BIOMETRIA FINGER VEIN firmy Hitachi najlepsza metoda uwierzytelniania klientów banków

BIOMETRIA FINGER VEIN firmy Hitachi najlepsza metoda uwierzytelniania klientów banków Tadeusz Woszczyński Dyrektor w Polsce, Pion Rozwiązań Bezpieczeństwa IT, Hitachi Europe Ltd. Przewodniczący Grupy ds. Biometrii, Członek Prezydium, Forum Technologii Bankowych Hitachi Finger Vein to metoda biometrycznego uwierzytelniania klientów banków zapewniająca wygodę użytkowania i najwyższe bezpieczeństwo. Pozwala usprawnić procesy zarówno w oddziale banku jak i w bankomatach. Dzięki temu biometria Finger Vein ma szansę zrewolucjonizować polski sektor bankowy. Jest wielce prawdopodobne, że już niedługo można będzie stwierdzić, że każdy z nas ma swoją gotówkę w jednym palcu! 1. Finger Vein wprowadzenie do technologii Biometria co to jest? Biometria to według definicji metoda pomiarów cech istot żywych, ukierunkowana na metody automatycznego rozpoznawania ludzi. W praktyce biometria jest najlepszą metodą weryfikacji tożsamości, tzn. po zadeklarowaniu określonej tożsamości potwierdzamy ją przy pomocy unikalnej cechy biometycznej. W dużo mniejszym stopniu biometria wykorzystywana jest do identyfikacji osób. Ma to miejsce głównie przy pomocy odcisku palca (np. przez policję). Jest to możliwe także dla innyc technologiei biometrycznych ale dla małych populacji. Dlatego też przekonanie o wykorzystaniu biometrii głównie do identyfikacji osób jest błędne. Zdecydowanie weryfikacja tożsamości to główny cel zastosowania technologii biometrycznej, np. w banku. W systemie biometrycznym identyfikator może być dowolnym numerem (data ur., PESEL, nr klienta, nr karty itd.) wskazującym na zapisaną w bazie dana biometryczną. Technologie biometryczne bazują na unikalnych cechach fizycznych naszego organizmu takich jak linie papilarne palca, tęczówka oka, kształ dłoni, kształ twarzy, naczynia krwionośne palca oraz cechach behawioralnych takich jak podpis odręczny, barwa głosu, sposób pisania na klawiaturze itd. Podział technologii biometrycznych przedstawia Rys 1: Rys. 1: Technologie Biometryczne 1

Biometria Finger Vein jak działa? Biometria naczyń krwionośnych palca (ang. Finger Vein) to najnowszej generacji technologia biometryczna wykorzystująca unikalne cechy struktury naczyń krwionośnych w naszym palcu. Celem opracowania technologii opartej o strukturę naczyniową było zapewnienie wygodnej, szybkiej i bezpiecznej metody silnego uwierzytelniania, która mogłoby być wykorzystana masowo m.in. w bankowości i administracji publicznej. Finger Vein miało być również odpowiedzią na szereg problemów technologicznych, prawnych i społecznych związanych z wykorzystaniem biometrii odcisku palca, jak i alternatywą na niebezpieczne traksakcje kartowe autoryzowane kodem PIN. Prace badawcze nad tą technologią zostały rozpoczęte już w 1997 roku w Japonii, a masowe wdrożenia rozpoczęły się na przełomie 2004 i 2005 roku w Japonii. Finger Vein w przeciwieństwie do wielu innych technologii biometrycznych, jak i innych metod uwierzytelniania spełnia następujące wymagania: zachowuje prywatność użytkowników zapewnia maksymalne możliwe bezpieczeństwo (min. współczynnik FAR) jest idealnym narzędziem do silnego uwierzytelniania szybkość weryfikacji nie wpływa na czas transakcji wzorzec biometryczny jest nieprzechwytywalny (ang.non-traceable biometrics) jest metodą nieinwazyjną i higieniczną wykorzystuje dane unikalne, niezmieniające się przez całe życie jest akceptowalna przez społeczeństwo jest prosta w użyciu ułatwia dostęp do e-usług dla osób wykluczonych cyfrowo i osób niepełnosprawnych Technologia Finger Vein polega na naświetlaniu palca światłem bliskiej podczerwieni (ang. near infrared light), gdyż natleniona hemoglobina płynąca w naszej krwi absorbuje ten typ światła. Dzięki temu kamera (CMOS/CCD) wbudowana w czytnik biometryczny uzyskuje pełny obraz naczyń krwionośnych. Następnie obraz ten jest poddany procesowi przetwarzania, w którym ekstraktuje się wzór naczyń krwionośnych, a następnie przy pomocy specjalnego algorytmu bada się szereg unikalnych cech tej struktury (m.in. szerokości, długości, kąty przecięć naczyń itd.). Na podstawie tego algorytmu tworzony jest tzw. wzorzec biometryczny Finger Vein, który następnie jest szyfrowany. Wzorzec biometryczny jest później porównywany ze wzorcem zarejestrowanym w bazie danych lub na karcie chipowej użytkownika. Należy zwrócić uwagę, że w przypadku systemów biometrycznych opartych o technologię Finger Vein nigdy nie przechowujemy obrazu struktury naczyń. Jest on tylko elementem pośrednim procesu tworzenia i porównywania wzorców. Pełny przegieg procesu uwierzytelniania Finger Vein przedstawia Rys 2: Rys. 2: Proces uwierzytelniania Finger Vein 2

