Intervjuu: kunas saab Eestis hakata näiteks iPhone’i näotuvastusega digiallkirja andma?

Pane tähele! Artikkel on ilmunud enam kui 5 aastat tagasi ning kuulub Geeniuse digitaalsesse arhiivi.
Näotuvastusega sisselogimine või digiallkiri?Foto: montaaž

Üha suurem hulk Eestis olevaid telefone kasutab turvameetmena biomeetriat, olgu see näo- või sõrmejäljetuvastus, aga Eesti e-teenustesse ei pruugi neid lahendusi ilmuda, ütleb SK ID Solutionsi juhataja Kalev Pihl.

Rääksime Eesti juhtiva e-identiteediettevõttega sellest, kus võiks Eesti inimesed biomeetrilisi lahendusi lähiajal kasutusele võtta.

“Kui võtta näiteks see Face ID (uues iPhone X-is olev näotuvastus – toim) või sõrmejäljelugeja, siis meie jaoks pole sellest eriti abi. Sisuliselt ütleb see, et see kes saabus, oli sama, kes eile. Aga see ei ütle, et tegu on just selle kodanikuga, kel on selline identiteet,” rääkis Pihl kommertslahenduste puudustest Eesti inimeste e-teenuste perspektiivist.

Piirang on tulnud sellest, et näiteks Apple kasutab näo- ja sõrmejäljetuvastuseks telefonis niinimetatud turvalist enklaavi, kus biomeetrilisi andmeid hoitakse ja neid ühelegi äpile nagu Smart-ID ei näidata. See tähendab, et kui ka politsei- ja piirivalveametis on olemas inimese sõrmejälje kujutis, siis telefon ei anna oma sõrmejäljelugejast kujutist välja, et seda PPA baasi vastu kontrollida. Nii ei saa tuvastada, et tegu on just selle kodanikuga.

PIN1 asemele sõrmejälg?

Üks idee on kasutada telefonides olevaid biomeetrilisi lahendusi asendusena näiteks selleks, et mitte iga kord Smart-ID äpis PIN-koodi trükkida. Selle asemel võiks reaalset PINi küsida võib-olla aeg-ajalt, ülejäänud ajal saab PIN1 koodist mööda sõrmejäljega.

Ent ka see lahendus oleks kompromiss turvalisuses, rääkis Pihl Smart-ID äpi näitel.

“Sellise lahenduse puhul oleks eeldus, et telefon või äpp salvestab kuhugi PIN-koodi ära ja kui tuleb õige sõrmejälg, siis sisestab telefon ise selle salvestatud PINi. Aga see oleks tagasiminek, sest praeguse mudeli kohaselt ei ole mitte kuskil PIN-koodi salvestatud kui vaid inimese enda mälus. Kui nüüd telefon hakkab PIN-koodi salvestama, siis võiks piisata Smart-ID üle võtmiseks ainult telefoni üle võtmisest,” selgitas Pihl.

Just sel põhjusel ei saa praegu ka Smart-ID kontot taastada või taasavada, kui inimene PINi ära unustab. Jälgitakse põhimõtet, et turvalisuseks on inimesel vaja midagi omada (telefon) ja midagi teada (PIN).

Videosild konto loomisel, passist NFCga andmed

“Kui me aga kasutaksime näotuvastust näiteks selles etapis, kus inimene Smart-ID alles registreerib, siis see oleks väga huvitav,” ütles Pihl. “Euroopas testitakse seda väga palju, see on meie valdkonna number üks huviobjekt. Kuidas universaalselt tuvastada isik tema näo põhjal ja kui ta näitab midagi ka oma dokumendist? Väga hea oleks ka see, kui inimene saaks seejuures oma dokumendis olevat biomeetrilist infot välja peegeldada, näiteks telefoni NFC-lugeriga.”

Kalev Pihl. Foto: SK

Idee oleks selles, et inimene saaks oma telefonis hakata Smart-ID kasutajaks tuvastades end üle videosilla. Ja kogu protsess peaks olema sellisel moel heaks kiidetud, et selle järel saab inimesele väljastada kvalifitseeritud sertifikaadi – teisisõnu saab ta ID-kaardi või mobiil-IDga võrdsel tasemel e-identiteedi. Seejuures ei peaks inimene ise kuhugi füüsiliselt kohale mina.

Pihl ütles, et firma otsib selleks Euroopast praegu koostööpartnerit, mitte ei plaani seda ise teha.

