Na sequência da pandemia da COVID-19, o interesse dos consumidores em pagamentos sem contacto tem sido impulsionado por uma aversão geral a tocar em superfícies partilhadas. Embora a segurança dos cartões EMV seja elevada graças ao seu código de encriptação E2E, a segurança do cartão não deve parar de avançar. Por esta razão, os cartões biométricos estão a tornar-se cada vez mais populares na sociedade.
Os cartões de pagamento biométricos começam em 2021 com um estrondo após o seu progresso ter sido seguido de perto na indústria ao longo do ano passado. Empresas como a Thales, Fingerprints Card, Idex Biometrics e CardLab descobriram que o melhor método biométrico a utilizar nos cartões é um sensor de impressões digitais no corpo do cartão. Assim, pagar com um cartão EMV poderia tornar-se o método mais fácil e mais seguro de sempre.
A sua utilização é simples e directa, o utilizador que detém o cartão, como está a fazer actualmente, efectuará a verificação biométrica com o seu dedo inscrito, além do código PIN ainda poder ser utilizado como solução de reserva sempre que a impressão dactilar do titular do cartão não possa ser utilizada.
A principal vantagem é que os dados de referência das impressões digitais capturadas pelo sensor biométrico são armazenados de forma segura no chip do cartão, pelo que não teriam de ser guardados nos servidores do Banco. O processo de gravação das impressões digitais deve ser muito rigoroso e seguro. A utilização conjunta de cartões EMV e biométricos complementam-se e compensam as deficiências dos sistemas individuais. Em última análise, o problema da privacidade ao utilizar uma solução de identificação biométrica pode ser resolvido através do armazenamento dos dados biométricos no chip do cartão inteligente de modo a que este permaneça sempre com o utilizador, aumentando assim a privacidade geral e a portabilidade do cartão inteligente.
Vantagens e desvantagens
Deve-se notar que para o cliente pagar com um cartão EMV biométrico é mais fácil do que nunca; o pagamento pode ser feito com um simples toque, sem necessidade de introduzir um PIN no POS para fazer a transacção de pagamento, sem limite no método de pagamento sem contacto porque a autenticação do utilizador é feita de forma segura com a sua impressão dactilar e o avanço é que não é necessária qualquer actualização no POS, uma vez que a verificação biométrica é feita directamente no cartão EMV biométrico.
De um ponto de vista mais técnico, é difícil fazer engenharia reversa de um cartão inteligente e aceder às informações nele armazenadas. Assim, a combinação com a biometria faz com que estes novos cartões apresentem uma protecção completa da privacidade, um ID de utilizador biométrico único e uma segurança cibernética reforçada. O ID do utilizador não é hackeável, uma vez que a verificação é feita offline, porque tem lugar no próprio cartão de acordo com a chamada tecnologia Match-on-Card.
Os aspectos negativos envolvidos na utilização da biometria são poucos, mas existem. Antes de mais, devemos mencionar o custo destes cartões como um sistema de segurança mais avançado que requer mais investimento para ser implementado. A ABI Research prevê 2,5 milhões de cartões de pagamento biométricos emitidos até 2021, e com uma maior adopção pelo mercado, uma redução do custo actual, que se situa entre $20 e $30. O custo é um dos factores inibidores mais importantes, mantendo o factor de forma do cartão de pagamento biométrico firmemente dentro da fase de teste e avaliação. Dependendo dos volumes, os custos unitários do cartão deverão descer para entre $13 e $20 até 2021.
Finalmente, embora improvável, podem ocorrer falsos positivos, enviesamentos e inexactidões. Um dispositivo biométrico analisa uma impressão dactilar completa durante o processo de registo, mas durante o uso diário apenas utilizará partes da impressão para verificar a identidade, pelo que é um processo rápido. Se o utilizador for ferido na área da ponta do dedo utilizada, por exemplo, o cartão pode não reconhecer a impressão dactilar e dar um erro. Face a estes problemas de enviesamento pode sempre recorrer à utilização do cartão PIN EMV.
Conhecer a fraqueza trará segurança
A autenticação biométrica é apenas mais um alvo para os cibercriminosos. Actualmente estão a ser vendidos no mercado negro dispositivos que são concebidos para interceptar dados biométricos através da transferência de dados. Os criminosos utilizariam estes dispositivos para interceptar dados de cartões e dados biométricos. As impressões digitais são armazenadas numa base de dados bancária. Há dois cenários possíveis:
- A utilização do mesmo dedo para todos os clientes, uma situação mais fácil para o atacante porque só precisa de conhecer um dedo do cliente.
