Сканер вен ладони в Fujitsu LIFEBOOK U9312X: биометрия, которую не украсть

В японских банкоматах Fujitsu сканеры вен ладони работают с 2004 года — почти двадцать лет, прежде чем эта технология вообще стала темой разговоров за пределами Японии. За два десятилетия принцип не менялся: рисунок кровеносных сосудов внутри ладони не стирается, не выцветает и не сканируется исподтишка, пока вы держите телефон в кафе. Теперь сканер вен ладони в ноутбуке — не экзотика: он стоит в Fujitsu LIFEBOOK U9312X.

Отпечаток пальца можно снять с бокала, с дверной ручки, с глянцевой фотографии в высоком разрешении — были бы время и разрешение камеры. Рисунок вен снять так нельзя, потому что снаружи его просто не видно. Это физическое ограничение, а не деталь для рекламного буклета: одну биометрию можно украсть, другую — нельзя.

Дальше — как устроен сканер вен ладони в ноутбуке, почему его выбрали банки и военные ведомства, во сколько обходится такая точность и зачем Fujitsu встроила эту технологию в бизнес-ноутбук LIFEBOOK U9312X.

Что такое сканер вен ладони Fujitsu PalmSecure и почему вы о нём не слышали

Физика считывания: как инфракрасный свет обнажает вены

Принцип работы сканера вен ладони простой на словах и сложный в реализации. Инфракрасный светодиод с длиной волны примерно 850-950 нанометров подсвечивает ладонь снизу или сбоку, и свет проходит сквозь ткани на несколько миллиметров вглубь — этого достаточно, чтобы «просветить» подкожные капилляры и вены, но недостаточно, чтобы разглядеть кости или сухожилия. Гемоглобин в венозной крови поглощает инфракрасное излучение сильнее, чем окружающие ткани, поэтому вены на инфракрасном снимке выглядят тёмными линиями на светлом фоне — эффект похож на то, как выглядит рентгеновский снимок, только куда безопаснее и без ионизирующего излучения.

Камера с ИК-фильтром фиксирует этот рисунок, а алгоритм превращает его не в фотографию, а в цифровой шаблон — набор математических точек ветвления сосудов и расстояний между ними. В системе хранится и сравнивается при каждой аутентификации шаблон, а не изображение: восстановить по нему исходную картинку ладони так же сложно, как восстановить исходный текст по контрольной сумме файла. Отсюда дополнительная защита — даже если база шаблонов теоретически окажется скомпрометирована, злоумышленник получит не пригодную для подделки фотографию, а массив цифр.

Почему рисунок вен уникален и не поддаётся подделке

Рисунок вен формируется ещё в утробе матери и почти не меняется в течение жизни — в отличие от кожи, которая покрывается порезами, мозолями и со временем истончается. У однояйцевых близнецов, чей геном идентичен, рисунок вен всё равно расходится: сосудистая сеть формируется под влиянием случайных факторов внутриутробного развития, а не только генетики, — примерно так же, как расходится узор на радужке глаза. В этом отличие от отпечатка пальца, для которого теоретическая вероятность совпадения у близких родственников выше, чем для случайных людей.

Технология не стала массовой по банальной причине — она дороже. Сканер отпечатка пальца — это плоский сенсор ценой в несколько долларов, который производят миллионами штук в год и ставят даже в бюджетные смартфоны. Сканер вен требует инфракрасного источника света определённой длины волны, специализированной камеры с ИК-фильтром и более сложной оптики — себестоимость модуля выше в разы, а значит, и внедрение в бюджетные устройства массового спроса экономически не оправдано.

Коротко о цифрах

• Сканеры вен ладони в банкоматах Японии применяются с 2004 года и обслуживают порядка 70 млн пользователей
• FAR (вероятность ложного совпадения) сканера вен — около 0,00008%, у отпечатка пальца — около 0,001%
• Инфракрасный свет считывает рисунок сосудов на глубине нескольких миллиметров под кожей
• Рисунок вен остаётся уникальным даже у однояйцевых близнецов с идентичным геномом
• Себестоимость модуля сканера вен выше себестоимости сенсора отпечатка пальца в несколько раз

Где технология уже стандарт, а не редкость

Там, где цена не главный аргумент, технология уже стандарт. Систему поставили в отделениях Bank of Tokyo-Mitsubishi UFJ ещё в середине 2000-х, и с тех пор она распространилась на большинство крупных японских банков — сегодня клиент подтверждает снятие наличных в банкомате не картой и ПИН-кодом, а ладонью. Та же технология работает в системах контроля доступа больниц, где нужно быть уверенным, что к истории болезни обращается именно тот врач, и на военных объектах — там, где цена ошибки идентификации выше, чем цена сенсора.

Технология официально называется Fujitsu PalmSecure, и за пределами Японии её тоже успели опробовать: в течение 2010-х годов подобные терминалы тестировали и внедряли отдельные банки Турции и Польши, адаптируя разработку под собственную сетевую инфраструктуру и регламенты. В США пилотные проекты запускали в сети медицинских учреждений — там технология использовалась не для платежей, а для идентификации пациентов при поступлении, что снижало риск перепутать истории болезни у однофамильцев.