Biomeetrilised kioskid e-teeninduse kasutamiseks

“Biomeetrilised lahendused muutuvad oluliseks, kui sa saad kontrollida seda osa, kust inimese biomeetriline info tuleb,” ütles Pihl. Telefoni puhul pole teenusepakkujal mingit kontrolli selle üle, kus inimene on ja mis telefoni selle sensorite ees toimub – kas püütakse biomeetriat mingite nõksudega lollitada, kas keegi on inimest sunniasendisse pannud või muud sellist. “Kui aga keskkond on kontrollitav, siis muutub see palju usaldusväärsemaks. Näiteks kioskis,” ütleb Pihl.

Ta peab ühe stsenaariumina tõenäoliseks, et Eestis võiks üles seada iseteeninduskioskid avalikesse kohtadesse, mis oleks vahend riigi või muude e-teenuste kasutamiseks. “Sellise kioski looja annab üldjuhul mingi üsna kõrge garantii, et inimene, kes seal sees on, ei saa süsteemi petta,” rääkis Pihl. Sellises keskkonnas oleks ilmselt väga keeruline masinat petta nii nagu seda on tehtud näiteks iPhone Xi näotuvastusega, kuna maskide või muude vahenditega näotuvastuse petmine paistab kõrvalt kohe välja.

“Ta asetab kioskis näiteks lugeja peale oma biomeetrilise passi, võib-olla loeb oma sõrmejälje või vaatab kaamerasse ja me saame kindlalt väita, et see inimene on just selle identiteediga.” Sellistes kioskites võiks kasutada e-teenuseid kas või ööpäevaringselt ja võiks vähendada teoorias teatavat diskrimineerimist, mis näiteks esineb nende inimeste puhul, kellel pole kodus või tööl vahendeid e-teenustele ligipääsemiseks. Nii ei peaks ootama üheksast viieni lahti oleva asutuse esinduses järjekorras.

Sellised kioskid on juba olemas

Põhimõtteliselt on sarnased juba lennujaamade automaatväravad, kuigi kitsamas kasutusvaldkonnas. “Iseteeninduskiosk, mis töötab isikuttõendava dokumendi ning sõrmejälje koostöös ja väljastab näiteks ID-kaardile sertifikaadi, on maailmas juba aastaid täitsa olemas, näiteks Omaanis. Sinna oleks kindlasti veel täiendavalt võimalik liita näotuvastus, et tugevdada isiku kindlakstegemise kvaliteeti,” rääkis Pihl.

Tema sõnul pole tegu ulmega, vaid puhtalt majandusliku tasuvuse arvutamisega, mida pole seni ilmselt Eestis tulusaks peetud. Sellised kioskid võivad aga muutuda reaalseks mitme ettevõtte ühisprojektina või kui riik seda eest veaks.

Piiranguks saab hoopis andmekaitse

“Biomeetria põhjal isiku tuvastamine on kõige naturaalsem asi üldse. Meile tundub, et inimestena teeme seda hästi ja kergelt, kuid kui seda protsessi masinale selgeks teha, tuleb välja, et see pole ei lihtne, ega inimese poolt eriti heal tasemel tehtud,” rääkis Pihl.

“Isikusamasuse kindlaks määramine isiku biomeetriliste andmete kogumise ning ajalooliste juba kogutud andmete masina abil võrdlemise läbi muutub iga päev pisut odavamaks ja kvaliteet samas järjest paremaks ületades juba täna inimese võimekust. Häda on hetkel veel nende andmete mahus, mis täidab hea kvaliteedi saavutamiseks kanali ning tekitab kasutajatele väikese viivituse. Isikusamasuse tuvastus parimate videokonverentsi abil võtab hetkel siiski veel minuteid ning vahvate rünnete taustal lisandub järjest kontrolle, mis aega võtavad,” uskus Pihl.

Tema hinnangul on biomeetriliste autentimislahenduste turg juba täna olemas ja aktiivne, kuid hetkel masstarbimisse midagi pole jõudnud. Üks takistus selliste lahenduste laiemal levikul võib olla hoopis andmekaitse.

“Tehnika ja algoritmid arvatavasti otseselt pidurid pole, pigem ei ole ettevõtjad valmis suurt hulka isikute biomeetrilist infot enda juures hoidma arvestades viimaste aastate suuri andmelekkeid ning lähenevaid GDPRi trahvimäärasid,” ütles Pihl. GDPR ehk Euroopa andmekaitse üldregulatsioon jõustub järgmisel aastal.

Populaarsed lood mujal Geeniuses

Igal argipäeval

Ära jää ilma päeva põnevamatest lugudest

Saadame sulle igal argipäeval ülevaate tehnoloogia-, auto-, raha- ja meelelahutusportaali olulisematest lugudest.