Утвержден и введен в действие
Приказом Ростехрегулирования
от 27 декабря 2006 г. N 372-ст
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
ЗАЩИТА ИНФОРМАЦИИ
ТЕХНИКА ЗАЩИТЫ ИНФОРМАЦИИ
ТРЕБОВАНИЯ К СРЕДСТВАМ ВЫСОКОНАДЕЖНОЙ
БИОМЕТРИЧЕСКОЙ АУТЕНТИФИКАЦИИ
Information protection. Information protection technology.
Requirements for the means of high-reliability
biometric authentication
ГОСТ Р 52633.0-2006
Группа Т00
ОКС 01.040.01
Дата введения
1 апреля 2007 года
Предисловие
Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. N 184-ФЗ "О техническом регулировании", а правила применения национальных стандартов Российской Федерации - ГОСТ Р 1.0-2004 "Стандартизация в Российской Федерации. Основные положения".
Сведения о стандарте
1. Разработан Государственным научно-исследовательским испытательным институтом проблем технической защиты информации Федеральной службы по техническому и экспортному контролю (ГНИИИ ПТЗИ ФСТЭК России), Техническим комитетом по стандартизации ТК 362 "Защита информации".
2. Внесен Управлением технического регулирования и стандартизации Федерального агентства по техническому регулированию и метрологии.
3. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 27 декабря 2006 г. N 372-ст.
4. Введен впервые.
Введение
Стандарт устанавливает требования к процедурам обработки биометрической информации и преобразователям нечетких (неоднозначных) биометрических образов пользователя в его длинный пароль или ключ, используемый далее в одной из процедур высоконадежной криптографической аутентификации.
Стандарт распространяется только на средства высоконадежной биометрической аутентификации, производители которых заявляют значения вероятностей ошибочного пропуска "Чужого" менее (десять в минус 12 степени). Требования к средствам биометрической аутентификации с большей вероятностью ошибочного пропуска "Чужого" регламентируются системой международных стандартов, разработанных ISO/IEC JTC1 SC37 и гармонизированных ТК 355 ПК 7 "Биометрическая идентификация".
1. Область применения
Настоящий стандарт распространяется на средства высоконадежной биометрической аутентификации личности, построенные с использованием:
- стандартных механизмов высоконадежной парольной аутентификации с длинными, плохо запоминаемыми людьми паролями из случайных букв (цифр);
- криптографических механизмов аутентификации, использующих ключ длиной более 40 бит;
- множества из нескольких относительно слабых биометрических механизмов, обеспечивающих высоконадежную аутентификацию только при их совместном использовании.
2. Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на следующие стандарты:
ГОСТ Р 34.10-2001. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи
ГОСТ Р ИСО/МЭК 15408-1-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель
ГОСТ Р ИСО/МЭК 15408-2-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности
ГОСТ Р ИСО/МЭК 15408-3-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности
ГОСТ Р 50779.10-2000 (ИСО 3534-1-93). Статистические методы. Вероятность и основы статистики. Термины и определения
ГОСТ Р 50779.21-2004. Статистические методы. Правила определения и методы расчета статистических характеристик по выборочным данным. Часть 1. Нормальное распределение
ГОСТ 34.311-95/ГОСТ Р 34.11-94. Информационная технология. Криптографическая защита информации. Функция хэширования.
Примечание. При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодно издаваемому информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по ежемесячно издаваемым информационным указателям, опубликованным в текущем году. Если ссылочный стандарт заменен (изменен), то при пользовании настоящим стандартом следует руководствоваться замененным (измененным) стандартом. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.
3. Термины и определения
В настоящем стандарте применены следующие термины с соответствующими определениями:
3.1. Автоматическое обучение: обучение, осуществляемое автоматически без вмешательства человека и осмысления им промежуточных результатов обучения.
3.2. Атака перехвата: атака, направленная на перехват конфиденциальной биометрической информации в виде физического биометрического образа, электронного биометрического образа, вектора биометрических параметров, получаемого из них пароля или криптографического ключа.
3.3. Атака случайного подбора: атака, состоящая в подстановке случайных биометрических образов на вход преобразователя "биометрия-код", либо случайный подбор личного ключа (пароля), образующегося на выходах преобразователя.
3.4. Биометрическая аутентификация: аутентификация пользователя, осуществляемая путем предъявления им своего биометрического образа.
3.5. Биометрические данные: данные с выходов первичных измерительных преобразователей физических величин, совокупность которых образует биометрический образ конкретного человека.
3.6. Биометрическая идентификация: преобразование совокупности примеров биометрических образов человека, позволяющее описать их стационарную и случайную составляющие, например, в виде математического ожидания и дисперсий контролируемых параметров или, например, в виде параметров обученной сети искусственных нейронов.