Dzięki wykorzystaniu metody naświetlania światlem bliskiej podczerwieni, już w samym założeniu tej technologii uzyskujemy bardzo ważną właściwość - system biometryczny działa tylko I wyłącznie z żywym palcem. Nie ma konieczności wykorzystania dodatkowych narzędzi testujących żywotność (choć ze względu na normy w większości czytników są one stosowane dodatkowo). Przez wiele lat był to problem związany z biometrią odcisku palca (np. uwierzytelnianie przy pomocy sztucznego palca) jak i innych technologi zewnętrznych (tęczówka oka, dłoń). Ponieważ wykorzystujemy światło bliskiej podczerwieni, a także cechę biometryczną, która znajduje się wewnątrz ludzkiego ciała, nie jest możliwe uzyskanie wzoru naczyń bez świadomości użytkownika (np. poprzez sfotografowanie palca np. na ulicy, pozostawianie danej biometrycznej na przedmiotach itd.), co jest problemem w innych modalnościach biometrycznych (tęczówka, kształt twarzy, linie papilarne). Przechowywanie I porównywanie wzorców Finger Vein W przypadku technologii Finger Vein wzorce biometryczne mogą być przechowywane w następujący sposób: na karcie chipowej (stykowej) na karcie bezstykowej (np. Mifare) na centralnym serwerze w czytniku biometrycznym w formie kodów kreskowych/kodów q W przypadku banków stosuje się przede wszystkim metodę przechowywania wzorców na centalnym serwerze bankowym lub też na karcie płatniczej klienta banku. Jeśli chodzi o porównywanie wzorców biometrycznych to proces ten może być przeprowadzony na jeden z 4 sposobów: na karcie chipowej (ang. Match-on-card) na bezpiecznym czytniku biometrycznym (ang. Match-on-device) na centralnym serwerze (ang. Match-on-server) na komputerze PC (ang. Match-on-host) W przypadku bankowości (bankomaty, oddziały) stosuje się przede wszytkim dwa pierwsze sposoby porównywania wzorców biometrycznych Finger Vein. Jednakże w przypadku bankowości internetowej wzorce porównuje się głównie na serwerze bankowym. Dzięki zapewnieniu wielu sposobów porównywania I przechowywania wzorców biometrycznych, technologia Finger Vein jest technologią uniwersalną dającą firmie/instytucji (np. bankowi) korzystającej z tej metody uwierzytelniania wiele możliwości. Co więcej w systemach bankowych czytniki biometryczne Finger Vein mogą pracować w kilku trybach równocześnie (np. w trybie match-on-card I match-on-device). Badania technologii Finger Vein pod względem statystycznym I medycznym Przed wprowadzeniem technologii biometrycznej Finger Vein na rynek japoński przeprowadzono szereg badań matematycznych jak i medycznych, które miały jednoznacznie potwierdzić czy technologia ta nadaje się do masowego wdrożenia jako metoda weryfikacji tożsamości. W 2007 roku Uniwersytet Fukuoka w Japonii opracował i wydał analizę matematyczną metody Finger Vein pt. Human finger vein images are diverse and its patterns are useful for personal identification (T. Yanagawa, S. Aoki, T. Ohyama). Opracowanie to bazujące na analizie histogramów wzorców biometrycznych jednoznacznie potwierdza, że wzorzec naczyń krwionośnych palca jest identyczny tylko w przypadku tego samego palca u tej samej dłoni u tego samego człowieka. 3

W lipcu 2006 roku w Centralnym Ośrodku Badawczym (CRL) firmy Hitachi w Japonii przeprowadzono warsztaty medyczne, które miały na celu przeprowadzenie dogłębnej analizy dotyczącej Finger Vein w 3 aspektach: Uniwersalności czy metoda jest dla wszystkich? Unikalności czy może być wykorzystana do silnego uwierzytelniania? Niezmienności - czy nie zmienia się przez całe życie? W warsztatach uczestniczyło szereg znanych profesorów i ekspertów z zakresu medycyny. Rezultatem prac było opracowanie dokumentu Medical Opinions Concerning Finger Vein Authentication Technology. Wśród głównych wniosków opracowania należy zaliczyć: Uniwersalność -Żyły i tętnice są niezbędne do dostarczania tlenu i substancji odżywczych do tkanek palca -Wszyscy ludzie posiadają naczynia o szer. 0.3-1.0 mm w warstwach podskórnych palca (a ten typ naczyń jest naświetlany światłem bliskiej podczerwieni w technologii Finger Vein) - Wniosek: Każdy człowiek może korzystać z technologii Finger Vein Unikalność -Formowanie się układu krwionośnego człowieka odbywa się pierwszym etapie ontogenezy -Układ tętniczo żylny jest formowany na podstawie ilości tleny i przepływu krwi -Na proces tworzenie naczyń mają wpływ uwarunkowania genetyczne, jednakże proces ten zawiera wiele losowych elementów - Występuje bardzo duża niepowtarzalność indywidualnych cech we wzorcach układu naczyniowego - Wniosek: Wysoka użyteczność, daje możliwość wykorzystania tych cech w procesie uwierzytelniania osób Niezmienność - Zanikanie naczyń: Istnieje niezwykłe małe prawdopodobieństwo zmiany wzorca naczyń krwionośnych -Tworzenie nowych naczyń: może być rezultatem ciężkich zapaleń naczyń lub guzów (nowotworów) ale występuje bardzo rzadko - Wpływ na poprawne uwierzytelnianie może mieć też ciężka anemia w tym bardzo niski poziom hemoglobiny we krwi - Wniosek: Użytkownik po jednokrotnej rejestracji może korzystać z systemu bez konieczności kolejnej rejestracji wzorca Bezpieczeństwo i użyteczność biometrii Finger Vein W biometrii istnieje szereg współczynników określających bezpieczeństwo i użyteczność danej technologii biometrycznej. Wśród najważniejszych z nich zaliczyć można: FAR - współczynnik błędnej akceptacji. Kluczowy dla bezpieczeństwa systemu. Mówiący o prawdopodobieństwie akceptacji przez system biometryczny osoby nieuprawnionej (np. niezarejestrowanej jako klient banku) FRR - współczynnik błędnego odrzucenia. Kluczowy dla wygody użytkowania biometrii. Mówiący jakie jest prawdopodobieństwo, że osoba uprawniona/zarejestrowana zostanie odrzucona przez system (wynika bardzo często ze złego przyłożenia palca) FTE - współczynnik błędu rejestracji. Mówiący jaki jest % nieudanej próby rejestracji wzorca biometrycznego Czas rejestracji czas potrzebny do przeprowadzenia procesu rejestracji w rozumieniu pobrania i zapisu odpowiedniej ilości próbek wzorców biometrycznych Czas weryfikacji średni czas potrzebny na weryfikację (porównanie) wzorca biometrycznego danej osoby 4

