Vol. 13 av 25
·
Hårdvarans förtroendegrund
Biometrisk spoofings verklighet
Fingeravtrycket klarade testet. Personen gjorde det inte. Biometri är bara lika säker som systemet som bearbetar den, och en komprometterad biometrisk mall kan aldrig återställas.
Permanent
exponering när en biometrisk mall komprometteras. Den kan aldrig återställas som ett lösenord.
Tiotals miljoner
poster har påverkats av stora intrång i biometriska databaser. Angriparna behövde bara nätverksåtkomst, inte fysisk närvaro.
CC EAL6+
Lägsta certifieringsnivå för chip vid säker biometrisk matchning på enheten. Den privata nyckeln lämnar aldrig säkerhetsnyckeln.
Antagandet
Biometri är säkrare än lösenord eftersom den är knuten till en fysisk person.
Verkligheten
Biometri är bara lika säker som systemet som bearbetar den. Riskerna omfattar matchning i programvara, centralt lagrade mallar och sensorer utan livstestning. I sådana fall blir fingeravtryckets beständighet en belastning: ett komprometterat lösenord kan bytas snabbt, men en komprometterad biometrisk mall kan inte ändras och försvagar personens identitet i alla system som använder den.
Målarkitekturen
Den biometriska matchningen ska ske inuti certifierad hårdvara. Den privata nyckeln lämnar aldrig det säkra elementet. Biometrin låser upp hårdvaran, och hårdvaran är autentiseraren. En stulen mall blir värdelös, en förfalskning i programvara ger ingen användbar inloggningsuppgift och ett certifierat chip står emot fysisk analys.
Nyckelfrågorna inför ditt nästa upphandlingsbeslut
Var sker den biometriska matchningen? Matchning i programvara på datorn, på en server eller mot centralt lagrade mallar arbetar emot dig.
Lämnar mallen enheten? Ett säkert element enligt CC EAL6+ ska hålla mallen inuti säkerhetsnyckeln och aldrig exportera den.
Finns livstestning? Statisk matchning mot foto eller video utan livstestning kan luras med deepfakes.
Tillsynsmyndigheter frågar var matchningen sker och hur mallarna hanteras
Matchning på enheten i ett säkert element enligt CC EAL6+, med ANSSI Visa de Sécurité eller FIPS 140-3 Level 3, ger det beviset. Matchning i programvara eller på en server gör det inte.
Källor
HYPR / S&P Global 2026
NIS2 artikel 21.2 i och j
Vill du veta hur det ser ut i er miljö?
Boka en genomgång med Ciptor, så går vi igenom era antaganden tillsammans.
Boka en genomgång