Регулятор Icasa требует биометрической проверки для получения SIM-карты

Регулятор связи Icasa должен поощрять или запрещать мобильным операторам и другим частным компаниям хранить, обмениваться или сопоставлять отпечатки пальцев клиентов, а также использовать отпечатки, оставленные мошенниками при неудачных операциях по смене Sim-карты, в качестве доказательств для полиции.

Любая утечка базы данных отпечатков пальцев частной компании может нанести непоправимый ущерб, который невозможно компенсировать штрафом или извинениями. В отличие от пароля или банковской карты, отпечаток пальца нельзя отменить; как только он становится доступным, он скомпрометирован навсегда вместе со всеми банками и телефонами, которые ему доверяют. Последствия для потребителей и общественной безопасности могут быть катастрофическими.

Согласно проекту положений, опубликованному Icasa в Правительственном вестнике 28 октября, при активации или смене Sim-карты отпечаток пальца или лицо человека проверяется по записям органов внутренних дел, а существующие абоненты получают два года на верификацию. Операторы, одобрившие смену для не того человека, столкнутся со штрафами в размере от R2-миллиона до R4-миллиона за каждое нарушение.

В собственном меморандуме Icasa указывает, что количество мобильных подписок в Южной Африке составляет 117,3 миллиона. Данные такого масштаба станут мишенью в тот момент, когда их начнет хранить любая частная компания, и перспектива хранения отпечатков для такого количества подключений, если это разрешат окончательные правила, должна беспокоить каждого потребителя и банк в стране.

Хотя проверка биометрии через органы внутренних дел является правильным шагом, окончательные правила должны четко указывать, что никакая частная компания не имеет права хранить фактический отпечаток пальца клиента. Единственным органом, который должен хранить отпечаток пальца жителя Южной Африки, должны быть органы внутренних дел. Ни одна частная компания не должна быть вынуждена собирать отпечатки, и никому не следует разрешать их хранение или обмен.

Ожидается, что преступники будут атаковать новую систему как онлайн, так и лично. Онлайн они будут нацеливаться на любые базы данных, содержащие отпечатки, внедрять вредоносное ПО в сканеры в магазинах, перехватывать сканы при передаче, отправлять фишинговые сообщения с просьбой «верифицировать» свою Sim-карту отпечатком пальца или селфи, а также использовать дипфейки для прохождения удаленной проверки лица.

В физическом мире коррумпированные сотрудники или агенты могут копировать сканы или одобрять замены за плату, а поддельные агенты по верификации могут собирать отпечатки во время двухлетнего периода повторной верификации. Отпечатки можно снять с очков и экранов телефонов, жертв могут принуждать сканировать палец во время ограблений, а инсайдеры в правительстве или подрядных организациях могут изменять или продавать идентификационные записи.

Альтернативные решения

Каждый из представленных ниже подходов позволяет оператору подтвердить личность клиента, не сохраняя при этом его отпечаток пальца. Ни один из этих методов не является экспериментальным, и версии каждого из них уже используются.

Один из вариантов — отзывные токены отпечатков пальцев. Техника, называемая «fuzzy extractor», преобразует сканирование отпечатка пальца в стабильный секретный ключ, даже если два сканирования никогда не идентичны. Оператор хранит только сольлированный хеш этого ключа, а не сам отпечаток. Каждая сеть получает уникальный токен, поэтому утечки баз данных не могут быть связаны, а скомпрометированный токен можно отозвать и перевыпустить, подобно паролю.

Другой метод — хранение отпечатков внутри Sim-карты. Защищенный шаблон отпечатка пальца находится в защищенном чипе SIM-карты, что является подходом, уже применяемым в банковских картах с отпечатками пальцев. Сопоставление происходит непосредственно на чипе, и сеть получает только подписанный ответ «да» или «нет». Третий вариант — зашифрованное сопоставление с органами внутренних дел. Сканирование шифруется до того, как покидает сканер, и сравнивается с записью органов внутренних дел в зашифрованном виде. Возвращается только подписанный результат совпадения или отсутствия совпадения, поэтому ни оператор, ни кто-либо, перехватывающий трафик, не видит отпечаток, и он никогда не хранится.

Четвертый подход — ключи, которые никогда не покидают телефон. Сканирование отпечатка пальца или лица может просто разблокировать криптографический ключ, хранящийся в собственном защищенном чипе телефона, что соответствует принципу работы ключей доступа, уже имеющихся в устройствах Apple и Android. Сеть или банк получает подписанное подтверждение от этого ключа, а не биометрические данные. Поскольку подтверждение привязано к устройству, а не к номеру телефона, мошенническая смена Sim-карты сама по себе ничего не дает злоумышленнику. Агентство по кибербезопасности и инфраструктуре США уже рекомендует аутентификацию, устойчивую к фишингу, подобную этой, вместо кодов, отправленных по SMS.