Wartości katalogowe tych współczynników dla technologii Finger Vein podawane przez firmę Hitachi są następujące: FAR < 0,00001% (mniej niż 1 na million) FRR = 0,01% (1 na 10 000) FTE = 0,03% (3 na 10 000) Czas rejestracji = 20 s Czas weryfikacjii < 0,5 s Na ten moment są to najlepsze parametry wśród technologii biometrycznych (i innych metod uwierzytelniania) na świecie. Tak wysokie bezpieczeństwo potwierdzają także niezależne badania. W 2004 roku w Japonii przeprowadzono testy JIS na 2673 osobach, które potwierdziły bardzo niskie parametry FAR i FRR tj: FAR < 0,000024% FRR = 0% Należy jednak zwrócić uwagę, że osoby biorące udział w badaniu były przeszkolone z wykorzystania czytników Finger Vein. W 2006 roku International Biometrics Group, największa niezależna organizacja zajmująca się tematem biometrii, przeprowadziła niezależne badania 3 najbezpieczniejszych technologii biometrycznych tj. biometrii naczyń krwionośnych palca, naczyń krwionośnych dłoni oraz tęczówki oka. Badania te przeprowadzono na grupie 650 osób, które nie były wcześniej przeszkolone z wykorzystania czytników biometrycznych. Wyniki badań zostały opublikowane w raporcie Comparative Biometric Testing Round 6 Public Report. Kluczowe wyniki tego testu przedstawia Tabela1: Tabela 1: Porównanie technologii biometrycznych IBG-6 Wyniki te jednoznacznie wskazują, że technologia Finger Vein jest najszybszą, najbezpieczniejsza i najłatwiejszą w obsłudze technologią biometryczną na rynku. 5

W 2010 roku testy technologii Finger Vein przeprowadził Instytut Fraunhofera w Niemczech. Wyniki testów opublikowane w Hitachi Finger Vein Evaluation Report, 2010 potwierdziły dużą szybkość i bezpieczeństwo tej technologii: Czas weryfikacji: 0,458 s Czas rejestracji: 20 s EER: 0,002% Na podstawie wszystkich tych wyników możemy jednoznacznie stwierdzić, że na ten technologia Finger Vein jest najbezpieczniejszą i posiadającą najwyższą użyteczność metodą uwierzytelniania biometrycznego na rynku światowym. Finger Vein vs Finger Print Głównym problemem technologii Finger Vein jest mylenie jej z technologią odcisku palca. (ang. Finger Print) Jest to na tyle niefortunne, że technologia odcisku palca jest najbardziej kontrowersyjną i problematyczną technologią biometryczną. Przede wszystkim biometria odcisku palca jest tzw. biometrią przechwytywalną, ponieważ w latwy sposób możemy pobrać daną biometryczną (np. poprzez pobranie odcisku z przedmiotu używanego przez daną osobę). Dlatego też ten typ biometrii jest wykorzystywana przez policję do identyfikacji przestępców (a dokładnie zawężania puli potencjalnych osób podejrzanych). Rys. 3: Odcisk palca vs Naczynia krwionośne palca Dotychczas na świecie nie udało się wdrożyć pomyślnie biometrii odcisku palca do uwierzytelnia klientów w bankach (były próby m.in. w Kolumbii, Brazylii, U.S.A.), gdyż nie gwarantuje on wysokiego poziomu bezpieczeństwa, praktyczności i prywatności klientów. Biometria odcisku palca nie jest poprostu odpowiednią metoda weryfikacji tożsamości dla banków. Oprócz tego biometria odcisku kojarzy nam się z przestępczością co budzi lęk wśród jej użytkowników. Na percepcje dotyczącą odcisku palca mają także wpływ projekty w których przechowuje się czysty obraz odcisku palca (np. paszporty) co jest niespotykane w innych technologiach biometrycznych, a także szereg problemów z użytkowaniem czytników biometrycznych (wplyw brudnych palców, uszkodzęń naskórka itd.). W ostatnich latach wiele wdrożeń wykorzystujących odcisk palca było skompromitowanych poprzez przypadki błędnej autoryzacji (przy pomocy sztucznych odcisków lub wręcz martwych palców), co wymuszało wprowadzanie dodatkowych kosztownyc zabezpieczeń czytników. Technologia Finger Vein rozwiązuje wszystkie problemy związane z wykorzystaniem odcisku palca. Po pierwsze wzorzec biometryczny znajduje się wewnątrz ludzkiego ciała i nie może być pobrany bez wiedzy użytkownika. Po drugie działa on tylko z żywym palcem. Wzorzec FV nigdy nie jest zapisywany w formie zdjęcia tylko przetworzonego, szyfrowanego wzorca biometrycznego. Na proces uwierzytelniania nie maja wpływu uszkodzenia skóry, brud itd. Ogólne porównanie technologii Finger Vein i Finger Print przedstawia Tabela2 : 6

