La biometria è morta, viva la biometria!

Anche l'Economist sembra suonare il "De profundis" per l'autenticazione biometrica. Che ci fossero dubbi sulla effettività di questo metodo di autenticazione è cosa nota, ma che addirittura un giornale non di settore dedicasse un articolo al problema è quantomeno sorprendente. 

Mi viene da pensare che il motivo sia da attribuire principalmente al grande impiego che se ne fa nella lotta al terrorismo (vedi Body Scanner) e la necessità, anche per il comune cittadino, di capirne di più. Forse però i troppi film di fantascienza hanno indotto un falso senso di sicurezza con il quale i differenti attori hanno giocato delle partite spesso non troppo chiare.

Forse.

Il problema principale, a parte l'aspetto psicologico, è che tali metodi di autenticazione (biometrici) non forniscono delle risposte deterministiche quali un "sì" o un "no", ma bensì una probabilità di "sì" e quindi una di "no". Probabilità che è relativa a fattori esterni al dato biometrico: la configurazione del sistema, le condizioni atmosferiche, le condizioni di luce; mentre condizioni interne sono da attribuire alla variabilità del dato biometrico: barba lunga per il riconoscimento facciale, dita sporche per il riconoscimento delle impronte digitali, lacrimazione eccessiva per il riconoscimento dell'iride, etc.

L'aspetto probabilistico induce quindi anche dei falsi positivi e dei falsi negativi. Rispettivamente soggetti che  non vengono autenticati dal sistema pur avendone le caratteristiche e soggetti che NON dovrebbero essere autenticati ma che invece lo sono.

Si potrebbe pensare che la cosa preoccupante per un sistema di autenticazione biometrica sia il falso negativo, perché soggetti non autorizzati riescono a superare (almeno) un sistema di autenticazione. Ma anche il falso positivo è altrettanto pericoloso, perché induce una bassa confidenza degli operatori posti al controllo del sistema che quindi riduce la soglia generale di attenzione. 

Detta in parole povere, se dopo un'intera giornata il sistema rifiuta un buon numero di persone che dovrebbero essere autenticate, l'operatore propone la disattivazione del sistema biometrico ed un più granulare controllo delle altre forme di autenticazione (che spero siano state previste).

Già in passato avevo pubblicato un post che parlava di un attacco presentato ad un BlackHat, in cui si dimostrava come fosse semplice eludere i sistemi di riconoscimento facciale dei comuni portatili. Andatevi a vedere i rate di falsi positivi e falsi negativi. In alcuni casi si arriva anche ad un 10%!

D'accordo. Quelli sono sistemi da quattro soldi, ma per sistemi più complessi, la domande è se il gioco valga la candela. Sicuramente sì per chi produce questi sistemi che richiedono configurazioni complesse, e quindi tempo e soldi ;-)