search

bcrypto / bias

Authentication frameworks
2 stars 0 forks source link

Уточнить требование РП.8 #19

Closed mkazl closed 1 year ago

mkazl commented 2 years ago

Структурный элемент стандарта: раздел 5, п. 5.1.2

Требование РП.8 обязывает инфраструктуру аутентификации выполнять сбор биометрических данных пользователей. При этом неясно, какие типы данных входят в состав биометрических (см. #14) и достаточно ли собирать один любой тип данных?

Предлагается уточнить данное требование.

agievich commented 1 year ago

При этом неясно, какие типы данных входят в состав биометрических...

Предлагается сопроводить определение термина "биометрические данные" примечанием, в котором перечисляются биометрические характеристики:

Примечание -- Примеры биометрических характеристик: папиллярная структура Гальтона, топография лица, текстура кожи лица, топография кисти руки, топография пальца, структура радужной оболочки глаза, структура сосудов кисти руки, папиллярная структура ладони, изображение сетчатки глаза, динамика рукописной подписи, динамика нажатия клавиш, голос.

Повторено перечисление ГОСТ ISO/IEC 2382-37-2016 (https://github.com/bcrypto/bias/issues/14#issuecomment-1205409906) с добавлением характеристики "динамика нажатия клавиш" (keystroke dynamics, https://en.wikipedia.org/wiki/Keystroke_dynamics).

...и достаточно ли собирать один любой тип данных?

В отчете ETSI TR 119 460 представлен подробный обзор процедур сбора биометрических данных, установленных в международных, европейских, банковских и пр. нормативных документах. В большинстве случаев состав биометрических данных открыт, и только в двух случаях (ICAO 9303, Норвежский банк BITS) он определяется однозначно. Мы не готовы к жесткой конкретизации в Проекте состава биометрических данных и не считаем такую конкретизацию целесообразной.

Обратим внимание, что в преамбуле пакета ПЛ объяснено, что

Биометрические данные позволяют удостовериться в совпадении пользователей при повторной регистрации или, наоборот, выявлять несовпадения. Кроме этого, биометрические данные выступают в роли свидетельства участия в регистрации и препятствуют отказу от регистрации.

Объяснения следует использовать для определения перечня собираемых данных при проектировании конкретных инфраструктур аутентификации.