Ни один из этих методов не является теорией. После того как Индия внедрила более миллиарда человек в свою систему идентификации Aadhaar, копии идентификационных данных, разбросанные по банкам и мобильным компаниям, стали слабым местом. Их решением стала токенизация: граждане могут предъявлять отзывной виртуальный идентификатор из 16 цифр, и каждая компания получает уникальный токен, который нельзя связать между базами данных или проследить до биометрии. Индии пришлось адаптировать эту систему. Южная Африка может построить ее с нуля.

Независимо от выбранных операторами методов, они должны сопровождаться оповещением по SMS на существующий номер, уведомлением по электронной почте и 24-часовой приостановкой одноразовых PIN-кодов банка после каждой смены Sim-карты. Банки могут сделать больше прямо сейчас: стандартизированные сетевые интерфейсы уже позволяют им проверять в режиме реального времени, была ли недавно изменена учетная запись, не собирая при этом никаких биометрических данных. Новая смена должна рассматриваться как повод заморозить высокорискованные транзакции до подтверждения клиентом.

Те же правила могут помочь полиции поймать людей, стоящих за мошенничеством со сменой Sim-карты. Сканирование, которое не совпадает с владельцем счета, может поступить от мошенника, который предъявляет свой собственный отпечаток пальца или лицо на месте предполагаемого преступления. Или оно может поступить от честного клиента, например, пенсионера или рабочего, чьи отпечатки стерлись, или от кого-то, использующего неисправный сканер.

Поэтому наша концепция по умолчанию удаляет данные, а не наказывает. Каждое неудачное сканирование будет зашифровано таким образом, чтобы ни одна частная компания не могла его открыть или удалить, и будет храниться в течение 14 дней независимым хранителем вместе с магазином, сотрудником, устройством и временем. Оно будет передано только подразделениям по киберпреступности Полиции Южной Африки по судебному ордеру. Если клиент, банк, магазин или оператор в течение этого времени не возбудят уголовное дело, сканирование будет автоматически удалено. Годами преступники скрывались за украденными удостоверениями личности. При биометрической верификации каждая попытка смены оставляет их биометрию на стойке, и эти доказательства принадлежат следователям.

Безопасность — задача индустрии, а не клиента

Слишком долго бремя обеспечения безопасности ложилось на клиентов, которым говорят защищать свои PIN-коды, в то время как преступники взламывают системы вокруг них. Icasa права, устанавливая штрафы. Операторы, банки, розничные продавцы и государственные учреждения должны нанимать «красные команды» и инженеров по безопасности для атаки на собственные системы до того, как это сделают преступники. Предотвращение также требует участия полиции и специализированных подразделений по киберпреступности для раскрытия этих дел и привлечения виновных к ответственности, поскольку преступники останавливаются, когда ожидают быть пойманными.

Мы считаем, что Icasa должна определять ожидаемые результаты, оставляя методы на усмотрение операторов, вместо того чтобы прописывать конкретные технические приемы в законе. Методы мошенничества меняются быстрее, чем регулирование, и техника, закрепленная в законе сегодня, завтра станет публичной целью.

Уже существует международный стандарт для защиты биометрической информации — ISO/IEC 24745, который требует, чтобы сохраненные биометрические данные нельзя было обратить или связать между базами данных, а также чтобы их можно было отозвать. Icasa могла бы принять эти тесты в качестве критерия, которому должен соответствовать любой предлагаемый метод, независимо от лежащей в основе технологии.

Мы предлагаем, чтобы Icasa конфиденциально рассматривала методы противодействия мошенничеству, рассматривая каждый случай индивидуально, одобряя или отклоняя их без публикации деталей, которые могли бы изучить преступники.

Крупнейшие мобильные операторы Южной Африки выступают за разрешение каждому человеку иметь до 20 SIM-карт в сети, что в четыре раза превышает текущий лимит в пять, предложенный регулятором Icasa. Кроме того, они обвиняют регулирующий орган в присвоении себе полномочий, которых у него нет.

Лимит в 20 SIM-карт является частью соглашения об рамках, которое подписали члены Ассоциации коммуникационных технологий (ACT), представляющей Vodacom, MTN, Telkom, Cell C, Rain и Liquid Intelligent Technologies, в июне. Этот лимит применяется к одному человеку на каждой сети, что теоретически позволяет человеку владеть 20 SIM-картами у каждого оператора.

Генеральный директор ACT, Номвуйсо Бати, заявила в интервью для предстоящего выпуска TechCentral Show: «Южноафриканцы отличаются. Число 20 не является незыблемым. Если кто-то говорит: 'Я хочу 40 или 50, потому что у меня большая группа иждивенцев, которую мне нужно зарегистрировать', то это должно быть решено».

Проектные поправки Icasa к своим нормативным актам о нумерации, опубликованные 28 октября, предусматривали ограничение абонентов пятью номерами на оператора. Они также требовали проверки отпечатком пальца или лицом по записям Департамента внутренних дел для каждой новой SIM-карты и при смене SIM-карты, а также предоставляли операторам два года на повторную проверку существующих клиентов. ACT заявила, что не поддержит эти меры в их нынешнем виде.

Когда ее спросили, следует ли Icasa вмешиваться до пересмотра Rica, Бати отметила, что есть основания для вмешательства в вопросах нумерации, однако ACT будет оспаривать проект в своих официальных комментариях. Она подчеркнула: «Мы видим проблемы, когда вы наделяете себя полномочиями, которых у вас нет».

