В документе “REMOTE ID PROOFING GOOD PRACTICES”, опубликованном Европейским агентством по кибербезопасности (ENISA) в марте 2024 года, описываются лучшие практики удаленной проверки личности.

Основные моменты документа включают:

Ускорение цифровой трансформации, подчеркивающее значимость безопасных и стандартизированных процессов удаленной идентификации.
Отчет реагирует на новые угрозы в ландшафте атак и предоставляет актуализированные рекомендации по защитным практикам.
В результате обзора литературы, опросов и интервью были определены основные атаки на биометрические системы и документы, удостоверяющие личность.
Представлены новые угрозы, такие как атаки с использованием технологии дипфейк, и предложены контрмеры в областях экологических, процедурных, организационных и технических контролей.

Обзор атак:

Атаки с предъявлением: включают обман биометрической системы во время сбора данных, например, с использованием масок, напечатанных фотографий или технологии дипфейк.
Атаки с инъекцией: включают внедрение фальшивых биометрических данных непосредственно в подсистему биометрического распознавания, обходя контроль на этапе захвата данных.

Лучшие практики:

В документе изложены лучшие практики для контролей окружающей среды, обнаружения атак с предъявлением (PAD), обнаружения атак с инъекцией (IAD), контролей документов, удостоверяющих личность, процедурных контролей и организационных контролей.

Заключения:

В отчете подчеркивается необходимость гармонизации на фоне разнообразного регулятивного ландшафта по всему ЕС.
Выделены вызовы, представленные новыми и сложными методами атак, предполагая необходимость обновленной и последовательной регулятивной рамки для обеспечения безопасного внедрения методов удаленной проверки личности.

Отчет является всеобъемлющим, учитывая правовые и регуляторные разработки, технологические достижения и развивающийся ландшафт угроз. Он нацелен на надзорные органы, органы по оценке соответствия, поставщиков доверенных сервисов (TSPs), исследователей в области безопасности, академические круги и государственные организации, рассматривающие решения для удаленной проверки личности.