Tabela 2: Porównanie technologii Finger Print i Finger Vein Certyfikacje, nagrody i rekomendacje dla technologii Finger Vein Technologia Finger Vein z powodu swojej innowacyjności, praktyczności i bezpieczeństwa była wielokrotnie nagradzana i akredytowana. W 2006 roku technologia Finger Vein w połączeniu z multiaplikacyjną kartą MULTOS otrzymała nagrodę Breakthrough Innovation Award 2006 prestiżowego magazynu Card Technology Magazine. W 2007 roku CNIL (odpowiednik polskiego GIODO), francuska organizacja zajmująca się ochroną danych osobych wydała oficjalną akredytację dla technologii Finger Vein umożliwiającą przechowywanie wzorców biometrycznych zarówno na centralnym serwerze lub czytnikach. Było to przełomowe wydarzenie gdyż dotychczas jakiekolwiek wdrożenie technologii biometrycznych we Francji wymagało przechowywanie wzorców na kartach chipowych. Ponadto CNIL oficjalnie ogłosił, że technologia Finger Vein jest technologią nie prezentującą żadnego określonego ryzyka dotyczącego prywatności danych osobowych (wolności i praw jednostki indywidualnej) zważając na fakt braku możliwości przechwycenia wzorców biometrycznych człowieka bez jego woli. Od 2007 roku technologia Finger Vein jest wprowadzana na rynek polski. Związek Banków Polskich, który zaprosił Hitachi do prowadzenia misji popularyzacji biometrii w polskiej bankowości w ramach Forum Technologii Bankowych, pozywynie opiniuje jej wykorzystanie w projektach bankowych w Polsce. W 2009 firma Hitachi Europe Ltd. została wyróżniona, a w 2010 roku zdobyła główną nagrodę Kongresu Gospodarki Elektronicznej za działalność popularyzacyjną i edukacyjną związaną z wykorzystaniem biometrii w bankowości i administracji publicznej oraz wdrożenie pierwszych w Europie bankomatów biometrycznych. W 2010 roku bankomaty biometryczne Finger Vein otrzymały rekomendację Gazety Bankowej Hit Roku 2010 w kategorii Produkt. Dzięki współpracy z wieloma organizacjami pozarządowymi technologia Finger Vein uzyskała pozytywne opinie m.in. Krajowej Izby Gospodarczej Elektroniki i Telekomunikacji, Związku Banków Polskich, Stowarzyszenia Miasta w Internecie, Krajowego Stowarzyszenia Informacji Niejawnych, Intytutu Maszyn Matematycznych i wielu innych. 7

2. Finger Vein zastosowania w bankowości Finger Vein (FV) jest technologią opracowaną przede wszystkim dla potrzeb światowej bankowości. Uwierzytelnianie biometryczne FV stosuje się zarówno po stronie klienta banku (bankomaty, bankowość elektroniczna, oddziały bankowe) jak i systemów bezpieczeństwa wewnętrznego (logowanie do systemów informatycznych, kontrola dostępu do pomieszczeń itd.). Poniżej przedstawiono opis wybranych, kluczowych zastosowań związanych ze stroną klienta banku: Bankomaty biometryczne Bankomat biometryczny to jeden z głównych zastosowań biometrii Finger Vein. Technologia Finger Vein została stworzona właśnie do masowego zastosowania w bankomatch. Na całym świecie funkcjonuje kilkadziesiąt tysięcy bankomatów biometrycznych wyposażonych w czytniki Finger Vein. FV jest światowym liderem wśród rozwiązań biometrycznych w bankomatach. Do kluczowych zastosowań biometrii Finger Vein w bankomacie zalicza się: Biometryczna wypłata lokalna Biometryczne wypłaty świadczeń społecznych Zabezpiecznie transakcji kartowych (zamiast PIN lub dodatkowo do PINu) Bankomat biometryczny może wykorzystywać dane biometryczne przechowywane na serwerze banku lub też na karcie płatnicznej. W pierwszym przypadku klient może wykorzystać swoją kartę jako identyfikator oraz potwierdzić swoją tożsamość palcem. Może również nie używać karty i wpisać wybrany identyfikator na klawiaturze bankomatu (np. PESEL, datę urodzenia, nr klienta) + palec. W przypadku przechowywania wzorca na karcie płatniczej, biometria używana jest zamiast kodu PIN w transakcji kartowje lub jako dodatkowe zabezpieczenie transakcji EMV. Zastosowanie biometrii w bankomacie daje wiele korzyści zarówno dla użytkowników jak i dla banku. Klient nie musi pamiętać kodów PIN oraz nosić ze sobą karty. Otwiera to bank na nowe portfolio klientów, którzy nie chcą korzystać z kart elektronicznych. Wypłata biometryczna w bankomacie jest prosta, intuicyjna i bardzo bezpieczna. Bankomaty biometryczne mogą stanowić infrastrukturę do wszelkiego rodzaju wypłat świadczeń społecznych. Oznacza to, że bankomat biometryczny może być rozwiązaniem problemu wypłat rent i emerytur (tylko 25% świadczenioodbiorców ma konta bankowe). Integracja czytników biometrycznych z bankomatami jest prosta i nie wiąże się z dużymi kosztami. W Polsce technologia Finger Vein jest już w pełni zintegrowana z bankomatami czołowych firm, m.in. Wincor-Nixdorf, NCR jak i Diebold. Oznacza to, że Finger Vein może być stosowany w 99% bankomatów w Polsce. Czytnik biometryczny wraz ze specjalną obudową i oprogramowaniem może w prosty sposób wdrożony do dowolnego bankomatu (uprgrade starego bankomatu lub nowy bankomat). Dzięki temu zapewnienie uwierzytelniania biometrycznego dla banku nie stanowi ogromnego obciążenia finansowego w zmianę infrastruktury bankomatowej. Przykłady bankomatów biometrycznych Wincor-Nixdorf, NCR i Diebold przedstawia Rys. 4: 8

