Biometrické metody pro aplikace v biomedicíně

Transkript

1 Původní práce cs37 Biometrické metody pro aplikace v biomedicíně Anna Schlenker 1,2, Milan Šárek 3 1 Centrum biomedicínské informatiky, Ústav informatiky AV ČR, Praha, Česká republika 2 Ústav hygieny a epidemiologie, 1. lékařská fakulta, Univerzita Karlova, Praha, Česká republika 3 CESNET z.s.p.o. Souhrn Cíle: Cílem této práce je analyzovat současný stav používání biometrických údajů v oblasti počítačové bezpečnosti. Metody: Tento příspěvek poskytuje přehled nejčastěji používaných anatomicko-fyziologických a behaviorálnych biometrických identifikačních metod. Výsledky: Výsledkem práce bude nový soubor metod, který umožní spolehlivou identifikaci uživatele co nejpohodlnější cestou. Závěr: Tyto nové principy bezpečnosti dat budou použity k posílení ochrany specializovaných zdravotních záznamů. To přispěje k rozšíření obecně pojatého konceptu EHR MUDR do dalších oblastí. Klíčová slova Biometrie, bezpečnost dat, EHR (elektronický zdravotní záznam), otisky prstů, geometrie ruky, rozpoznávání obli- Kontakt: Ing. Anna Schlenker Centrum biomedicínské informatiky, ÚI AV ČR, v.v.i. Adresa: Pod Vodárenskou věží 2, Praha E mail: schlenker.anna@gmail.com Ing. Anna Schlenker čeje, skenování duhovky, skenování sítnice, dynamika stisku počítačových kláves, multi-faktorová autentizace EJBI 2011; 7(1):37 43 zasláno: 15. září 2011 přijato: 24. října 2011 publikováno: 20. listopadu Úvod Biometrie, biometrická identifikace a verifikace byly zkoumány od počátku 80. let minulého století. Na konci 20. století se začaly objevovat první aplikace, zejména v soudní praxi, kde byla biometrie reprezentována automatickým zpracováváním otisků prstů a dlaní nalezených na místě činu. V dnešní době jsou biometrické metody nezastupitelné jak ve forenzních vědách tak v komerčně dostupných aplikacích. V tomto příspěvku budeme analyzovat současný stav používání biometrických údajů v oblasti počítačové bezpečnosti, především možnosti identifikace na základě biometrických údajů. Biometrické charakteristiky lze rozdělit na anatomicko-fyziologické a behaviorální [1, 2]. 2 Anatomicko-fyziologické biometrické charakteristiky Nejčastěji používané anatomicko-fyziologické biometrické charakteristiky v praxi jsou otisky prstů nebo dlaní, geometrie tvaru ruky a skenování krevního řečiště dlaně nebo hřbetu ruky. 2.1 Otisky prstů a dlaní Otisky prstů a dlaní vychází z jedinečnosti obrazců papilarních linií [3]. Miniaturizace senzorů a procesorů dovoluje identifikaci na základě otisků prstů velké komerční využití. V praxi se často používají otisky prstů pro autentizaci osob přihlašujícím se k počítačům nebo komunikačním zařízením, pro zvýšení ochrany identifikačních nebo

2 cs38 Schlenker, Šárek Biometrické metody pro aplikace v biomedicíně Obrázek 1: Zjednodušené schéma elektronických senzorů (podle [5]). kreditních karet, na oprávnění k přístupu do budov a pro ochranu vzácných nebo nebezpečných zařízení před neoprávněným použitím. Interaktivní snímání otisků prstů, které je dnes často implementováno v různých technických zařízeních, se provádí pomocí senzorů. Tyto senzory mohou být kontaktní nebo bezkontaktní a jejich funkce mohou být založeny na různých fyzikálních principech [4] Kontaktní senzory na snímání otisků prstů Kontaktní senzory mohou být optické, elektronické, optoelektronické, kapacitní, tlakové nebo teplotní. Některé z těchto typů senzorů budou podrobněji popsány níže. Hlavní výhody a nevýhody jednotlivých metod jsou přehledně uvedeny v tabulce 1. Optické kontaktní senzory Optické senzory jsou založeny na technologii FTIR (Frustrated Total Internal