생체인식에 관한 6가지 일반적인 신화를 깨는 것

생체 인식 기술은 디지털 인증을 변화시킬 수 있지만 개인 정보 침해, 정확성 수준 및 보안 위험에 대한 잘못된 인식이 널리 채택되는 것을 방해할 수 있다.

 

 

#1.  "생물학적 데이터는 전체 영상으로 저장되므로 해커들이 내 얼굴과 지문에 접근할 수 있다"

생체인식 데이터는 처음에 이미지에서 추출되지만 이미지 자체는 인증 과정에서 사용되는 것이 아니다. 

얼굴, 지문, 홍채 등의 이미지든 원래의 샘플은 빠르게 폐기되고 생체 인식 템플릿이라는 수학적 파일로 대체된다.  템플릿은 해당 초기 이미지에서 발견된 고유 특성에 대한 디지털 참조다.

온피도의 케빈 골드스미스 최고 기술 책임자는 "얼굴이나 지문 같은 생체 인식의 특징은 수학적으로 훨씬 작은 표현으로 암호화돼 저장과 테스트가 용이하다"라고 설명한다.  이 수학적 표현은 여전히 개인 데이터로 여겨지는데, 해커가 얼굴이나 지문의 사진을 보지 못하게 한다.

분산된 데이터 스토리지를 포함하여 이러한 생체 인식 템플릿을 보호하기 위해 사용되는 여러 가지 방법이 있다.  이 기술은 암호화된 작은 생체 데이터를 서버와 스마트폰과 같은 여러 위치에 저장한다.

제임스 스틱랜드 베리디움 최고경영자(CEO)는 "생체인식 데이터를 이런 식으로 암호화하면 해커가 쓸모가 없게 된다"라고 말했다.  "생체인식 템플릿은 분산된 위치에 저장될 수 있고, 이 분산 모델을 활용하여 효과적으로 데이터 침해 위험을 최소화할 수 있기 때문에, 어떤 조직도 데이터의 관리자로 만들지 않고도 이 작업을 수행할 수 있다.

 

 

 

#2. "생체인식은 복제하기 쉽다.

3D 프린팅 지문이나 복제 헤드 등의 방법으로 지문이나 얼굴 형태의 생체 데이터를 복제하는 것은 가능하지만, 분명 쉽거나 흔한 일은 아니다.

일반적으로 생체인식 기술은 인증 과정에서 여러 기능이나 단계를 통합한다.  예를 들어 지문은 가짜 장치 탐지나 예상 위치와 같은 상황별 신호와 결합되는 경우가 많다.

"미션 임파서블이나 이와 유사한 액션 영화에서 보는 것에도 불구하고, 생체 인식은 실제로 복제하기가 상당히 어렵다."라고 심프린트의 공동 설립자 겸 최고 경영자인 토비 노먼 박사는 말한다.  "대부분의 공급업체들은 생체인식을 조작하는 것을 점점 더 어렵게 만드는 그들의 설루션 안에서 리빙 탐지 및 다른 형태의 스푸핑 방지 기능을 구현했다."

Live detection 알고리즘은 영상을 분석하여 생식을 이용하여 누군가 행한 가짜 시도와 살아있는 인간이 행한 진짜 시도를 구별할 수 있다.

 

#3.  "생물학적 데이터는 신뢰할 수 없고 오류율은 높다"

회의론자들은 생체 인식 기술의 신뢰성에 의문을 제기할 수 있지만, 증거는 그것이 암호 인증과 같은 구시대적인 방법보다 훨씬 우수하다는 것을 보여준다.

최근 버라이즌의 한 보고서에 따르면, 비밀번호 검증이 사이버 침해의 80% 이상을 차지한다.  반면 생체인식 기술은 보안 성능이 훨씬 뛰어나고 정확도가 높다.

국립 표준기술연구원의 연구에 따르면 수십 년간의 기술 발전은 지문 채취의 정확도가 99% 이상이라는 것을 의미한다.  홍채 스캐닝은 훨씬 더 정밀하다.  정부 과학청의 보고서에 따르면 낮은 오류 수치는 10만 개의 홍채 스캔마다 두 개의 실수만 발생한다는 것을 암시한다.

베 리튬의 스틱랜드(Stickland)는 "알고 있는 것에 기반한 조치에서 벗어나 사용자가 자신의 기기와 상호작용하는 방식과 같은 혁신적인 생체 인식과 결합함으로써 조직은 무마찰적이고 신뢰할 수 있으며 투명한 방식으로 보안을 강화할 수 있다"라고 말한다.