3.7. Биометрический образ: образ человека, полученный с выходов первичных измерительных преобразователей физических величин, подвергающийся далее масштабированию и иной первичной обработке с целью извлечения из него контролируемых биометрических параметров человека.
Примечание. Биометрический образ - это континуум множества биометрических примеров, однако с конечной погрешностью континуум примеров может быть представлен всего несколькими различающимися примерами.
3.8. Биометрический образ "Свой": биометрический образ легального пользователя.
3.9. Биометрический образ "Чужой": биометрический образ злоумышленника, пытающегося преодолеть биометрическую защиту.
3.10. Биометрический механизм: механизм преобразования физического биометрического образа в вектор биометрических параметров или код ключа (пароля).
Примечание. Биометрический механизм является функционально неполной частью системы защиты или средства защиты информации.
3.11. Биометрические параметры: параметры, полученные после предварительной обработки биометрических данных.
Примечание. Параметрами могут быть, например, коэффициенты Фурье кривых колебаний пера при воспроизведении человеком рукописного пароля.
3.12. Вероятность ошибки первого рода: вероятность ошибочного отказа "Своему" пользователю в биометрической аутентификации.
3.13. Вероятность ошибки второго рода: вероятность ошибочной аутентификации "Чужого" как "Своего" (ошибочная аутентификация).
3.14. Высоконадежная биометрическая аутентификация: биометрическая аутентификация с приемлемой вероятностью ошибок первого рода и гарантированно малой вероятностью ошибок второго рода, сопоставимой по своему значению с вероятностью случайного подбора кода неизвестного криптографического ключа при малом числе попыток подбора.
3.15. Динамический биометрический образ: биометрический образ, изменяемый человеком по своему желанию, например, рукописный образ слова-пароля.
3.16. Механизм биометрической аутентификации: функционально неполный фрагмент средства биометрической аутентификации, преобразующий биометрические данные, но не способный принимать аутентификационные решения высокой надежности из-за низкой размерности анализируемых векторов или отсутствия механизма криптографической аутентификации.
3.17. Нейросетевой преобразователь "биометрия-код": заранее обученная искусственная нейронная сеть с большим числом входов и выходов, преобразующая частично случайный вектор входных биометрических параметров "Свой" в однозначный код криптографического ключа (длинного пароля) и преобразующая любой иной случайный вектор входных данных в случайный выходной код.
3.18. Преобразователь "биометрия-код": преобразователь, способный преобразовывать вектор нечетких, неоднозначных биометрических параметров "Свой" в четкий однозначный код ключа (пароля). Преобразователь, откликающийся случайным выходным кодом на воздействие случайного входного вектора, не принадлежащего множеству образов "Свой".
3.19. Средство биометрической аутентификации; СБА: средство биометрической аутентификации, способное принимать аутентификационное решение неопределенного уровня надежности.
3.20. Средство высоконадежной биометрической аутентификации; СВБА: средство биометрической аутентификации, способное принимать аутентификационное решение высокой надежности, имеющее в своем составе: биометрические механизмы преобразования биометрических данных в векторы биометрических параметров большой размерности, преобразователь "биометрия-код", механизм криптографической аутентификации.
3.21. Статический биометрический образ: образ, данный человеку от рождения, неизменяемый по воле человека, например, рисунок отпечатка пальца.
3.22. Тайный биометрический образ: биометрический образ, сохраняемый пользователем в тайне.
Примечание. Для сохранения в тайне динамического биометрического образа необходимо сохранить в тайне пароль, порождающий его; для сохранения в тайне статического биометрического образа необходимо обеспечить анонимность пользователя.
3.23. Открытый биометрический образ: биометрический образ человека, общедоступный для наблюдения.
Примечание. Обычно открытые биометрические образы являются статическими, однако и динамические биометрические образы могут быть открытыми, например, рукописный автограф человека.
3.24. Обучение биометрического средства: обучение биометрического средства аутентифицировать человека с заданными вероятностями ошибок первого и второго рода на одном или нескольких примерах биометрических образов "Свой".
3.25. Физический муляж: муляж, выполненный на физическом уровне, исходя из знания физического эффекта, на котором работает датчик считывания биометрического средства защиты и знания индивидуальных особенностей, подделываемого на физическом уровне биометрического образа.
3.26. Электронный муляж: электронные данные, имитирующие биометрические данные пользователя при тестировании или попытках обхода системы защиты.
Примечание. Различают неслучайный электронный муляж - электронные биометрические данные реального пользователя априорно известны, например
Для просмотра документа целиком скачайте его >>>