Reflection). To znamená, že laserový paprsek osvětluje spodní plochu prstů, která se dotýká průhledné desky senzoru. Odražené světlo je pak zachyceno prvkem CCD (Charge-Coupled Device). Množství odraženého světla závisí na hloubce papilárních linií a brázd. Papilární linie odráží více světla než brázdy. Ostatní optické senzory používají silný svazek optických vláken, které jsou kolmé k rovině snímače. I zde se uplatňuje metoda expozice a odrazu světelného toku. Další typ snímačů využívá technologii CMOS (Complementary Metal-Oxide-Semiconductor). Elektronické kontaktní senzory Elektronické senzory fungují na principu elektrického pole mezi dvěma rovnoběžnými, vodivými a elektricky nabitými deskami (viz obr. 1). Když se původně plochý tvar desky změní na zvlněný (tvořený povrchem papilárních linií a brázd), změní se i tvar elektrického pole. Horní deska snímače je tvořena povrchem kůže, který je připojen ke zdroji referenčního elektrického signálu. Hlavní výhodou tohoto senzoru je, že nesnímá jen povrch pokožky, ale i hlubší vrstvy kůže. To znamená, že tento typ senzoru je odolný proti znečištění i poškození povrchu kůže. Optoelektronické kontaktní senzory Optoelektronické senzory se skládají ze dvou vrstev. Horní vrstva je v kontaktu s pokožkou a je schopna vyzařovat světlo. Toto světlo je zachyceno v druhé skleněné vrstvě, ve které jsou umístěné fotodiody. Tyto diody převádějí světlo na elektrický impuls. Kapacitní kontaktní senzory Kapacitní senzory snímájí otisk prstu pomocí měření elektrické kapacity (viz obr. 2). Snímací senzor se skládá z velkého počtu skenovacích ploch, které jsou od sebe izolovány. Dotykem kůže papilární linie přemosťují jednotlivé vodivé plošky v závislosti na papilární kresbě a brázdy zároveň působí jako izolanty. Měří se napětí a kapacitní úbytky mezi jednotlivými vodivými ploškami. Vzniká tak digitální obraz tvaru papilární kresby. Obrázek 2: Zjednodušené schéma kapacitního snímače (podle [5]). Tyto senzory jsou vysoce náchylné na různé druhy znečištění, které mohou výrazně ovlivnit vodivost kůže. Tlakové kontaktní senzory Tlakové senzory reagují na tlak papilárních linií na povrchu snímače. Povrch snímače je vyroben z elastického piezoelektrického materiálu, EJBI Ročník 7 (2011), číslo 1 c 2011 EuroMISE s.r.o.

3 Schlenker, Šárek Biometrické metody pro aplikace v biomedicíně cs39 který převádí tlak na elektrický signál a vytváří tak obraz otisku prstu. Teplotní kontaktní senzory Teplotní senzory reagují na teplotní rozdíly mezi papilárními liniemi a brázdami. Velkou výhodou těchto senzorů je, že teplota je důležitým faktorem, který napoví, zda snímaní otisk prstu patří živé osobě Bezkontaktní senzory na snímání otisků prstů jeden obraz shora (kolmo ke snímací desce) a druhý ze strany. Tak se vytváří dva černobílé snímky "siluety ruky". Nejdřív se od uživatele vyžaduje doložení identity zadáním identifikačního čísla (PIN) přes klávesnici nebo přiložením magnetického proužku, čipu nebo karty ke čtečce. Pak uživatel položí svou ruku na zadanou pozici podle vizuálních instrukcí, které jsou vždy součásti klávesnice skeneru [8]. Skenery geometrie ruky jsou dnes běžné v mnoha oblastech, včetně zdravotnictví. Nejznámější skupiny bezkontaktních senzorů jsou optické a ultrazvukové senzory. Výhody a nevýhody těchto senzorů jsou uvedeny v tabulce 1. Optické bezkontaktní senzory Princip optických bezkontaktních senzorů je podobný kontaktním optickým senzorům popsaným výše pouze s jediným rozdílem paprsek světla umožňuje snímání ze vzdálenosti 3-5 cm. Největší výhodou tohoto senzoru je, že zabraňuje kontaminaci způsobené kontaktem se špinavými prsty. Ultrazvukové bezkontaktní senzory Ultrazvukové senzory jsou založeny na podobném principu jako ty optické, ale místo světelného paprsku je použit paprsek krátkého mechanické vlnění (ultrazvuk), který se odráží od povrchu kůže (viz obrázek 3). Tento typ snímače odstraňuje všechny nevýhody předchozích typů snímačů uvedých výše [6]. Obrázek 3: Zjednodušené schéma ultrazvukového senzoru (podle [5]). 