Biometrische authenticatie
Biometrische authenticatie is een manier om iemands identiteit te controleren aan de hand van lichamelijke of gedragskenmerken, zoals een vingerafdruk, gezicht, iris of stem, in plaats van met een wachtwoord of pasje. Het idee is simpel: waar een wachtwoord iets is dat je weet en een sleutel iets is dat je hebt, is een biometrisch kenmerk iets dat je bent. Vergelijk het met een portier die je al jaren kent: hij vraagt niet om een lidmaatschapskaart, hij herkent gewoon je gezicht en laat je binnen.
De bekendste toepassing zit letterlijk in je broekzak. Wanneer je met je vinger of gezicht een smartphone ontgrendelt, gebruik je biometrische authenticatie. Wat begon als een handig extraatje op dure telefoons is inmiddels de standaard manier waarop miljarden mensen dagelijks inloggen, betalen en grenzen passeren. Achter die ogenschijnlijk simpele handeling schuilt een behoorlijk stuk techniek, met eigen mogelijkheden én kwetsbaarheden.
Wat is het precies?
Het proces verloopt in een aantal vaste stappen. Eerst neemt een sensor een kenmerk op: een camera fotografeert het gezicht, een vingerafdruklezer registreert de richels van je vinger, een microfoon legt stempatronen vast. Deze ruwe opname wordt vervolgens niet als plaatje of geluidsbestand bewaard, maar omgezet in een template: een wiskundige beschrijving van de belangrijkste kenmerken, zoals de onderlinge afstand tussen ooghoeken en neuspunt, of de vertakkingspunten in een vingerafdruk.
Bij een volgende poging tot inloggen wordt een nieuwe opname gemaakt en omgezet in een nieuwe template. Een algoritme vergelijkt deze met de eerder opgeslagen template en berekent een gelijkenisscore. Ligt die score boven een ingestelde drempelwaarde, dan wordt de identiteit geaccepteerd. Dit heet verificatie, oftewel een één-op-één vergelijking: "ben jij wie je zegt te zijn?" Bij grootschalige toepassingen, zoals een politiedatabank, wordt vaak identificatie gebruikt: een één-op-veel vergelijking waarbij een kenmerk tegen duizenden of miljoenen opgeslagen templates wordt afgezet.
Om te voorkomen dat een foto, een siliconen vingerafdruk of een opname van iemands stem het systeem voor de gek houdt, wordt vaak liveness detection toegepast: extra controles die nagaan of er een levend, aanwezig persoon voor de sensor staat, bijvoorbeeld door te kijken naar oogbewegingen, huidreflectie of driedimensionale dieptekaarten van een gezicht.
Wat wil men ermee bereiken?
De belangrijkste drijfveer is het oplossen van de zwakke plek van wachtwoorden. Mensen gebruiken vaak simpele of hergebruikte wachtwoorden, vergeten ze, of worden slachtoffer van phishing waarbij een wachtwoord wordt afgetroggeld. Een vingerafdruk of gezicht kun je niet vergeten en, in theorie, niet zomaar aan iemand doorgeven.
Daarnaast draait het om gebruiksgemak en snelheid: even naar je telefoon kijken is sneller dan een pincode intypen. In sectoren als bankieren en grenscontrole komt daar fraudebestrijding bij: biometrie moet het lastiger maken om met een gestolen identiteit een rekening te openen of een grens over te steken. Ten slotte is er een bredere ambitie, aangejaagd door onder meer de FIDO Alliance (een samenwerkingsverband van techbedrijven), om wachtwoorden op termijn helemaal overbodig te maken via zogeheten passkeys, waarbij een apparaat lokaal je vingerafdruk of gezicht controleert voordat het een cryptografische sleutel vrijgeeft.
Voorbeelden uit de praktijk
Apple introduceerde in 2013 Touch ID, een vingerafdruksensor in de iPhone 5s, en volgde in 2017 met Face ID op de iPhone X, dat met een infraroodprojector een driedimensionale kaart van het gezicht maakt. Microsoft deed iets vergelijkbaars met Windows Hello, geïntroduceerd in 2015, waarmee laptops kunnen worden ontgrendeld met gezicht of vingerafdruk.
