Zapomnij o hasłach. Google pozwoli Ci zalogować się… własnym selfie!

Google testuje kolejny innowacyjny, choć wzbudzający kontrowersje sposób na zabezpieczenie naszych kont osobistych – logowanie za pomocą krótkiego nagrania wideo-selfie. Nowa funkcja wykorzystuje analizę rysów twarzy oraz detekcję żywotności, aby upewnić się, że po drugiej stronie ekranu znajduje się żywy człowiek. Choć rozwiązanie brzmi jak wygodna przyszłość bez tradycyjnych haseł, eksperci od cyberbezpieczeństwa zalecają ostrożność, przypominając niedawne wpadki firmy z analogicznymi technologiami.

Jak działa logowanie wideo w usłudze Google?

Proces konfiguracji nowego zabezpieczenia jest intuicyjny, ale wymaga spełnienia kilku rygorystycznych warunków. Użytkownik, korzystając z urządzenia mobilnego z aparatem podłączonym do sieci Wi-Fi, musi umieścić swoją twarz w kadrze i wykonać serię poleceń, takich jak obracanie głowy czy mruganie. Algorytmy potrzebują pełnej widoczności rysów twarzy, co oznacza brak okularów przeciwsłonecznych, czapki oraz obecności innych osób w tle.

Podczas późniejszych prób logowania system prosi o nagranie świeżego klipu i porównuje go z materiałem wzorcowym. Aby udaremnić próby oszustwa, aplikacja wymaga wykonania dynamicznych ruchów na żywo. Google powoli wdraża to rozwiązanie i choć nie jest ono jeszcze dostępne dla wszystkich, każdy użytkownik może sprawdzić status swojego konta pod adresem g.co/signin-selfie. Amerykański gigant zapewnia, że wszelkie dane biometryczne są szyfrowane, bezpiecznie przechowywane i chronione przed technologią deepfake.

Cień wątpliwości: Problem ze skutecznością rozwiązań typu liveness detection

Zapowiedzi Google o niezniszczalnych zabezpieczeniach spotykają się jednak z dużą rezerwą środowiska technicznego. Obawy wynikają z niedawnych eksperymentów firmy z technologią Hand Gesture Verification (HGV), wdrożoną w ramach testów nowej generacji reCAPTCHA. System ten miał za zadanie prosić użytkowników o pomachanie do kamery lub pokazanie otwartej dłoni, co przy pomocy uczenia maszynowego miało odróżniać ludzi od botów rozwiązujących tradycyjne łamigłówki obrazkowe.

Szybko wyszło jednak na jaw, że innowacyjne narzędzie posiadało krytyczne podatności:

• Podatność na proste zdjęcia: Badacze bezpieczeństwa bez trudu oszukali algorytm HGV, prezentując przed kamerą zwykłe, statyczne zdjęcie dłoni z bazy stockowej.
• Obejście przez wirtualne kamery: Do oszukania systemu nie była potrzebna nawet fizyczna kamerka internetowa – wystarczyło użyć oprogramowania typu OBS Studio, by przesłać obraz dłoni w formie cyfrowego sygnału.
• Łatwa automatyzacja: Ze względu na banalną strukturę podatności, cały proces przełamywania zabezpieczenia dało się w pełni zautomatyzować za pomocą prostych skryptów.

W kontekście tak poważnych wpadek weryfikacji gestów, obietnice dotyczące niezawodności wideo-selfie budzą zrozumiałe pytania o odporność nowej metody na bardziej zaawansowane ataki ze strony cyberprzestępców.

Wprowadzenie logowania za pomocą wideo-selfie to kolejny krok Google w stronę wyeliminowania tradycyjnych haseł na rzecz biometrii. Choć wygoda i teoretyczny poziom bezpieczeństwa wyglądają obiecująco, historia z podatnościami w systemie HGV pokazuje, że testowanie biometrycznej „żywotności” użytkownika wciąż pozostaje dla inżynierów ogromnym wyzwaniem.