За почти два десятилетия эксплуатации в банках и больницах не появилось задокументированных массовых случаев успешного обхода сканера вен ладони с помощью муляжа или слепка. Для сравнения, обход сканеров отпечатка пальца демонстрировался публично уже десятки раз, включая известные показательные взломы на профильных конференциях по информационной безопасности.

По темеTPM 2.0 и BitLocker: как работает аппаратная защита данных

Чем сканер вен ладони лучше отпечатка пальца

Сравнение по критериям, которые имеют значение на практике

Три метода аутентификации — пароль, отпечаток пальца и сканер вен — различаются не по общему ощущению «современности», а по конкретным параметрам защиты. Ниже — сопоставление по восьми критериям: от вероятности ложного совпадения до того, что произойдёт, если идентификатор всё же попадёт в чужие руки.

Задокументированные случаи компрометации отпечатка пальца

Кража отпечатка пальца — не гипотетический сценарий из фильма про хакеров. Исследователи Chaos Computer Club воспроизводили отпечаток немецкого министра обороны Урсулы фон дер Ляйен по её же публичным фотографиям, снятым на пресс-конференции с расстояния в несколько метров, — обычного объектива и программы обработки изображений оказалось достаточно, чтобы восстановить рисунок папиллярных линий. Гелевые слепки с латентных отпечатков, оставленных на стекле или дверной ручке, — задокументированная техника, которую использовали ещё в 2000-х для обхода ранних сканеров отпечатка на ноутбуках и телефонах.

В июне 2015 года стало известно о взломе базы данных Office of Personnel Management (OPM) — федерального агентства США, отвечающего за кадровый учёт госслужащих. Хакеры получили доступ к личным делам более 21 миллиона действующих и бывших сотрудников федеральных органов, включая 5,6 миллиона записей с отсканированными отпечатками пальцев. В отличие от пароля или номера карты, отпечаток нельзя «перевыпустить» — палец у человека один на всю жизнь. Для сотрудников с допуском к секретной информации это означало пожизненный риск: биометрический идентификатор, который должен был подтверждать личность, оказался в открытом доступе у неизвестных лиц, и заменить его невозможно в принципе. Этот случай специалисты по безопасности чаще всего и приводят, когда объясняют разницу между паролем и биометрией.

Подделать рисунок вен принципиально сложнее по одной причине: сканеру нужен не рисунок, а живой кровоток.

В 2015 году в США на судебном процессе рассматривалось дело, где обвиняемого обязали разблокировать телефон отпечатком пальца по решению суда, — и это стало прецедентом, который отдельно подсветил юридическую и практическую уязвимость: то, что записано в теле, можно предъявить принудительно, в отличие от того, что хранится только в памяти. Разбирательство привлекло внимание к тому же техническому вопросу — насколько легко биометрия физического отпечатка может быть скомпрометирована без согласия владельца.

Подделать рисунок вен принципиально сложнее по одной причине: сканеру нужен не рисунок, а живой кровоток. Инфракрасный сенсор реагирует на гемоглобин в движущейся крови — муляж, слепок или распечатка фотографии просто не дадут нужного оптического отклика, потому что в них нет циркулирующей крови. Разница в FAR отражает это напрямую: у отпечатка пальца она составляет порядка 0,001%, у сканера вен ладони — около 0,00008%, то есть точность выше более чем на порядок.

Кому нужен сканер вен ладони: профессии и ситуации

Профессии, для которых потеря ноутбука — не про деньги

Кому эта технология нужна, понятнее на конкретных людях, а не на таблице характеристик. Юрист, у которого на диске лежит база данных клиентов с историей судебных дел, финансовый директор с доступом к банковским реквизитам компании, топ-менеджер, который берёт ноутбук с собой в командировки по три недели в квартал, — для всех троих потеря устройства означает не столько его стоимость, сколько утечку информации, за которую отвечают лично они, вплоть до административной или уголовной ответственности по закону о персональных данных. С распространением гибридного формата работы это касается уже не узкого круга топ-менеджеров, а куда более широкого списка сотрудников: ноутбук выносится за пределы офиса ежедневно, а не раз в квартал, и каждый такой вынос — дополнительный шанс на утрату контроля над устройством.

Есть и менее очевидный аргумент — психологический. Хорошо спроектированная защита не требует от человека дополнительных действий или запоминания: рука тянется к клавиатуре, сенсор считывает вены за долю секунды, и пользователь не фиксирует момент аутентификации как отдельное действие. Незаметность здесь — признак того, что инженеры довели интерфейс до состояния, когда защита не мешает работать.