2.2 Geometrie tvar ruky Další často používanou metodou je geometrie ruky tvaru, jejíž podstatou je měření délky a šířky prstů, kostí nebo kloubů ruky [7] (viz obr. 4). Ruka se dotýká horizontální plochy skeneru, který má speciální fixační kolíky. Tyto zajistí, že ruka je stále ve stejné pozici. Skener snímá Obrázek 4: Základní princip snímání geometrie tvaru ruky (podle [5]). 2.3 Snímání krevního řečiště dlaně nebo hřbetu ruky Další metoda vhodná pro použití v oblasti počítačové bezpečnosti, je snímání krevního řečiště dlaně nebo hřbetu ruky. CCD kamera, která se v tomto případě používá nejčastěji, pořídí snímek ruky a specifický vzor distribuce cév zachycený na snímku se pak používá k identifikaci osoby. Nespornou výhodou této metody je, že také ověří, zda je testovaný objekt živý. Snímání probíhá v infračerveném pásmu, které je citlivé na teplotu. Tato metoda využívá skutečnosti, že krevní cévy v těle, jsou teplejší než jejich okolí. Naskenovaný obraz je dále zpracováván podobně jako otisky prstů (porovnávají se tvary cév). Další výhodou, ve srovnání se snímáním geometrie tvaru ruky, je že není nutné umístit ruku na skener pokaždé ve stejné pozici. Další možnosti pro tuto metodu jsou skenování krevního řečiště dlaně nebo provádění bezkontaktního snímání jak dlaně tak hřbetu ruky, který poskytuje vysokou úroveň hygieny na rozdíl od snímání geometrie tvaru ruky a otisků prstů [8]. 2.4 Snímání obličeje a jeho částí Místo rukou může být k identifikaci osoby použit i jeho obličej nebo jeho část. Existují počítačové programy, které

4 cs40 Schlenker, Šárek Biometrické metody pro aplikace v biomedicíně dokážou rozpoznat lidské tváře stejně jako to dokáže lidský mozek [9]. Rozpoznávání obličejů je dnes typické především v kriminalistice a existuje mnoho různých metod a algoritmů pro tyto účely. Tuto metodu lze také snadno použít k zajištění běžných výpočetních a telekomunikačních systémů. Jakékoli standardní kamery, které lze nalézt již integrovány v mnoha monitorech, jsou postačující na nasnímání obrazu obličeje. Snímání obličeje tak může nahradit tradiční použití hesla. Velkou výhodou této metody je, že není potřeba žádného přímého kontaktu mezi uživatelem a snímačem [10]. Rozpoznávání obličejů jde však v mnoha ohledech dále zlepšit. Jako příklad můžeme registrovat a rozpoznávat známky emocí. Zde se nabízí i jedna velmi zajímavá aplikace této metody v oblasti IT bezpečnosti. Kontinuálním snímáním obličeje při práci s počítačem by bylo možné posoudit, zda s počítačem pracuje stále tatáž osoba, která má oprávnění přistupovat k citlivým datům. Nejen že tato metoda zabezpečuje systém v době přihlášení, může i ochránit data později, kdy oprávněný uživatel například na chvíli opustí odemknutý terminál. 2.5 Snímání oční duhovky nebo sítnice V poslední době, díky své jednoduché implementaci pouze pomocí běžných video systémů, je skenování duhovky nebo sítnice stále rozšířenější způsob identifikace. Rozeznání duhovky je možné bez ohledu na velikost, umístění a orientaci, ale vyžaduje složitější algoritmus [11]. Tato metoda se tedy obvykle používá pouze k zajištění vysoké úrovně bezpečnosti [8]. K mapování krevního oběhu v sítnici se používá světelný paprsek [12]. Část paprsku je sítnicí absorbována a část se odrazí. Speciální kamera, která je potřebná pro skenování, je drahá a samotný proces skenování není příliš uživatelsky přívětivý (mnoho lidí má z této technologie strach) [8]. 