Rys. 4: Bankomaty biometryczne z technologią Finger Vein firm Wincor-Nixdorf, NCR i Diebold Biometryczne uwierzytalnie w oddziale Biometria Finger Vein stanowi idealny element innowacyjnego oddziału bankowego. Dzięki wdrożeniu biometrii Finger Vein w okienkach kas, stoiskach obsługi klienta czy kioskach samobługowych uzyskujemy szereg korzyści. Klienci nie muszą już nosić ze sobą dowodu, a weryfikacja nie odbywa się w tym przypadku na podstawie subiektywnej oceny poprawności podpisu. Nie trzeba także stosować kart i kodu PIN. Dzięki temu klient obsługiwany jest szybciej i wygodniej, zwiększając do tego znacznie Rys. 5: Stanowisko obsługi klienta wyposażone poziom bezpieczeństwa. Po w system uwierzytelniania biometrycznego szybkiej i wiarygodnej Finger Vein weryfikacji technologią Finger Vein klient może dokonać wypłaty, złożyć podanie o kredyt czy otwarcie konta. Redukuje się czas obsługi co zwiększa efektywność oddziału bankowego. Oddział bankowy stanowi także punkt rejestracji klienta, w którym pobierane są jego wzorce biometryczne i zapisywane na centralnym serwerze lub karcie płatniczej. 9

Biometryczna bankowość internetowa Biometryczna bankowość internetowa to kolejne zastosowanie dla technologii Finger Vein. Stanowi ona alternatywę dla obecnych metod autoryzacji transakcji (tokeny, hasła sms-owe, zdrapki) jak i tradycyjnego logowania do konta bankowego. Przy pomocy komputerowego czytnika biometryczne Finger Vein klient banku może w prosty i bezpieczny sposób zarówno zalogować się do swojego konta internetowego oraz autoryzować poszczególne transacje. Porównanie danych biometrycznych odbywa się na specjalnym serwerze bankowym. Rys. 6: Bankowość internetowa z biometryczną autoryzacją transakcji Ze względu na kosz czytników, usługa biometrycznego konta internetowego jest przeznaczona przede wszystkim dla klientów korporacyjnych, którzy bardzo sobie cenią wygodę i bezpieczeństwo. Biometryczne POSy Biometryczne płatności w terminalach POS stanowią przyszłość biometrii. Tzw. Pay by Finger stanowiłoby ciekawą alternatywę dla powszechnych płatności kartowych. Banki, które wdrażają biometrię w bankomatach i oddziałach widzą potrzebę wdrożenia równiez terminali POS w celu ujednolicenia usługi uwierzytelniania dla klientów. Biometryczny POS mógłby mieć możliwość zarówno transakcji kartowej (karta+biometria) lub samej biometrii (+identyfikator). Pozwalałoby to np. na transakcje bez portfela. Czytnik Finger Vein w łatwy sposób może zostac zintegrowany z terminalem POS (połączenie poprzez USB lub interfejs RS232). Już teraz w jednym z krajów europejskich prowadzone są bardzo zaawansowane prace integracyjne. Na sukces płatności biometrycznych, może wpłynąć fakt że już teraz sprawdza się ona w mikro-systemach płatności. Na całym świecie Finger Vein jest stosowany do płatności w kampusach stidenckich, stołówkach pracowniczych gdzie stanowi ona szybką i wygodną formę płatności. Biometria Finger Vein a prawo bankowe Wykorzystanie biometrii w Polsce budzi często wiele wątpliwości natury prawnej. Jest to spowodowane bardzo niejasnym i niedoprecyzownej ustawie o ochronie danych osobowych, niedostosowanej do najnowszych trendów technologicznych. Występuje tutaj ogromne niezrozumienie tematu biometrii i najnowszych osiągnięć techniki. Na percepcje biometrii mają nadal wpływ negatywne cechy związane z biometrią odcisku palca. Szczególnie trudnym obszarem jest wykorzystanie biometrii do rejestracji czasu pracy. Jednakże eksperci prawa bankowego nie mają wątpliwości, że biometria może być stosowana do uwierzytelniania transakcji i operacji w polskiej bankowości. Powołują się tutaj na tajemnicę bankową, która służy ochronie interesów klienta. Co więcej banki mogą gromadzć dane biometryczne klientów na centralnym serwerze. Umożliwia to zgoda dokonana przez klienta, legalizująca takie gromadze nia oraz ochrona przewidziana przez Prawo bankowe. Przepisy prawa bankowego dopuszczają także gromadzenie danych biometrycznych na karcie płatniczej. W tym przypadku klient banku sam zarząda swoimi danymi biometrycznymi, które nie są gromadzone centralnie. 10