Op veel grotere schaal loopt het Indiase Aadhaar-programma, opgezet door de overheidsinstantie UIDAI en operationeel sinds 2010. Hierbij worden vingerafdrukken en irisscans van inmiddels meer dan 1,3 miljard inwoners gekoppeld aan een uniek identiteitsnummer, gebruikt voor onder meer uitkeringen en bankzaken.
Binnen de Europese Unie worden op Schiphol en andere luchthavens al jaren automatische grenspoortjes (ABC-gates) gebruikt die het gezicht van de reiziger vergelijken met de foto in het paspoort. De EU bouwt hierop voort met het Entry-Exit System (EES), dat vingerafdrukken en gezichtsopnamen van niet-EU-reizigers moet registreren en wordt beheerd door het EU-agentschap eu-LISA.
In China maakten platforms als Alipay vanaf 2017 grootschalig gebruik van gezichtsherkenning om betalingen te bevestigen, bekend als "Smile to Pay". In de Verenigde Staten biedt het bedrijf Clear sinds 2010 op luchthavens een dienst waarbij reizigers met iris- of gezichtsscan sneller door de beveiligingscontrole kunnen.
Hoe ver is de techniek?
Voor gecontroleerde omstandigheden, zoals het ontgrendelen van je eigen telefoon, is de techniek volwassen: foutpercentages zijn extreem laag en het gebruik is inmiddels alledaags. Grootschalige, ongecontroleerde toepassingen zoals gezichtsherkenning in de openbare ruimte zijn lastiger en gevoeliger voor fouten.
Een bekend probleem is vooringenomenheid: een grootschalig onderzoek van het Amerikaanse standaardisatie-instituut NIST uit 2019 liet zien dat veel gezichtsherkenningsalgoritmen bij mensen met een donkere huidskleur, en met name bij vrouwen uit die groep, aanzienlijk meer fouten maakten dan bij witte mannen. Sindsdien zijn algoritmen verbeterd, maar de verschillen zijn niet overal weggewerkt.
Ook spoofing blijft een punt van zorg: onderzoekers hebben laten zien dat 3D-geprinte gezichtsmaskers en kunstmatige vingerafdrukken sommige systemen kunnen misleiden, al maken liveness-detectie en gecombineerde ("multimodale") systemen dit steeds moeilijker. Een fundamenteel nadeel ten opzichte van wachtwoorden blijft bovendien dat je een gelekte vingerafdruk, anders dan een wachtwoord, niet kunt "resetten".
Op regelgevend vlak trekt met name Europa de teugels aan: de EU AI Act, die vanaf 2024 gefaseerd in werking treedt, verbiedt in beginsel het gebruik van live gezichtsherkenning in de openbare ruimte door de overheid, met een beperkt aantal uitzonderingen zoals opsporing van ernstige misdrijven. Dat toont dat de discussie inmiddels minstens zo veel over privacy en toezicht gaat als over technische haalbaarheid.
Wie werken eraan?
Grote technologiebedrijven als Apple, Google, Samsung en Microsoft ontwikkelen biometrische systemen voor consumentenapparaten. Gespecialiseerde bedrijven als het Franse Idemia en Thales en het Japanse NEC leveren biometrische systemen aan overheden voor paspoorten, grensbewaking en politiewerk.
Op het gebied van standaarden speelt de FIDO Alliance, waarin onder meer Apple, Google, Microsoft en banken samenwerken, een centrale rol bij het ontwikkelen van passwordless-standaarden zoals FIDO2 en passkeys. Het Amerikaanse NIST test en publiceert onafhankelijk de nauwkeurigheid van biometrische algoritmen, terwijl internationale afspraken over meetmethoden lopen via ISO/IEC-werkgroepen.
Op landenniveau lopen India (via UIDAI) en China voorop in de schaal waarop biometrie in het dagelijks leven is verweven. Binnen de EU is eu-LISA verantwoordelijk voor de grootschalige biometrische grensdatabanken, terwijl academische onderzoeksgroepen, onder meer bij het Duitse Fraunhofer-instituut, werken aan het verbeteren van nauwkeurigheid en het verminderen van vooringenomenheid in de onderliggende algoritmen.