fazer parte do projeto NOBID para financiamento pela Comissão Europeia de um sistema-piloto de carteiras digitais. A proposta NOBID é bem apoiada, conta com parceiros experientes e tem um caso de utilização atrativo (serviços de pagamento). No entanto, o nosso relatório de investigação recentemente publicado sobre a carteira digital da UE da UE salienta a importância dos obstáculos à adoção. Para que os benefícios se concretizem, é essencial um registo em grande escala, uma aceitação organizacional e provas de utilização contínua.
A dimensão do prémio, com um mercado potencial de 447 milhões de utilizadores, atrairá também atacantes criminosos.
A ameaça e o papel da biometria facial
Para ser aceitável, o registo deve proteger contra toda a gama de ataques de personificação, apresentação e ataques de injeção digitalO registo deve ser consistente com os tipos de padrões que observámos através da nossa capacidade iSOC. As organizações têm de ter a certeza de que o utilizador é quem diz ser e que tem o direito de aceder às informações da carteira, que o utilizador é uma pessoa real e que se está a autenticar em tempo real.
Os criminosos que estão por detrás dos ataques dispõem de bons recursos, são altamente qualificados e actuam estrategicamente quando identificam um alvo altamente valorizado. A nossa própria experiência é consistente com o conselho que recebemos de uma agência de segurança europeia que nos aconselhou sobre a estratégia de testar e aprender dos atacantes criminosos, que atacam um alvo, aprendem com a experiência e depois aproveitam essa aprendizagem para adaptar a sua técnica antes de atacar o próximo alvo.
O fornecimento de deepfakes sofisticados é também uma oportunidade de negócio atractiva para quem tem capacidade de IA. A Europol comunicou recentemente o crescimento dos deepfakes como serviço, com um agente de ameaças a oferecer 16 000 dólares por um deepfake que, presumivelmente, será utilizado para fins ilegais ou prejudiciais. Estamos a assistir aqui à evolução do crime como serviço.
Manter a confiança e a acessibilidade do utilizador
A forma como lidamos com as ameaças biométricas é importante para manter a confiança dos utilizadores nas carteiras digitais, e a comunidade da ciberpolítica tem um papel fundamental a desempenhar para garantir que a nossa abordagem seja não só tecnicamente robusta e ágil, mas também que siga princípios de conceção centrados no utilizador.
É extremamente importante que utilizemos a informação sobre os métodos de ataque de que dispomos e o conhecimento que temos dos utilizadores para garantir que o quadro político de segurança que está a ser desenvolvido, quer se trate do AI Act, do Cyber Resilience Act ou do NIS2, seja construído em torno das necessidades, vulnerabilidades e capacidades dos utilizadores. Uma abordagem assente no pressuposto de que a educação dos utilizadores irá colmatar as lacunas de capacidade falhará.
Na iProov, defendemos o princípio de uma abordagem centrada no utilizador para a conceção de soluções, inspirada no trabalho desenvolvido nesta área pela Professora Angela Strasse. Os serviços de verificação e autenticação de ID devem ser construídos em torno de alguns princípios simples, mas críticos, centrados no utilizador. A conformidade com as WCAG 2.1 AA deve ser um requisito mínimo. Ninguém deve ser excluído - quer seja com base em deficiências, quer seja com base no facto de não ter o mais recente smartphone ou tablet. Não se pode esperar que os utilizadores tenham de enfrentar o inconveniente de se inscreverem novamente sempre que mudam ou substituem os seus dispositivos.
Temos de reconhecer que os dispositivos são um ponto fraco na cadeia de vulnerabilidade e evitar depender deles para a segurança. Muitos dos smartphones de uso diário já não são suportados e os seus utilizadores não instalam necessariamente as últimas correcções de segurança disponíveis.
Que objectivos deve a política visar?
- Inclusão através da escolha do utilizador: Sem imposição ou exigência de hardware ou sensores especiais para os dispositivos. Capacidade de autenticação segura em qualquer dispositivo com uma câmara virada para o utilizador.
- Inclusão através da acessibilidade: Agnosticismo de dispositivos e plataformas para incluir todos os utilizadores;desempenho robusto e monitorização de preconceitos; entrega baseada na nuvem.
- Vias de escolha robustas: A opção de registo não biométrico deve ser igualmente segura... mesmo que a conveniência seja sacrificada.
- Redução do risco dos dispositivos: Não depender dos dispositivos dos utilizadores para a segurança. Mitigar o risco de dispositivos sintéticos ou comprometidos.
- Recuperação da identidade: Os utilizadores não devem ser obrigados a inscrever-se novamente quando os dispositivos são alterados ou substituídos.
- Integridade da verificação: Utilizar o processamento inacessível para impedir a engenharia inversa por parte dos atacantes. Atenuar a ameaça de ataques adversários.
- Aliviar os utilizadores do ónus da responsabilidade: A implementação de novos algoritmos de deteção não deve depender nem obrigar o utilizador a atualizar o seu dispositivo pessoal.
- Resposta ágil: Informações contínuas sobre ameaças para fazer evoluir as defesas.
Enquanto operadores, temos de aceitar o dever de cuidar dos utilizadores e assumir a responsabilidade pela sua segurança sempre que possível.