Biorąc pod uwagę powyższe stwierdzenia oraz specyfikę i bezpieczeństwo technologii Finger Vein, która łamie wszelkie negatywy związane z odciskiem palca można jednoznacznie potwierdzić prawną możliwość pełnego wykorzystania tej technologii w polskich bankach. Technologia Finger Vein jako biometria nieprzechwytywalna i zgodna z prywatnością, nie stanowi żadnego zagrożenia dla prywatności danych osobowych klientów banku, co potwierdza werdykt francuskiego CNIL z 2007 roku. Korzyści dla banku Bank, który zdecyduje się na wdrożenie uwierzytelniania biometrycznego przy pomocy technologii Finger Ven może uzyskać szereg korzyści. Wśród najważniejszych są: Wprowadzenie metody silnego uwierzytelniania, która może być wykorzystana we wszystkich usługach (bankomat, oddział, bankowość elektroniczna, POS) Zwiększenie wydajności procesów Zwiększenie bezpieczeństwa transkacji (bezpieczeństwo dla banku jak i klientów) Zwiększenie wygody dla klientów - proste uwierzytelnianie - nie trzeba pamiętać kolejnych kodów PIN (bankomat) - nie trzeba używać karty (bankomat) - nie trzeba nosić dowodu (oddział) - nie potrzeba weryfikować podpisu (oddział, POS) Promocja na rynku jako innowacyjny, nowoczesny bank Szybsza obsługa klientów Udostępnienie usług dla ludzi wykluczonych, dla osób które nie używają kart lub mają problemy z kodami PIN Umożliwienie wykorzystania bankomatów do wypłat wielu rodzajów świadczeń, zwrotów podatków, odszkodowań itd. Wiele korzyści biznesowych: redukcja kosztów, tania wypłata lokalna, redukacja fraudów Możliwość przyciągnięcia nowych kilentów do banku I wiiele innych.. 3. Finger Vein referencje w polsce i na świecie Japonia Rys. 7: Bankomat biometryczny Finger Vein w banku Resona (Japonia) Japoński sektor bankowy to lider bankowości biometrycznej. To tutaj w 2004 roku ruszył największy projekt biometryczny świata. Od 2003 roku japoński sektor bankowy borykał się z kolosalnym problemem przestępstw kartowych (nawet do 50 mln USD rocznie). Problemem był zarówno skimming, jak i wykorzystanie kradzionych kart. Czarę goryczy przelał skandal na jednym z najbardziej prestiżowych pół golfowych gdzie przez wiele miesięcy skimmowano karty i podglądany kody PIN przy pomocy ukrytych kamer. Po tych wydarzeniach społeczeńswo japońskie zażądało wprowadzenia dodatkowej formy zabezpieczeń w bankomatach. Japońskie społeczeństwo jest bowiem społeczeństwem typowo gotówkowym, które masowo korzysta z bankomatów. W samej Japonii jest ich ponad 160 tysięcy. Związek Banków Japońskich 11

(JBA) wraz japońskim rządem oraz policją w szybki sposób zmodyfikowali prawo, które pozwoliło na wdrożenie bankomatów biometrycznych. Czołowym, japońskim firmom technologicznym zlecono przygotowanie odpowiedniej technologii biometrycznej. Jednakże nie był tutaj brany pod uwagę odcisk palca, który ze względu na poziom bezpieczeństwa i odbiór społeczny był nie możliwy do zastosowania. Wybór padł na biometrię naczyniową. Początkowo wdrażano dwie technologie: biometrię naczyń krwionośnych dłoni (bank Tokyo-Mitsubishi) oraz naczyń krwionośnych palca (bank Mizuho). Decydujące znaczenie w tej rywalizacji miała jednak Poczta Japońska, która zdecydowała się masowo wdrożyć technologię Finger Vein firmy Hitachi (do 2010 wdrożono ponad 20 tysięcy oddziałów z uwierzytelnianiem biometrycznym Finger Vein, 100%). Biometria Finger Vein stała się powszechną metodą uwierzytelnienia i posiada 81% udziału na bankowym rynku biometrycznym w Japonii. Na ten moment jest wdrożonych w Japonii 75 000 bankomatów wyposażonych w czytniki biometryczne Finger Vein, ponad 30 000 oddziałów oraz wydanych ponad 15 milionów kart. Na wdrożenie Finger Vein zdecydowało się już ponad 120 banków w tym 4 z 5 największych instytucji finansowych. Wśród największych użytkowników Finger Vein są: Japan Post Bank, Mizuho Bank, Resona Bank, SMBC, Bank of Yokohama, Bank of Kyoto, Bank of Fukuoka, jak i czołowe banki zagraniczne: CITI Bank i HSBC. Biometria Finger Vein stanowi przede wszyskim dodatkowe zabezpieczenie do kodu PIN przy operacjach w bankomatach (wplaty, wypłaty). Wzorce biometryczne w większości projektów są przechowywane, jak i porównywane na kartach chipowych. Niektóre bank tak jak np. bank Resona rozpoczął masowe wdrożenia biometrii Finger Vein do uwierzytelniania operacji w oddziałach banków (przy stanowiskach obsługi klienta) jak i w skrytkach depozytowych. Ponieważ najtrudniejszym momentem we wdrożeniu biometrii jest rejestracja (a Japończycy są bardzo zapracowanym społeczeństwem, które ma problem z odpowiednią ilością czasu), banki decydują się na coraz łatwiejszy proces rejestracji. Niektorzy klienci nie muszą już czekać na dostarczenie karty chipowej pocztą po której następuje proces rejestracji. W niektórych bankach karta jest wydawana natychmiast, co daje możliwość rejestracji w tym samym czasie. Co więcej niektóre banki pozwoliły na aktywację nowej karty biometrycznej w bankomacie najpierw uwierzytelniamy się przy pomocy starej a nastepnie rejestrujemy swój wzorzec biometryczny na nowej karcie. Rys. 8 przedstawia czołowych klientów technologii Finger Vein w japońskim sektorze bankowym: Rys. 8: Czołowe banki w Japonii, które wdrożyły technologię Finger Vein Turcja W 2010 roku Turcja stała się największym rynkiem biometrycznym w regionie EMEA. Od 2008 roku wiele banków i instytucji rządowych rozważało wykorzystanie biometrii jako metoda uwierzytelniania osób. W lipcu 2010 roku największy i najnowocześniejszy bank turecki IS Bankasi oficjalnie ogłosił i rozpoczął wdrożenie technologii Finger Vein. W lipcu 2010 uruchomiono pierwszych 15 bankomatów i oddzialów wyposażonych w punkty biometryczne. W lipcu 2011 roku jest już ponad 3000 bankomatów i 1000 punktów rejestracji! Projekt w IS Bankasi jest największych projektem biometrycznym w światowej bankowości poza Japonią. W lipcu 2010 IS Bank rozpocząl kampanię medialną namawiąjącą klientów do korzystania z usługi Biyokimlik w bankomatach biometrycznych. Już w pierwszych dniach działania systemu zarejestrowało się ponad 1400 osób. Klienci mogą korzystać z wypłat biometrycznych zarówno przy użyciu karty, jak i bez karty poprzez wpisanie numeru klienta. IS Bank posiada ponad 22 miliony klientów, z których tylko 10 milionów 12