Бати сообщила, что Icasa участвовала в встречах отрасли с Департаментом юстиции и конституционного развития и ознакомилась с исследованиями ACT, поэтому проект «стал сюрпризом». Icasa заявила TechCentral, что не будет комментировать ситуацию.

Крупнейшие мобильные операторы Южной Африки, действуя через отраслевую ассоциацию, отказываются поддерживать предложенные Icasa меры по биометрической проверке SIM-карт и ограничению до пяти номеров, поскольку эти проекты правил пересекаются с существующим законом о регистрации SIM-карт, Rica, и могут нарушить собственную работу отрасли по очистке рынка SIM-карт.

Ассоциация коммуникаций и технологий (ACT), которая представляет компании Vodacom, MTN, Telkom, Cell C, Rain и Liquid Intelligent Technologies, заявила о поддержке общей цели усиления регистрации SIM-карт, однако не одобряет предложенные меры в их текущем виде.

Генеральный директор ACT, Номвуйсо Бати, в письменном ответе на вопросы TechCentral о проекте правил, подчеркнула: «Мы проводим различие между поддержкой целей предлагаемых положений и одобрением конкретных мер в их нынешнем виде». Она добавила, что существуют существенные различия между предложениями Icasa и рамками, разработанными отраслью, особенно в отношении лимитов регистрации SIM-карт, требований биометрической верификации и практических условий внедрения.

Предлагаемые поправки к правилам плана нумерации, которые были опубликованы для комментариев в среду, обязывают операторов сверять лицо или отпечаток пальца абонента с данными Департамента внутренних дел при активации, повторной активации или замене SIM-карты. Операторам будет предоставлено два года на повторную проверку существующих клиентов, а ни один оператор не сможет присвоить одному абоненту более пяти номеров. Нарушение основных правил проверки повлечет штрафы от 2 до 4 миллионов рандов за каждое нарушение.

Стоимость и ограничение в пять номеров

Бати отметила, что требуется провести дополнительную оценку нескольких вопросов, включая стоимость и техническую осуществимость проверки абонентов по данным Департамента внутренних дел, необходимую инфраструктуру для интеграции систем и верификации, а также готовность к работе и последствия для действующих подписчиков.

Ограничение в пять номеров, по ее словам, «требует тщательного рассмотрения, особенно в свете социально-экономических условий Южной Африки и законных причин, по которым потребители и предприятия могут нуждаться в нескольких SIM-картах». Проект Icasa освобождает компании от биометрических проверок, но не от этого ограничения.

ACT также возражала против темпов изменений. В июле Icasa внесла поправки в те же правила, установив нормы по деактивации неактивных SIM-карт. Бати заявила, что «введение дополнительных существенных обязательств в столь короткий период ставит под сомнение регуляторную предсказуемость, согласованность политики и совокупное бремя соблюдения, возлагаемое на лицензиатов».

Более глубокий спор касается того, какой закон должен регулировать регистрацию SIM-карт. Это задача Rica, согласно разделу 40 акта, а Департамент юстиции и конституционного развития является его хранителем. Вместо этого Icasa использует свою власть для регулирования ресурсов нумерации.

Бати подчеркнула: «Хотя Icasa имеет законодательный мандат на регулирование ресурсов нумерации, требуется большая ясность в отношении обоснования введения существенных требований к регистрации подписчиков и идентификации через отдельный регуляторный инструмент». Она добавила: «Мы обеспокоены тем, что пересекающиеся регуляторные процессы могут создать неопределенность, дублировать затраты на внедрение и потенциально нарушить прогресс, достигнутый отраслью».

В пояснительной записке Icasa говорится, что требование о проверке «отличается» от регистрации SIM-карт в рамках Rica. Регулятор сообщил парламенту в прошлом году, что желает передать управление Rica из департамента юстиции к себе.

У операторов есть собственный план. В июне ACT объявила о временной системе усиленной проверки личности, более строгом контроле регистрации и большем надзоре за каналами распространения SIM-карт, а также направила предложения в департамент юстиции для реформирования раздела 40. Более широкое использование биометрической аутентификации в точках регистрации было одним из обсуждаемых отраслью решений. Бати сообщила в октябре прошлого года, что поправки к Rica продолжают застревать: «Каждый раз, когда они обновляются и отправляются вверх по цепочке, их возвращают».

План отрасли

ACT сообщила, что в течение последних двух лет взаимодействовала с Комиссией по конкуренции и департаментом юстиции. Бати также упомянула, что в настоящее время ведется работа с департаментом внутренних дел для согласования технических стандартов верификации, и эта работа достигла стадии технической разработки.

В меморандуме Icasa указано, что большинство операторов сообщили регулятору в прошлом году, что они внедрили биометрическую проверку только для контрактных клиентов, а не для предоплаченных.

ACT заявила, что официально представит свои возражения Icasa. Заинтересованные стороны имеют 30 рабочих дней с 28 октября для оставления комментариев.