На практике стоит заранее понимать, кому такая защита действительно нужна, а кому будет достаточно более простого метода:

• Руководителям и сотрудникам с доступом к финансовой, юридической или медицинской информации, где утечка означает и ущерб компании, и личную ответственность конкретного человека
• Тем, кто регулярно работает вне офиса — в самолётах, отелях, коворкингах — и физически не контролирует обстановку вокруг устройства большую часть рабочего дня
• Компаниям, которые обязаны подтверждать соответствие требованиям по защите персональных данных перед партнёрами или регуляторами
• Пользователям, которые уже сталкивались с компрометацией пароля или отпечатка пальца и хотят закрыть этот вектор атаки на уровне устройства, а не только организационных мер

Что происходит, когда ноутбук крадут за две минуты

Как это реализовано в Fujitsu LIFEBOOK U9312X

Технические детали модуля и скорость аутентификации

В LIFEBOOK U9312X сканер вен ладони встроен в корпус рядом с клавиатурой и работает в бесконтактном режиме — ладонь не нужно прижимать к поверхности, достаточно поднести её на расстояние нескольких сантиметров. Так гигиеничнее, чем с сенсором отпечатка пальца, к которому прикасаются десятки раз в день, и меньше механический износ самого модуля — в нём нет трущихся или контактных частей, которые изнашиваются или забиваются пылью.

Скорость аутентификации — менее одной секунды: с момента, когда ладонь оказывается в зоне считывания, до разблокировки системы задержка сопоставима с вводом четырёхзначного PIN-кода, но без необходимости что-либо набирать. Модуль работает через Windows Hello — стандартный интерфейс биометрической аутентификации Microsoft, а значит, интегрируется с корпоративными политиками безопасности, шифрованием диска и системами единого входа без дополнительного специализированного ПО и без переобучения IT-отдела.

Коротко о том, что отличает реализацию сканера вен в LIFEBOOK U9312X от типового биометрического модуля:

• Бесконтактный режим считывания — ладонь не касается поверхности сенсора
• Отсутствие трущихся и контактных частей, а значит, отсутствие механического износа модуля со временем
• Полная интеграция с Windows Hello без отдельного драйвера или клиентского приложения
• Совместимость с корпоративными политиками единого входа и шифрования диска
• Возможность настроить резервный способ входа (PIN или пароль) на случай нетипичного считывания

Место на рынке: редкая опция, а не маркетинговый ход

На российском рынке бизнес-ноутбуков Fujitsu LIFEBOOK U9312X остаётся редким примером устройства этого класса, где сканер вен ладони — заводская опция, а не внешний аксессуар. Большинство конкурентов ограничиваются сканером отпечатка пальца или инфракрасной камерой для распознавания лица — оба метода дешевле в реализации, но уступают по устойчивости к подделке. Это инженерный факт, а не повод для превосходных степеней: производитель решил встроить более дорогой и сложный модуль туда, где обычно ставят более простой.

В самой линейке LIFEBOOK подход к биометрии не унифицирован: в более компактном LIFEBOOK E5412, например, по умолчанию установлен классический сканер отпечатка пальца, а не сканер вен, — рабочее решение для задач с менее критичным профилем риска. Ноутбуки Fujitsu LIFEBOOK в целом строятся вокруг идеи, что уровень защиты должен соответствовать роли пользователя, а не быть одинаковым для всех моделей линейки: чем выше цена возможной утечки, тем больше смысла переплачивать за более устойчивую к подделке технологию. Японское качество сборки и инженерный подход у моделей линейки одни и те же — различается только модуль безопасности, встроенный в конкретную модель.

Распознавание лица, для сравнения, тоже уязвимо к обходу через качественную фотографию или видео, если система не оснащена датчиком глубины, — поэтому Windows Hello с обычной веб-камерой считается более слабым уровнем защиты, чем сканер отпечатка пальца, а тот, в свою очередь, слабее сканера вен ладони. Встраивание сканера вен в бизнес-ноутбук, а не в отдельный корпоративный терминал, означает, что тот же уровень защиты, который раньше был доступен только в банке или на режимном объекте, теперь можно унести с собой в командировку.

По темеСмарт-карта вместо пароля

Что дальше

Траектория удешевления: путь, который уже прошёл отпечаток пальца

Пять-семь лет назад сканер отпечатка пальца в ноутбуке был редкостью и поводом для отдельного абзаца в обзоре — сегодня это стандартная опция среднего ценового сегмента. Похожая траектория вероятна и для сканера вен ладони: по мере удешевления инфракрасных сенсоров и роста числа случаев компрометации отпечатка пальца в публичном пространстве спрос на более устойчивый метод будет расти, и он постепенно перейдёт из премиального сегмента в стандартную комплектацию — так же, как когда-то из премиального сегмента в массовый перешли SSD-накопители и IPS-матрицы.

Кому стоит выбирать эту защиту уже сейчас

Если защита данных на ноутбуке влияет на вашу репутацию и юридическую ответственность, а не остаётся пунктом в политике безопасности, стоит знать: ноутбуки Fujitsu с такой технологией продаются серийно, а не собираются штучно под заказ военных ведомств. Ждать, пока она подешевеет и станет массовой, разумно для личного смартфона, но не для рабочего ноутбука с базой клиентов или финансовой отчётностью — там утечка уже сегодня стоит дороже, чем разница в цене между сканером отпечатка и сканером вен.

Если бы ваш рабочий ноутбук защищал рисунок вен ладони, а не отпечаток пальца — почувствовали бы вы разницу в первый же день, или только в тот момент, когда устройство попытаются украсть?

Частые вопросы о сканере вен ладони в LIFEBOOK U9312X