korzysta z bankomatów, gdyż boi się nieautoryzowanych wypłat przy pomocy kart. IS Bank upatruje zatem szansę we wprowadzaniu bezpiecznych, biometrycznych wypłat gotówki. Klient po rejestracji wzorca biometrycznego w oddziale aktywuje usługę biometryczną w bankomacie po biometrycznej weryfikacji tożsamości. Jest to dodatkowego zabezpieczenie kliuczowego dla biometrii procesu rejestracji i aktywacji. Już teraz na stronach IS Bankasi (http://www.isbank.com.tr/content/ TR/Guvenlik/Biyokimlik-987-292.aspx) klienci moga zapoznać się z usługa biometryczną (Biyokimlik), a także uzyskać informacje, które bankomaty i oddziały są wyposażone w biometrię Finger Vein. Jednakże bankomaty i oddziały to nie koniec ekspansji IS Banku w technologię Finger Vein. Już wkrótce bank planuje uruchomienie biometrycznych POSów (bank posiada 300 000 własnych terminali POS na terenie całego kraju) oraz biometrycznej bankowości internetowej dla klientów korporacyjnych. Kolejnym bankiem, który w lipcu oficjalnie ogłosił implementację technologii Finger Vein jest czołowy bank państwowy Vakif Bank. Vakif przygotowywał się do tego projektu od 2008 roku. W sierpniu Vakif zainstalował pierwsze bankomaty na terenie Stambułu, m.in. na lotnisku Ataturk. W 2011 roku Vakif planuje wdrożyć ok 2500 bankomatów biometrycznych. Rys. 9 przedstawia przykłady bankomatów biometrycznych wyposażonych w czytniki biometryczne Finger Vein w bankach IS Bankasi oraz Vakif: Rys. 9: Bankomaty biometryczne z Finger Vein w bankach IS Bankasi i Vakif (Turcja) Pozostałe czołowe banki tureckie takie jak Yappi Kredi, Akbank, Anadolu czy Deniz Bank również testują bądź rozważają wykorzystanie biometrii Finger Vein. Jest wielce prawdopodobne, że biometria Finger Vein stanie się krajowym standardem w Turcji. 13

Brazylia Brazylia stanowi jeden z największych rynków biometrycznych. Dla banków i instytucji rządowych stanowi ona rozwiązanie przede wszystkim na ogromną ilość przestępstw finansowych, takich jak nielegalne wypłaty z bankomatów czy też pobieranie świadczeń na osoby zmarłe. Wdrażanych i testowanych jest szereg technologii w tym m.in. odcisk palca, który jednak z powodu łatwości podrobienia i niepraktyczności został w wielu przypadkach wycofany. Wiele banków ewaluuje lub zdecydowało się na zastosowanie technologii naczyniowych (dłoń, palec). Przykładem może być tutaj duży brazylijski bank CAIXA Rys. 10: Bankomat biometryczny FV w banku CAIXA Economica Federal (Brazylia) Economica Federal, który wdrożył 100 bankomatów firmy DIEBOLD wyposażonych w czytniki Finger Vein (Rys. 10) Polska W Polsce biometria Finger Vein została wprowadzona w połowie 2007 roku przy współpracy z Forum Technologii Bankowych przy ZBP. W maju 2009 roku, na Kongresie Gospodarki Elektronicznej został zaprezentowany pierwszy w Polsce zintegrowany bankomat biometryczny z Finger Vein firmy Wincor-Nixdorf. W marcu 2010 roku banki Bank Polskiej Spółdzielczości (BPS) i Podkarpacki Bank Spółdzielczy zaprezentowały swoje pierwsze w Europie bankomaty biometryczne, działający w żywym systemie bankowym. W 2011 BPS wdrożył FV we wszystkich bankomatach i oddziałach (ok 60 bankomatów i 90 puntków biometrycznych w oddziałach). Podkarpacki Bank Spółdzielczy (PBS) wdrożył ponad 65 bankomatów biometrycznych z Finger Vein. PBS zdecydował się na technologię biometryczną, gdyż stanowi ona rozwiązanie dla wypłat świadczeń dla bezrobotnych zgodnie z zawartymi lokalnie umowami z Miejskimi Ośrodkami Pomocy Społecznej. PBS wprowadził równie uwierzytelnianie biometryczne w swoich produktach bankowych dla klientów. Rys. 11 przedstawia bankomaty biometryczne banków BPS i PBS. Rys. 11: Bankomaty biometryczne z Finger Vein w bankach BPS i PBS (Polska) 14