하지만, 생체 측정학이 대체로 신뢰할 수 있지만, 완벽하지는 않다는 것은 주목할 필요가 있다.  같은 인공지능 기반 기술은 여전히 인종 편향에 발목을 잡고 있다.  최근 미국의 안면인식 알고리즘에 대한 NIST의 연구에 따르면 아시아계 미국인과 아프리카계 미국인이 백인 남성보다 오식될 가능성이 최대 100배 높다는 사실이 밝혀졌다.

 

 

 

 

 

#4.  "기업들은 내가 모르는 사이에 내 데이터를 공유할 수 있다"

데이터 보호법에 따르면, 당신은 당신의 개인 데이터가 어떻게 사용되고 있는지에 대해 정보를 받을 수 있는 법적 권리가 있다.  또한 특정 상황에서 어떻게 처리되고 있는지에 대해 데이터와 개체의 처리를 법적으로 중지하거나 제한할 수 있다.

유럽연합(EU)의 GDPR(General Data Protection Regulation)에 따르면 개인 데이터 공유는 동의를 받거나 또 다른 합법적 근거가 존재하는 경우에만 합법적일 수 있다.  허가가 우회되는 상황의 예로는 개인의 생명을 구하기 위해 데이터가 필요한 경우, 법적 의무를 준수하기 위해 정보가 필요한 경우 또는 정보를 공유해야 하는 경우가 포함된다.

"아주 특별한 몇 가지 경우를 제외하고, 데이터의 사용에 대한 명시적 사용자 동의는 필수 사항입니다."라고 iProov의 최고 경영자인 Andrew Budd는 설명한다.

생체 인식 데이터는 훨씬 더 강력한 법적 보호 기능을 가지고 있다.  그것은 영국이 GDPR을 시행하고 있는 2018년 데이터 보호법에서 요약한 9가지 특별 범주 중 하나인데, 이것은 합법적인 근거를 가지고 있고 그러기 위해서는 추가적인 조건을 충족시켜야 한다는 것을 의미한다.

 

 

#5.  "생체 인식 기술은 비싸고 장기적으로 비용 효과적이지 않다"

기술의 발전은 생체 인식 비용이 항상 하락하고 있다는 것을 의미한다.  버드는 iProov에서 "초정확한 얼굴 검증은 이제 클라우드에서 마이크로소프트, 아마존 등과 같은 벤더로부터 다소 자유로워졌다"라고 말한다. "이 때문에 소규모 기업이라도 운영 비용이 거의 들지 않는 고성능 시스템을 개발할 수 있게 되었다."

널리 채택된 스마트폰을 활용하는 BYOD(Bring-Your-Own-Device) 전략의 이점은 생체 인식 플랫폼이 초기 투자를 거의 필요로 하지 않는다는 것을 의미한다.  베리디움의 스틱랜드는 "더 나아가 시간이 지나면서 비용 편익이 눈덩이처럼 불어날 것"이라며 "신규 직원 탑승에 추가 비용이 들지 않으며 정기적으로 업그레이드해야 할 고가의 하드웨어도 없다"라고 말했다.

흔히 "비밀번호 피로"라고 알려진 것의 결과로, 많은 사용자들은 정기적으로 비밀번호를 재설정하고 IT 헬프데스크에 전화를 걸고 있다.  베리듐은 직원 수가 1만 명인 기업이 암호 재설정 비용으로 연간 약 190만 달러를 지출하는 것으로 추산하고 있다.  따라서 생체인식 데이터로 스와핑 하거나 향상하는 것은 기업에 큰 비용 절감을 의미할 수 있다.

영국 국제개발부 보고서에 따르면 나이지리아가 e-ID 시스템을 출시했을 때 공공부문에서 이른바 유령 노동자 6만 2000명을 적발해 연간 10억 달러를 절감했다.

 

 

#6.  "생물 측정학 처리 시간이 다른 인증 형태보다 더 오래 걸린다"

생체 데이터를 처리하는 것은 다른 검증 방법들만큼 빠를 수 있고 많은 경우 더 빠르다.

온피도의 골드스미스는 "암호를 입력하거나 애플리케이션, SMS 또는 하드웨어 키로부터 2단계 인증 코드를 받는 것은 지문을 사용하거나 인증하기 위해 셀카를 찍는 것보다 실질적으로 더 많은 시간이 소요된다"라고 말했다.

Anton Klippmark(ActivioSec의 제품 마케팅 매니저)는 다음과 같이 지적한다. "새로운 보안 조치가 사용하기에 너무 번거로울 경우 앱과 se의 모바일 및 편의 기반 비즈니스 모델을 깨뜨리기 때문에 사용자 경험에 마찰을 더하지 않고 생체 인식 및 행동 분석의 강력한 부정행위 방지 데이터를 얻는 것이 큰 프리미엄이다."