3 Behaviorálne biometrické charakteristiky Jednou ze zajímavých behaviorálnych biometrických charakteristik pro použití v oblasti počítačové bezpečnosti by mohla byť dynamika stisku počítačových kláves, která dnes ješte není běžně používána. 3.1 Dynamika stisku počítačových kláves Dynamika stisku počítačových kláves umožňuje tzv. kontinuální (dynamické) ověřování, které je založené na použití klávesnice jako prostředku průběžné interakce mezi uživatelem a počítačem [13]. To nabízí možnost průběžné kontroly po celou dobu používání počítače. Tato metoda je užitečná v situacích, kdy hrozí nebezpečí i při opuštění počítače jenom na krátkou chvíli [14]. Nejčastější měřenou charakteristikou je doba stisku jednotlivých kláves nebo doba trvání stisknutí kláves. Další možností je měření rychlosti psaní, četnosti chyb, styl psaní velkých písmen, nebo síly použité ke stisknutí jednotlivých kláves. Poslední zmíněný typ vyžaduje speciální klávesnici, která umožňuje sílu stisku měřit. Všechny ostatní metody mohou být vyhodnocovány pouze pomocí speciálního programu, tj. bez jakékoliv modifikace hardwaru [15, 16]. Tabulka 1: Porovnání kontaktních a bezkontaktních senzorů otisků prstů. Senzor Výhody Nevýhody Optické kontaktní senzory velmi rychlé nejsou odolné vůči nečistotám uživatelsky přívětivé nejsou hygienické nerozpoznají živou tkáň Elektronické kontaktní senzory odolné vůči nečistotám nejsou hygienické velmi rychlé nerozpoznají živou tkáň uživatelsky přívětivé Kapacitní kontaktní senzory velmi rychlé nejsou odolné vůči nečistotám nerozpoznají živou tkáň nejsou hygienické Teplotní kontaktní senzory rozpoznají živou tkáň nejsou hygienické velmi rychlé Optické bezkontaktní senzory odolné vůči nečistotám nerozpoznají živou tkáň hygienické velmi rychlé Ultrazvukové bezkontaktní senzory odolné vůči nečistotám nerozpoznají živou tkáň hygienické velmi rychlé EJBI Ročník 7 (2011), číslo 1 c 2011 EuroMISE s.r.o.

5 Schlenker, Šárek Biometrické metody pro aplikace v biomedicíně cs41 Tabulka 2: Porovnání anatomicko-fyziologických a behaviorálných biometrických charakteristik. Senzor Výhody Nevýhody Geometrie tvaru odolný vůči nečistotám nerozpozná živou tkáň ruky vyžaduje skenování ve stejné pozici není hygienický Bezkontaktní snímání nevyžaduje skenování ve stejné pozici bez možnosti průběžné kontroly krevního řečiště rozpozná živou tkáň hygienický odolný vůči nečistotám Snímání obličeje odolný vůči nečistotám časově náročný rozpozná živou tkáň nevyžaduje skenování ve stejné pozici s možností průběžné kontroly Snímání duhovky rozpozná živou tkáň nevyžaduje skenování ve stejné pozici uživatelsky přívětivý Snímání sítníce odolný vůči nečistotám uživatelsky nepřívětivý nevyžaduje skenování ve stejné pozici časově náročný Dynamika stisku počítačových kláves uživatelsky přívětivý s možností průběžné kontroly nenáročný na hardware 4 Porovnání metod Většina současných systémů zabezpečení dat ověřuje informace o oprávnění uživatele k přístupu do systému pouze v okamžiku přihlášení. V případě, že je identifikace uživatele řešena na základě biometrických údajů, je ve většině případů použit jen jeden (nebo jen několik) biometrický údaj. Optimální řešení by mělo prioritně zahrnovat metody zmíněné v úvodu s důrazem na ty, které se ukázaly jako dlouhodobě stabilní a co nejméně obtěžující personál. Metoda musí být pro uživatele taktéž dostatečně rychlá. Uvažovány budou i požadavky na hardware a výkon procesoru. Tabulka 