Selfie zamiast hasła? Google testuje nowy sposób odzyskiwania konta

Google w ramach rozszerzania „bezpiecznych i elastycznych opcji logowania” wprowadziło selfie wideo – funkcję, która ma pomóc przede wszystkim wtedy, gdy użytkownik nie ma możliwości zalogowania się innym, standardowym sposobem.

Aby ją uruchomić należy nagrać filmik podczas konfiguracji, wykonując przed kamerą wskazane na ekranie ruchy głową.

W momencie utraty dostępu, użytkownik jest proszony o nagranie kolejnego nagrania wykonując te same ruchy – system porówna je z wcześniej zapisanym materiałem. Według zapewnień firmy, system ma też sprawdzać czy przed kamerą znajduje się prawdziwa osoba.

Juhuuu, kolejny dzień, w którym Google zbiera połowę danych składających się na moją tożsamość. Nie mogę się doczekać, aż to wypróbuję.
Raccolta w komentarzu na X

Dane biometryczne w rękach Google

A propos sztucznej inteligencji, nowa metoda weryfikacji Google niemal natychmiast wywołała pytania o to, czy gromadzone w ten sposób dane biometryczne mogłyby zostać wykorzystane do trenowania lub ulepszania Gemini.

Selfie wideo bowiem pokazuje twarz użytkownika z różnych stron, rejestruje ruchy głowy, mimikę oraz charakterystyczne cechy wyglądu. 

Google zapewnia, że zapisane nagranie jest szyfrowane, pozostaje pod kontrolą właściciela konta i domyślnie ma być używane wyłącznie do weryfikacji tożsamości podczas logowania.

Użytkownik może jednak wyrazić zgodę się na udostępnienie filmiku do szeroko zdefiniowanych „innych celów”. 

W przypadku danych biometrycznych konsekwencje ewentualnego wycieku mogą być też znacznie poważniejsze niż przy utracie zwykłego hasła, które można zmienić w ciągu kilku minut.

Materiał przedstawiający użytkownika pod różnymi kątami mógłby potencjalnie zostać wykorzystany do prób podszywania się pod niego, tworzenia zmanipulowanych nagrań albo obchodzenia zabezpieczeń opartych na rozpoznawaniu twarzy.

Na ten problem zwrócił uwagę Niebezpiecznik, podkreślając że sama wiedza Google o wyglądzie użytkowników nie jest jedynym źródłem ryzyka:

Zapewnienie firmy, że nagrania są odpowiednio chronione, może więc nie wystarczyć do rozwiania obaw. Kluczowe znaczenie będą miały przejrzyste zasady przetwarzania danych, z czym Google nie zawsze radziło sobie najlepiej.

Na naszych łamach opisywaliśmy zbieranie danych użytkowników Androida bez ich zgody, śledzenie ich lokalizacji, czy nawet celowe projektowanie usług w taki sposób, aby użytkownicy oddawali firmie jak najwięcej swoich danych.

Phishing po dane biometryczne

Mechanizm może też stać się celem oszustów, którzy spróbują wykorzystać go w kampaniach phishingowych i socjotechnicznych.

Podszywając się pod Google, mogą wysyłać fałszywe komunikaty o konieczności „ponownej weryfikacji konta”, kierując użytkowników na strony wyłudzające nagranie twarzy. W ten sposób oprócz hasła i dostępu do konta, zdobyliby również dane biometryczne, których nie da się zmienić.

Przejęte nagranie mogłoby być wykorzystywane do tworzenia deepfake’ów, prób obchodzenia systemów rozpoznawania twarzy albo bardziej wiarygodnego podszywania się pod ofiarę w innych usługach.

Czy selfie wideo trafi do głównego nurtu?

W najbliższym czasie okaże się, czy selfie wideo pozostanie niszową metodą awaryjnego potwierdzania tożsamości, czy zacznie być szerzej wdrażane jako jeden ze standardowych sposobów dostępu do kont.

O jego upowszechnieniu zdecydują przede wszystkim skuteczność zabezpieczeń, odporność na nadużycia, przejrzystość zasad przetwarzania danych biometrycznych i co za tym idzie – poziom zaufania użytkowników.

Rolę może tutaj też odegrać rosnąca presja na weryfikację wieku w usługach cyfrowych, która prawdopodobnie stanie się wymaganym elementem korzystania z części platform.

Jeżeli selfie wideo zostanie połączone z takim obowiązkiem, rozwiązanie może szybciej wejść do powszechnego użycia, nie tylko jako metoda logowania, ale też narzędzie potwierdzania wieku i tożsamości.