- Os dedos são escolhidos aleatoriamente, uma situação mais difícil para o atacante porque ele deve obter todas as impressões dactilares de cada cliente para um ataque bem sucedido.
As principais propriedades dos dados biométricos são a singularidade, invariância e não repudiabilidade. Estas propriedades permitem que o seu proprietário seja identificado de forma única e inequívoca. No entanto, quanto mais estes dados forem utilizados, maior é a probabilidade de serem roubados. Por conseguinte, é importante manter estes dados seguros e transmiti-los de forma encriptada.
Além disso, os leitores de dados biométricos são muito novos, pelo que ainda se encontram em fase de teste, o que constitui uma excelente oportunidade para os atacantes explorarem e avaliarem futuras vulnerabilidades nos dispositivos.
Por exemplo, um atacante pode preparar um rastreador NFC especialmente concebido para rastrear dados biométricos a partir de um cartão bancário de um cliente que contenha um chip NFC. O atacante utiliza o localizador NFC em locais com muita gente, como o metro. No momento em que estabelece contacto próximo, o atacante recolhe dados do chip do cartão que conteria a informação da impressão dactilar. Os cartões sem NFC são protegidos por desenho contra tais ataques, enquanto que os cartões com NFC só são protegidos se os clientes utilizarem protecção física contra comunicações sem fios (como uma gaiola de Faraday). Depois de recolher as informações, o agressor só precisa de utilizar um leitor de impressões dactilares falsas para fazer uso das informações do cartão.
No entanto, a possibilidade de forjar impressões dactilares é muito difícil e cara, mas não impossível. Isto poderia ser feito fazendo um molde se a vítima estiver inconsciente ou indisposta, digitalizando-os ou adquirindo-os na escuridão, pois nem todas as empresas que lidam com dados biométricos os armazenam de forma fiável. A dificuldade é que a imagem bidimensional tem de ser convertida num modelo tridimensional e impressa numa impressora 3D.
Existem também vulnerabilidades relacionadas com bases de dados, a forma de proteger estes dados biométricos é mantê-los centralizados, com transmissão e armazenamento seguros. Este aspecto é de grande importância, pois espera-se que crie um volume significativo de dados biométricos que precisa de ser especialmente protegido.
Produtos no mercado
O principal fabricante de cartões biométricos é o CardLab juntamente com a Quardlock, que criou um cartão biométrico com um sistema de autenticação backend para protecção de infra-estruturas críticas. O CardLab integrou a sua solução de cartões biométricos com o sistema de autenticação backend da Quardlock para proteger os cartões de pagamento contra fraude e roubo de identidade. O CardLab utiliza autenticação do sistema no cartão com o leitor de impressões digitais FPC1080A e o sensor de toque em forma de T da série FPC1300.
Thales Group também participa nesta aventura: o seu cartão biométrico foi anunciado como o primeiro cartão de pagamento de impressões digitais sem contacto certificado pela Mastercard. A certificação abrange o desempenho das impressões digitais com base numa verificação bem sucedida e taxas muito baixas de falsa aceitação e falsa rejeição (FAR e FRR, respectivamente), juntamente com o desempenho de velocidade e distância durante as transacções e a segurança de implementação. Esta certificação permitiu ir além da fase piloto e satisfazer as exigências dos primeiros bancos a aderir à utilização de cartões biométricos.
Conclusões
A combinação de cartões EMV e biometria complementam-se, resultando numa maior privacidade porque as informações biométricas estão seguras no cartão, que funciona como uma base de dados pessoal, firewall e terminal de autenticação. Há também maior segurança porque identifica com precisão os indivíduos com um mínimo de ambiguidade e assegura que o cartão está na posse do seu legítimo proprietário. Ao contrário da utilização do código PIN, que é um método de autenticação, a biometria é um método de identificação porque os dados biométricos não podem ser partilhados.
É ainda um modelo de pagamento por cartão que ainda não está estabelecido globalmente ou a uma escala maciça, pelo que é importante antecipar possíveis ataques que possam surgir no futuro para proteger a sua integridade e torná-lo um dos métodos de pagamento mais seguros, combinando cartões EMV com encriptação E2E, juntamente com o PIN e a impressão dactilar fornecida pela biometria.
Cada vez mais empresas como a Fingerprint Cards, G+D, Idemia, Idex Biometrics, Infineon, Linxens, NXP, STM e Thales estão a juntar-se a este novo mercado de cartões biométricos prontos para serem implementados nos bancos.