1 ukazuje hlavní výhody a nevýhody různých typů kontaktních a bezkontaktních senzorů pro snímání otisků prstů. Všechny senzory pro snímání otisků prstů jsou relativně rychlé a snadno použitelné v porovnání s jinými biometrickými metodami. Hlavní rozdíly jsou v odolnosti vůči znečištění, což je důležité z těchto dvou důvodů. První z nich je, že senzor je schopen pracovat i v případě, že je na povrchu znečištěn nebo jsou nečistoty na povrchu prstu, který je snímán. Druhým důvodem je, samozřejmě, hygienické hledisko. Největší výhodou je schopnost snímače rozlišit živé tkáně od mrtvých nebo syntetických materiálů. Pak se stává velmi odolným vůči možnému zneužití. Tabulka 2 zobrazuje hlavní výhody a nevýhody dalších anatomicko-fyziologických a behaviorálních charakteristik. Kromě výše uvedených aspektů, jsme srovná- Tabulka 3: Porovnání metod z hlediska stability biometrických charakteristik a časové náročnosti. Metoda Stabilita biometrických charakteristik Časová náročnost vysoká = více než 80 %, vysoká = více než 3 s, střední = více než 60 %, střední = méně než 3 s, nízká = méně než 60 % nízká = méně než 1 s Otisk prstu střední nízká Geometrie tvaru ruky střední střední Snímání krevního řečiště střední střední Snímání obličeje nízká vysoká Snímání duhovky vysoká střední Snímání sítnice vysoká vysoká Dynamika stisku PC kláves nízká nízká

6 cs42 Schlenker, Šárek Biometrické metody pro aplikace v biomedicíně vali i možnost průběžného ověřování, nutnost snímání ve stejné pozici a obtížnost/snadnost použití. Tabulka 3 srovnává vybrané metody z hlediska stability biometrických charakteristik a časové náročnosti. Stabilita biometrických charakteristik znamená, jak moc se mění v průběhu času. Například lidská tvář se může výrazně změnit, a to buď přirozeně nebo pod vlivem nemoci. Na rozdíl od obličeje, se například sítnice nemění a obsahuje znaky unikátní pro každého člověka. Údaje v tabulce nejsou přesné údaje, ale empirické odhady. Tabulka ukazuje, že neexistuje žádná metoda, která by byla "ideální", tj. nabízející vysokou stabilitu biometrických vlastností a nízkou časovou náročnost. Skenování duhovky, které se v současné době ještě nepoužívá v každodenní praxi, se k tomuto ideálu blíží. 5 Aplikace vybraných metod v zabezpečení elektronického zdravotního záznamu Cílem této práce je navrhnout multifaktoriální systém, který bude ověřovat několik biometrických prvků současně, čímž bude zajištěna vyšší spolehlivost identifikace [17]. To bude chránit přístup k údajům o pacientovi v elektornickém zdravotním záznamu, který koncepčně vychází z návrhu univerzálního elektronického zdravotního záznamu MUDR, viz [18]. Bezpečnost dat pacienta je jedním z klíčových témat telemedicíny. Může se zdát, že se jedná o standardní řešení při použití principů elektronického záznamu EHR MUDR. Ale na rozdíl od našeho úkolu, je koncept EHR MUDR navržen s ohledem na běžné údaje o pacientovi, ke kterým se přistupuje při každodenním provozu nemocnice. Na druhou stranu, v případě elektronického záznamu pro personální identifikaci ERPI, se budou k identifikaci jednotlivců vztahovat mnohem více citlivé údaje. Z toho důvodu je zde i požadavek na vyšší úroveň identifikace osob přístupujících k datům. S ohledem na povahu těchto údajů se zdá být nezbytné použití některé sady DLP (Data Loss Prevention), které umožňují identifikaci rizik spojených se ztrátou citlivých dat a možnost dynamického snížení těchto rizik. Navíc, s ohledem na druh citlivých identifikačních údajů, je vhodné mít prostředek, který umožní nepřetržitý audit dat. K dispozici jsou komerční řešení jako RSA [19, 20] nebo Websense [21]. Tyto sady jsou navrženy tak, aby se snížil dopad možných rizik, bez ohledu na to, zda jsou data uložena v datovém centru, přenášena přes síť (síťové DLP) nebo zpracována v uživatelských koncových zařízeních (DLP koncový bod). Toto řešení je zvláště zajímavé, protože v České republice ještě v podobném kontextu nebylo nasazení DLP zveřejněné. 