Misschien gebeurt dit al, ik zou graag zien dat als bedrijven vingerafdrukken gebruiken, de gegevens altijd op de volgende manier opgeslagen worden. Misschien moet er zelfs een wet komen die eist dat alleen maar een gedeelte van een hash code opgeslagen mag worden en nooit de originele biometrische gegevens.
De laatste tijd zie je steeds meer vingerafdruk scanners. Een probleem kan ontstaan als bedrijven die vingerafdruk opslaan en zo biometrische gegevens van de klant hebben. Natuurlijk, iedereen laat overal vingerafrukken achter, maar in een databank, mogelijk gecombineerd met mijn NAW en creditcard gegevens? Dan wordt het voor mij een ander verhaal.
Als het alleen maar gaat om het indentificeren van een klant dan kan het ook anders. In plaats van het opslaan van de vingerafdruk zelf, kan je ook uit de gescande vingerafdruk een hash waarde laten berekenen en van de b.v. 64 bytes (512 bits) van deze hash waarde, alleen de laatste 32 bytes opslaan en gebruiken ter verificatie. Zo kun je nooit de oorspronkelijke vingerafdruk terugleiden uit die gehalveerde hash waarde en is de kans op een foute herkenning (bezitter van de vinger wordt toch afgewezen of bezitter van andere vinger krijgt toch toegang) toch nog heel klein, zeker als je dit gebruikt in een multifactor authentificatie programma (3 factoren = ik weet een geheime code, ik heb een pas of een apparaatje [b.v. mobieltje voor SMS ontvangst van een extra verificatie code] én ik kan een biolometrisch kenmerk tonen, mijn vingerafdruk, infrarood bloedvaten patroon in mijn vinger of mijn iris patroon).
Alleen de hash waarde opslaan
Waar het hier om gaat is dat niet de vingerafdruk zelf opgeslagen wordt, maar een (significant) deel van de berekende hash code van die vingerafdruk. Hierdoor kun je, bij vertoon van die zelfde vinger, opnieuw de hash code berekenen en deze berekende hash waarde vergelijken met de opgeslagen hash waarde. Omdat slechts een deel van de hash waarde opgeslagen wordt, kun je nooit de oorspronkelijke vingerafdruk terug creëren. Omdat er geen echte biometrische gegevens opgeslagen worden, alleen een afgeleide daarvan, zal deze opslag waarschijnlijk geen grote juridische problemen geven.
Zoeken in de vingerafdruk databank van de politie
Hoewel ik mij nooit in dit onderwerp heb verdiept, kan ik mij voorstellen dat de zoekmachines bij b.v. de politie met berekende hash waarden werken in plaats van de oorspronkelijke vingerafdruk. Zo kun je razendsnel zoeken in een enorme database, zeker als de hash waarde tevens een pointer vormt voor het adres/locatie in de databank. M.a.w. de locatie waarop de gegevens opgeslagen worden in de databank zijn af te leiden uit de hash waarde. Zo hoef je alleen maar in een heel klein deel van de databank te zoeken om de gewenste gegevens terug te vinden. Mochten er meerdere hash waarden naar de zelfde locatie leiden, dan hoef je alleen maar in een klein aantal gegevens (records) op die locatie te zoeken. Hier is het van belang dat de pointer, die berekend wordt uit de hash waardes een mooie adresverdeling laten zien bij de aangeleverde vingerafdrukken. M.a.w. dat niet 25% van alle gegevens allemaal op één locatie in de databank staan en dat de rest van de gegevens onregelmatig verdeeld is over de resterende ruimte in de gegevensbank.
No comments:
Post a Comment