Sicurezza biometrica: Autenticazione e rischi 2026

Difesa dagli attacchi di presentazione: liveness e test secondo ISO/IEC 30107-3

Un sistema biometrico non viene attaccato soltanto violando il software. Il vettore piu' diretto consiste nel presentare al sensore un artefatto che imita il tratto da riconoscere: fotografie stampate ad alta risoluzione, maschere, impronte riprodotte su materiale gelatinoso, riproduzioni video o volti sintetici. È l'attacco di presentazione, e la sua difesa è la rilevazione di vitalità, o liveness detection, integrata nel sensore o nel motore di confronto.

Lo standard di riferimento è la serie ISO/IEC 30107. La parte 3 (ISO/IEC 30107-3) definisce il quadro di prova e le metriche per misurare la resistenza agli attacchi di presentazione. I due indicatori principali sono l'APCER, tasso di errori accettati (artefatti scambiati per persone reali), e il BPCER, tasso di non-accettazione di soggetti legittimi. I due valori vanno letti insieme.

Prove controllate e scenari operativi

Una verifica seria distingue le prove in laboratorio dagli scenari operativi, dove variano illuminazione e angolazione. Il PAD testing è utile quando gli artefatti sono categorizzati e documentati; altrimenti il risultato non è replicabile.

FIDO2 e WebAuthn: dove resta il dato biometrico e cosa cambia con i template sul server

In un autenticatore di piattaforma conforme a FIDO2 e WebAuthn il dato biometrico non lascia il dispositivo. La scansione sblocca localmente una chiave privata custodita in un'area protetta e verso il server viaggia soltanto la firma della sfida. Il server conserva una chiave pubblica, non il tratto biometrico: la biometria funge da sblocco locale, non da segreto condiviso.

Quando invece l'architettura prevede template sul lato server, il rischio cambia natura. La biometria diventa una credenziale conservata e la sua compromissione è tendenzialmente permanente, perché il tratto non si sostituisce come una password. I riferimenti pratici sono le linee guida NIST SP 800-63B sulla gestione dei segreti di autenticazione e lo standard OWASP ASVS, che richiede di documentare algoritmi e protezioni adottate.

La protezione del template è quindi un requisito verificabile: template non reversibili ottenuti con trasformazioni a senso unico, cifratura in transito e a riposo, segregazione dei dati e possibilità di cancellare e rigenerare il template senza perdere il servizio.

Soglie, falsi accettati e falsi rifiuti: il compromesso da documentare

Ogni decisione biometrica dipende da una soglia di confronto. Abbassandola crescono i falsi accettati, cioè le identità errate accettate; alzandola crescono i falsi rifiuti, cioè i rifiuti di persone legittime. Le due grandezze sono interdipendenti e il punto di equilibrio non esiste in assoluto: dipende dal contesto, dall'accesso fisico a una sede alle operazioni in banca. Un controllo di sicurezza verifica che la soglia sia tarata, giustificata e riesaminata periodicamente.

Il riferimento per i livelli di garanzia è il NIST SP 800-63B: l'AAL2 richiede almeno due fattori distinti, l'AAL3 esige una chiave hardware e una protezione contro gli attacchi di presentazione. La sola biometria, come unico fattore, resta al livello piu' basso. Va sempre prevista una modalità di ripiego — PIN, password o codice monouso registrato — con garanzia equivalente e senza indebolire l'insieme. La modalità di ripiego va provata, non solo dichiarata.

Dati biometrici, GDPR e cosa verifica davvero un assessment

I dati biometrici trattati per identificare in modo univoco una persona rientrano tra le categorie particolari dell'art. 9 del GDPR. Il trattamento richiede una condizione dedicata, di norma il consenso esplicito o una base giuridica specifica, unita al principio di minimizzazione dell'art. 5 e a misure adeguate ai sensi dell'art. 32. Per i trattamenti su larga scala è prevista una valutazione d'impatto (art. 35), con il coinvolgimento del responsabile della protezione dei dati (art. 37). Va inoltre definita la durata di conservazione e la procedura di cancellazione e revoca del template.

Un assessment di un sistema biometrico non si limita a esaminare lo scanner. Verifica la correttezza della fase di arruolamento e la prova di identità, l'archiviazione e la cifratura dei template, la loro irreversibilità, l'efficacia dei test PAD e della vitalità, la taratura delle soglie, la gestione dei falsi accettati, l'esistenza e la prova del metodo di ripiego e le procedure in caso di compromissione del template. Per i sistemi impiegati in azienda, la documentazione dell'autorizzazione e la richiesta di un referente tecnico completano il percorso; sulla sezione guide del blog sono raccolti gli approfondimenti collegati.