W 2010 roku wiele innych instytucji finansowych i banków komercyjnych w Polsce rozpoczęło testy i analizę wykorzystania technologii Finger Vein. Na ten moment 6 banków komercyjnych ewaluuje tą technologię. Wykorzystanie Finger Vein jest brane pod uwagę nie tylko do uwierzytelniania transakcji w bankomatach, jak również jako element nowego, innowacyjnego oddziału bankowego. 4. Finger Vein czytniki biometryczne i oprogramowanie na świecie Dostępna jest pełna gama czytników biometrycznych dla bankowości, w tym czytników bankomatowych (609UE), oddziałowych (602UE) i dla bankowości internetowej (H-1). Czytniki biometryczne mogą być integrowane również z kioskami samoobsługowymi, skrytkami depozytowymi itd. Czytniki bankomatowe i oddziałowe są zaprojektowane i zabezpieczone w ten sposób aby być zgodnym z normą ISO 19092. Posiadają szereg zabezpieczeń takich jak: Testowanie żywotności i braku żywotności bada czy w czytniku jest martwy przedmiot oraz czy badany palec jest żywy Logiczne parowanie wymienia podpis elektroniczny i paruje się z urządzeniem (komputerem) do którego jest podłączony. Uniemożliwia przepięcie do innej maszyny (blokuje się). Tylko bank posiada swoje dedykowane klucze odparowujące i odblokujące. Zabezpieczenie to uniemożliwia nieautoryzowane użycie czytnika oraz ataki na proces uwierzytelniania. Blokada anty-włamaniowa specjalne czujniki ruchu wykrywają ewentualną próbą włamania fizycznego (otworzenie obudowy, próba demontażu z bankomatu). Po wykryciu włamania czytnik wchodzi w stan blokady i kasuje algorytm i wszelkie wzorce biometryczne z pamięci Szyfrowanie wzorców wszystkie wzorce pobierane przez czytnik podlegają szyfrowaniu Wiele innych Czytniki oddziałowe i bankomatowe mogą wykorzystywać zarówno centralną bazę danych biometrycznych (wtedy wzorzec porównywany jest na czytniku) lub też dane przechowywane na karcie chipowej (wtedy wzorzec jest porównywany na karcie lub w czytniku). Uniwersalność czytników daje bankowi wiele możliwościw budowaniu systemu biometrycznego i intergracji. Czytniki Finger Vein są dostępne w standardowych obudowach, jednakże na życzenie klienta są projektowane specjalne obudowy (dostoswane do wymagań banku, ergonomii i kolorystyki). Czytniki FV są także dostępne z wbudowanym czytnikiem kart chipowych. Do czytników bankowych tj. bankomatowych i oddziałowych (602UE, 609UE), dostępne jest oprogramowanie Finger Vein Server (FVS), które odpowiedzialne jest za przechowywanie wzorców biometrycznych wraz z identyfikatorami oraz zarzadzaniem procesu uwierzytelniania. Do FVS dostarczane są tez specjalne komponenty programowe na bankomat (Wincor-Nixdorf, NCR i Diebold) oraz konsolę webową przeznaczoną dla okienek bankowych i stoisk obsługi klienta w oddziale. Dla potrzeb bankowości internetowej dostarczy jest specjalny czytnik komputerowy Finger Vein H-1. Czytnik ten umożliwia porównanie wzorców biometrycznych na centralnym serwerze bankowym. Wzorce biometryczne mogą być przechowywane centralnie lub też na karcie chipowej. Do czytników dostarczane jest specjalne oprogramowanie Finger Vein Authentication System (FVAS), które odpowiada za proces uwierzytelniania, przechowywanie wzorców oraz ich administracją. FVAS jest integrowany następnie z systemem bankowości elektronicznej. Przykłady czytników biometrycznych Finger Vein przedstawia Rys. 12: 15

Rys. 12: Czytniki biometryczne dla zastosowań bankowych: bankomatowy (609UE), oddziałowy (602UE) i dla bankowości internetowej (H-1) 5. Finger Vein - podsumowanie Technologia biometryczna Finger Vein jest obecnie najlepszą i najbardziej zaawansowaną metodą mocnego uwierzytelniania dla bankowości. Finger Vein łączy w sobie najwyższe bezpieczeństwo, szybkość praktyczność i łatwość w użyciu, zachowując przy tym prywatność klientów (ang. privacy compliant technology). Biometria FV pozwala na wdrożenie systemu biometrycznego uwierzytelniania klientów w różnych konfiguracjach tj. np. przechowując dane biometryczne na serwerze lub na karcie bankowej. Bank wdrażając tą technologię może wprowadzać ją stopniowe we wszystkich obszarach zarówno po stronie klienta (bankomaty, oddziały, POSy, bankowość internetowa) jak i wewnątrz banku (zabezpieczenie stacji roboczych, kontrola dostępu do pomieszczeń). Dzięki tym cechom biometria Finger Vein odniosla ogromny sukces w bankowości japońskiej, oraz ostatnio również w Turcji i Brazylii. W Polsce biometria Finger Vein może zostać nowym standartem w obsłudze i uwierzytelnianiu klientów. Co więcej daje możliwość zagospodarowania ogromnego obszaru klientów, którzy nie chcą i nie korzystają z kart płatniczych, a wykorzystanie PINu stanowi dla nich powazny problem. Kontak (Finger Vein): Hitachi Europe Ltd. Information Systems Group Przedstawicielstwo w Polsce Al. Jana Pawłą II 12 00-124 Warszawa Tel: (22) 850-99-00, (22) 850 94 45 Fax: (22) 850 99 09 Email: IFGpl.tw@hitachi-eu.com 16