php - precio - programa para escanear huellas digitales
¿Puedo usar un escáner de huellas digitales en mi sitio web? (6)
Estoy haciendo una aplicación web y me gustaría tener un área segura donde solo puedas iniciar sesión con tu huella dactilar. Mi idea original era usar un lector de código de barras usb y escanear eso, y muestra el ID en un cuadro de texto, pero eso no es muy seguro. Así que quiero usar un lector de huellas dactilares USB para generar un hash para cada persona y almacenarlo en un cuadro de texto. Que luego lo comprobará contra una base de datos con el valor hash de todos. ¿Alguien sabe si hay un lector de huellas digitales que pueda hacer esto, o una forma en la que pueda integrar fácilmente un lector en un sitio web?
EDITAR: La idea de este sitio web es que es como un sistema de inicio de sesión (más o menos como puedes ingresar y salir si recibes un pago por hora). La idea es que nadie puede firmar a alguien más dentro y fuera. SI solo usas una contraseña, entonces alguien puede decirle a su amigo la contraseña que puede ingresar. Por eso pensé en una huella dactilar, o algo similar ... Estoy abierto a otras sugerencias
Además, estoy usando PHP
EDIT 2: La idea básica, es que tengo que encontrar una manera de demostrar que alguien estuvo allí al registrarme. No quiero usar contraseñas, porque entonces alguien puede decirle a alguien su contraseña para escribir. Cualquier otro sugerencias? No tiene que ser huellas dactilares.
¿Desea utilizar un mecanismo de autenticación local para autenticar un recurso remoto? Aquí hay muchos problemas que sugieren que esta no sería una opción inteligente. Por ejemplo, ¿cómo sabe la aplicación web que el hash pertenece al usuario original y no a alguien que tiene un duplicado?
Lo que sugeriría en cambio es seguir la ruta de los bancos desde hace varios años cuando tenían lectores de tarjetas inteligentes enviados a clientes de tarjetas de crédito. Utilice el escáner de huellas digitales para almacenar una copia local del nombre de inicio de sesión del usuario, que requiere una segunda forma de autenticación, como una contraseña.
¿Por qué no utilizar el software Face Match para la autenticación?
Esto es tan falso. ¿Por qué no puedes encriptar una huella digital? Su maestro se almacena encriptado, usted envía uno encriptado al servidor. El software del servidor descomprime ambos y hace la comparación. Sencillo. Sus soluciones ''expertas'' son falsas.
La biometría es una forma muy mala de realizar la autenticación por muchas razones:
- Básicamente son solo una contraseña que nunca puedes cambiar. (¡Al menos no sin un gran dolor!) Con los esquemas de contraseñas tradicionales, si su contraseña es robada o adivinada, al menos puede cambiarla. Pero si alguien roba tu huella dactilar, ¿qué vas a hacer ahora?
La biometría no es secreta. Cada vez que toca algo, deja su contraseña por ahí. Cada vez que se toma su fotografía, se copia su imagen facial / retina. Las contraseñas deben permanecer secretas para ser útiles.
Como dijo Borealid, la biometría nunca se escanea exactamente igual dos veces. Entonces cuando haces la coincidencia, tiene que haber algún tipo de factor de dulce para permitir la entrada. Esta:
Solo hace que sea más fácil para los atacantes copiar sus datos y reproducirlos, ya que no tienen que obtener una coincidencia exacta. Un atacante solo tiene que acercarse para ser aceptado.
Obliga al servidor de autenticación a almacenar su información biométrica en texto sin formato. No puede codificar datos biométricos como las contraseñas, ya que entonces tendría que coincidir exactamente con el valor hash.
¡Entonces no lo hagas!
La biometría para autenticación remota nunca es segura. No puede saber si un dedo real con esa huella digital está en un lector, o si el usuario solo le envía una imagen. Por lo tanto, una huella dactilar se convierte en una contraseña que el usuario nunca puede cambiar, que es la misma para cada servicio que inicie sesión, y que queda en cada objeto que toca el usuario.
La biometría solo puede funcionar para la autenticación local donde confías en que el lector no será pirateado (es decir, tienes control físico sobre el lector) y el lector puede distinguir un verdadero dedo / ojo / ... de uno falso. Que la mayoría no puede.
Es posible crear un hash unidireccional de una huella dactilar. Primero tiene que extraer un número de observables como lo haría para una coincidencia difusa. Pero dado que necesita una coincidencia exacta para un hash, debe arrojar códigos de error a los valores que extrajo, que luego pueden corregir las pequeñas diferencias en cada medición. No es fácil de codificar y no soluciona los problemas fundamentales enumerados anteriormente, pero debería ser posible.
No puedes hacer lo que quieres, exactamente.
Las huellas dactilares nunca coinciden exactamente . Incluso si escanea su propio dedo índice derecho dos veces seguidas, los escaneos no serán los mismos. Así que "hash la huella dactilar" no funcionará: dos hash del mismo dedo serían indistinguibles de dos hashes de dos dedos diferentes (con un buen hash criptográficamente fuerte).
Los lectores de huellas dactilares funcionan almacenando algunas claves a bordo, y dejando que la clave salga si y solo si la huella dactilar es lo suficientemente cercana a lo que esperan. La huella digital en sí misma no se usa para obtener acceso directo a nada que esté fuera del lector.
No es aceptable enviar la huella dactilar tal como la ve el lector a través de la red: la gente está nerviosa por dar sus huellas a la policía. ¿Crees que estarán bien dándotelas?
Tampoco es aceptable que el lector diga "el dedo 2 está bien". Esto podría ser fácilmente falsificado.
En cambio, haga que su usuario use certificados de cliente X.509 (SSL) para acceder a su sitio. Si lo desean, pueden controlar el acceso a su clave privada a través del lector de huellas digitales.
EDITAR: actualizando esta respuesta. Existe, ahora en el año 2014, un estándar de la Alianza FIDO llamado "UAF" que permite a los sitios utilizar la autenticación de huellas dactilares de una manera que funciona en diferentes sitios. Corre el rumor de que Paypal comenzará a usarlo pronto.