6 Závěr Výsledkem by měl být komplex nových biometrických identifikačních metod, které by umožnily spolehlivou identifikaci uživatelů co nejpohodlnější formou. Konečné použití těchto nových zásad bezpečnosti zvýší úroveň ochrany specializovaných zdravotních záznamů. Kromě toho bude koncept EHR MUDR rozšířen do dalších aplikačních oblastí. Poděkování Tato práce byla podporována Ministerstvem školství, mládeže a tělovýchovy České republiky v rámci projektu 1M06014 a v rámci projektu SVV Univerzity Karlovy v Praze. Literatura [1] Jain AK, Ross A. Introduction to Biometrics. In Jain AK, Flynn P, Ross A. Handbook of Biometrics. Springer, pp ISBN [2] Denning DE. Cryptography and Data Security. Addison- Wesley, ISBN [3] Herschel WJ. The Origin of Finger-Printing. Oxford University Press, ISBN [4] Cravotta N. Looking under the surface of fingerprint scanners. EDN [cited 2011 Aug 22]. Available from: _surface_of_finger_print_scanners.php [5] Rak R, Matyáš V, Říha Z. Biometrie a identita člověka: ve forenzních a komerčních aplikacích. Grada, Praha; [6] Bicz W et al. Fingerprint structure imaging based on an ultrasound camera [cited 2011 Aug 22]. Available from: [7] Jain AK, Ross A, Pankanti S. A prototype hand geometrybased verification system. In Second International Conference on Audio and Video-based Biometric Person Authentication. Washington DC, USA, pp [8] Jain A, Bolle R, Pankarti S. Biometrics: personal identification in networked society. Kluwer Academic Publisher Norwell, Massachusetts, USA. [9] Brunelli R, Poggio T. Face Recognition: Features versus Templates. IEEE Trans. on PAMI, (15)10: [10] Zhang D. Automated biometrics: technologies and systems. Kluwer Academic Publisher, Boston; [11] Daugman J. How iris recognition works. IEEE Transactions on Circuits and Systems for Video Technology, (1): [12] Lichanska A. Retina and Iris Scans. Encyclopedia of Espionage, Intelligence, and Security. The Gale Group, Inc [13] Bergadano F, Gunetti D, Picardi C. User authentication through Keystroke Dynamics. ACM Transactions on Information and System Security (TISSEC), (4): [14] Gunetti D, Pikardi C. Keystroke analysis of free text. ACM Transactions on Information and System Security (3): EJBI Ročník 7 (2011), číslo 1 c 2011 EuroMISE s.r.o.

7 Schlenker, Šárek Biometrické metody pro aplikace v biomedicíně cs43 [15] Ilonen J. Keystroke Dynamics. Advanced Topics in Information Processing 2003 [cited 2011 Aug 22]. Lappeenranta University of Technology. Available from: /kurssit/03-04/ /seminars/ilonen.pdf [16] Monrose F, Rubin D. Keystroke dynamics as a biometric for authentication. Future Generation Computer Systems (4): [17] Badr Y, Chbeir R, Abraham A, Hassanien AE (Eds.) Emergent Web Intelligence: Advanced Semantic Technologies. 1st Edition, 2010, XVI, 544. [18] Hanzlicek P, Spidlen J, Nagy M. Universal electronic health record MUDR. Studies in health technology and informatics, Amsterdam: IOS Press 2004, 105: [19] Young D. RSA Adaptive Authentication for Healthcare Environments, online: /datasheets/10037_aahc_ds_0611.pdf [20] RSA, The Security Division of EMC: Security Solutions for Business Acceleration [Internet] [cited 2011 Aug 22]. RSA Data Loss Prevention (DLP) Suite. Available from: [21] Websense Security Survey: Security Pros and Cons, online: