Ноутбук, который открывается сканером вен ладони

В японских банкоматах Fujitsu сканеры вен ладони работают с 2004 года — почти двадцать лет, прежде чем эта технология вообще стала темой разговоров за пределами Японии. За два десятилетия принцип не менялся: рисунок кровеносных сосудов внутри ладони не стирается, не выцветает и не сканируется исподтишка, пока вы держите телефон в кафе.

Отпечаток пальца можно снять с бокала, с дверной ручки, с глянцевой фотографии в высоком разрешении — были бы время и разрешение камеры. Рисунок вен снять так нельзя, потому что снаружи его просто не видно. Это не эффектная деталь для рекламного буклета, а физическое ограничение, которое разводит биометрию, которую можно украсть, и биометрию, которую украсть нельзя.

Дальше — как устроен сканер вен ладони, почему его выбрали банки и военные ведомства, во сколько обходится такая точность и зачем Fujitsu встроила эту технологию в бизнес-ноутбук LIFEBOOK U9312X.

Что такое Palm Vein Scanner и почему вы о нём не слышали

Физика считывания: как инфракрасный свет обнажает вены

Принцип работы сканера вен ладони простой на словах и сложный в реализации. Инфракрасный светодиод с длиной волны примерно 850-950 нанометров подсвечивает ладонь снизу или сбоку, и свет проходит сквозь ткани на несколько миллиметров вглубь — этого достаточно, чтобы «просветить» подкожные капилляры и вены, но недостаточно, чтобы разглядеть кости или сухожилия. Гемоглобин в венозной крови поглощает инфракрасное излучение сильнее, чем окружающие ткани, поэтому вены на инфракрасном снимке выглядят тёмными линиями на светлом фоне — эффект похож на то, как выглядит рентгеновский снимок, только куда безопаснее и без ионизирующего излучения.

Камера с ИК-фильтром фиксирует этот рисунок, а алгоритм превращает его не в фотографию, а в цифровой шаблон — набор математических точек ветвления сосудов и расстояний между ними. Именно шаблон, а не изображение, хранится в системе и сравнивается при каждой аутентификации: восстановить по нему исходную картинку ладони так же сложно, как восстановить исходный текст по контрольной сумме файла. Это отдельный уровень защиты — даже если база шаблонов теоретически окажется скомпрометирована, злоумышленник получит не пригодную для подделки фотографию, а массив цифр.

Почему рисунок вен уникален и не поддаётся подделке

Рисунок вен формируется ещё в утробе матери и почти не меняется в течение жизни — в отличие от кожи, которая покрывается порезами, мозолями и со временем истончается. У однояйцевых близнецов, чей геном идентичен, рисунок вен всё равно расходится: сосудистая сеть формируется под влиянием случайных факторов внутриутробного развития, а не только генетики, — примерно так же, как расходится узор на радужке глаза. Это ключевое отличие от отпечатка пальца, для которого теоретическая вероятность совпадения у близких родственников выше, чем для случайных людей.

Технология не стала массовой по банальной причине — она дороже. Сканер отпечатка пальца — это плоский сенсор ценой в несколько долларов, который производят миллионами штук в год и ставят даже в бюджетные смартфоны. Сканер вен требует инфракрасного источника света определённой длины волны, специализированной камеры с ИК-фильтром и более сложной оптики — себестоимость модуля выше в разы, а значит, и внедрение в бюджетные устройства массового спроса экономически не оправдано.

Коротко о цифрах

• Сканеры вен ладони в банкоматах Японии применяются с 2004 года и обслуживают порядка 70 млн пользователей
• FAR (вероятность ложного совпадения) сканера вен — около 0,00008%, у отпечатка пальца — около 0,001%
• Инфракрасный свет считывает рисунок сосудов на глубине нескольких миллиметров под кожей
• Рисунок вен остаётся уникальным даже у однояйцевых близнецов с идентичным геномом
• Себестоимость модуля сканера вен выше себестоимости сенсора отпечатка пальца в несколько раз

Где технология уже стандарт, а не редкость

Там, где цена не главный аргумент, технология уже стандарт. Систему поставили в отделениях Bank of Tokyo-Mitsubishi UFJ ещё в середине 2000-х, и с тех пор она распространилась на большинство крупных японских банков — сегодня клиент подтверждает снятие наличных в банкомате не картой и ПИН-кодом, а ладонью. Та же технология работает в системах контроля доступа больниц, где нужно быть уверенным, что к истории болезни обращается именно тот врач, и на военных объектах — там, где цена ошибки идентификации выше, чем цена сенсора.

Технология официально называется Fujitsu PalmSecure, и за пределами Японии её тоже успели опробовать: в течение 2010-х годов подобные терминалы тестировали и внедряли отдельные банки Турции и Польши, адаптируя разработку под собственную сетевую инфраструктуру и регламенты. В США пилотные проекты запускали в сети медицинских учреждений — там технология использовалась не для платежей, а для идентификации пациентов при поступлении, что снижало риск перепутать истории болезни у однофамильцев.

Показательно, что за почти два десятилетия эксплуатации в критичных инфраструктурах — банковской и медицинской — не появилось задокументированных массовых случаев успешного обхода сканера вен ладони с помощью муляжа или слепка. Для сравнения, обход сканеров отпечатка пальца демонстрировался публично уже десятки раз, включая известные показательные взломы на профильных конференциях по информационной безопасности.

Чем это лучше отпечатка пальца

Сравнение по критериям, которые имеют значение на практике

Три метода аутентификации — пароль, отпечаток пальца и сканер вен — различаются не по общему ощущению «современности», а по конкретным параметрам защиты. Ниже — сопоставление по восьми критериям: от вероятности ложного совпадения до того, что произойдёт, если идентификатор всё же попадёт в чужие руки.

Задокументированные случаи компрометации отпечатка пальца

Кража отпечатка пальца — не гипотетический сценарий из фильма про хакеров. Исследователи Chaos Computer Club воспроизводили отпечаток немецкого министра обороны Урсулы фон дер Ляйен по её же публичным фотографиям, снятым на пресс-конференции с расстояния в несколько метров, — обычного объектива и программы обработки изображений оказалось достаточно, чтобы восстановить рисунок папиллярных линий. Гелевые слепки с латентных отпечатков, оставленных на стекле или дверной ручке, — задокументированная техника, которую использовали ещё в 2000-х для обхода ранних сканеров отпечатка на ноутбуках и телефонах.

В июне 2015 года стало известно о взломе базы данных Office of Personnel Management (OPM) — федерального агентства США, отвечающего за кадровый учёт госслужащих. Хакеры получили доступ к личным делам более 21 миллиона действующих и бывших сотрудников федеральных органов, включая 5,6 миллиона записей с отсканированными отпечатками пальцев. В отличие от пароля или номера карты, отпечаток нельзя «перевыпустить» — палец у человека один на всю жизнь. Для сотрудников с допуском к секретной информации это означало пожизненный риск: биометрический идентификатор, который должен был подтверждать личность, оказался в открытом доступе у неизвестных лиц, и заменить его невозможно в принципе. Именно этот случай чаще всего приводят в пример специалисты по безопасности, когда объясняют разницу между паролем и биометрией: пароль можно сменить за минуту, отпечаток — никогда.

В 2015 году в США на судебном процессе рассматривалось дело, где обвиняемого обязали разблокировать телефон отпечатком пальца по решению суда, — и это стало прецедентом, который отдельно подсветил юридическую и практическую уязвимость: то, что записано в теле, можно предъявить принудительно, в отличие от того, что хранится только в памяти. Разбирательство привлекло внимание к тому же техническому вопросу — насколько легко биометрия физического отпечатка может быть скомпрометирована без согласия владельца.

Подделать рисунок вен принципиально сложнее по одной причине: сканеру нужен не рисунок, а живой кровоток. Инфракрасный сенсор реагирует на гемоглобин в движущейся крови — муляж, слепок или распечатка фотографии просто не дадут нужного оптического отклика, потому что в них нет циркулирующей крови. Разница в FAR отражает это напрямую: у отпечатка пальца она составляет порядка 0,001%, у сканера вен ладони — около 0,00008%, то есть точность выше более чем на порядок.

Кому это нужно в реальной жизни

Профессии, для которых потеря ноутбука — не про деньги

Технология становится осмысленной не в вакууме характеристик, а применительно к конкретным профилям пользователей. Юрист, у которого на диске лежит база данных клиентов с историей судебных дел, финансовый директор с доступом к банковским реквизитам компании, топ-менеджер, который берёт ноутбук с собой в командировки по три недели в квартал, — для всех троих потеря устройства означает не только его стоимость, а потенциальную утечку информации, за которую отвечают лично они, вплоть до административной или уголовной ответственности по закону о персональных данных. С распространением гибридного формата работы это касается уже не узкого круга топ-менеджеров, а куда более широкого списка сотрудников: ноутбук выносится за пределы офиса ежедневно, а не раз в квартал, и каждый такой вынос — дополнительный шанс на утрату контроля над устройством.

Есть и менее очевидный аргумент — психологический. Хорошо спроектированная защита не требует от человека дополнительных действий или запоминания: рука тянется к клавиатуре, сенсор считывает вены за долю секунды, и пользователь даже не фиксирует момент аутентификации как отдельное действие. Технология, которая работает незаметно, — это не недостаток, а признак того, что инженеры продумали интерфейс до состояния, когда безопасность перестаёт быть препятствием для работы.

На практике стоит заранее понимать, кому такая защита действительно нужна, а кому будет достаточно более простого метода:

• Руководителям и сотрудникам с доступом к финансовой, юридической или медицинской информации, где утечка означает не только ущерб компании, но и личную ответственность конкретного человека
• Тем, кто регулярно работает вне офиса — в самолётах, отелях, коворкингах — и физически не контролирует обстановку вокруг устройства большую часть рабочего дня
• Компаниям, которые обязаны подтверждать соответствие требованиям по защите персональных данных перед партнёрами или регуляторами
• Пользователям, которые уже сталкивались с компрометацией пароля или отпечатка пальца и хотят закрыть этот вектор атаки на уровне устройства, а не только организационных мер

Мини-кейс: что происходит, когда ноутбук крадут за две минуты

Финансовый директор региональной сети клиник летит из Москвы в Екатеринбург на конференцию. В зоне ожидания перед посадкой он отходит к стойке кофейни на пару минут, оставив сумку с ноутбуком у кресла, — как ежедневно делают тысячи пассажиров. Когда он возвращается, сумки нет. Охрана аэропорта позже находит её в туалете без ноутбука: вор забрал только устройство, остальное содержимое бросил на месте. На диске — реестр пациентов сети клиник, договоры с поставщиками медикаментов и переписка с банком по кредитной линии на 40 миллионов рублей. Если единственной защитой входа был пароль Windows, вору достаточно вытащить диск и подключить его к другому компьютеру в обход экрана блокировки. Если бы вход был защищён сканером вен ладони, а данные — аппаратным шифрованием, украденное устройство осталось бы бесполезным куском металла и пластика, а инцидент — историей о потере оборудования, а не об утечке данных пациентов.

Как это реализовано в Fujitsu LIFEBOOK U9312X

Технические детали модуля и скорость аутентификации

В LIFEBOOK U9312X сканер вен ладони встроен в корпус рядом с клавиатурой и работает в бесконтактном режиме — ладонь не нужно прижимать к поверхности, достаточно поднести её на расстояние нескольких сантиметров. Это не только гигиеничнее сенсора отпечатка пальца, к которому прикасаются десятки раз в день, но и снижает механический износ самого модуля — в нём нет трущихся или контактных частей, которые изнашиваются или забиваются пылью.

Скорость аутентификации — менее одной секунды: с момента, когда ладонь оказывается в зоне считывания, до разблокировки системы задержка сопоставима с вводом четырёхзначного PIN-кода, но без необходимости что-либо набирать. Модуль работает через Windows Hello — стандартный интерфейс биометрической аутентификации Microsoft, а значит, интегрируется с корпоративными политиками безопасности, шифрованием диска и системами единого входа без дополнительного специализированного ПО и без переобучения IT-отдела.

Коротко о том, что отличает реализацию сканера вен в LIFEBOOK U9312X от типового биометрического модуля:

• Бесконтактный режим считывания — ладонь не касается поверхности сенсора
• Отсутствие трущихся и контактных частей, а значит, отсутствие механического износа модуля со временем
• Полная интеграция с Windows Hello без отдельного драйвера или клиентского приложения
• Совместимость с корпоративными политиками единого входа и шифрования диска
• Возможность настроить резервный способ входа (PIN или пароль) на случай нетипичного считывания

Место на рынке: редкая опция, а не маркетинговый ход

На российском рынке бизнес-ноутбуков LIFEBOOK U9312X остаётся редким примером устройства этого класса, где сканер вен ладони — заводская опция, а не внешний аксессуар. Большинство конкурентов ограничиваются сканером отпечатка пальца или инфракрасной камерой для распознавания лица — оба метода дешевле в реализации, но уступают по устойчивости к подделке, как показано выше в сравнении. Это скорее инженерный факт, чем повод для превосходных степеней: производитель принял решение встроить более дорогой и сложный модуль туда, где обычно ставят более простой.

В самой линейке LIFEBOOK подход к биометрии не унифицирован: в более компактном LIFEBOOK E5412, например, по умолчанию установлен классический сканер отпечатка пальца, а не сканер вен, — рабочее решение для задач с менее критичным профилем риска. Ноутбуки Fujitsu в целом строятся вокруг идеи, что уровень защиты должен соответствовать роли пользователя, а не быть одинаковым для всех моделей линейки: чем выше цена возможной утечки, тем больше смысла переплачивать за более устойчивую к подделке технологию. За этим решением стоит то же японское качество сборки и инженерный подход, который отличает любой бизнес-ноутбук Fujitsu LIFEBOOK, — вопрос только в том, какой именно модуль безопасности встроен в конкретную модель.

Распознавание лица, для сравнения, тоже уязвимо к обходу через качественную фотографию или видео, если система не оснащена сложным датчиком глубины, — именно поэтому Windows Hello с обычной веб-камерой считается более слабым уровнем защиты, чем сканер отпечатка пальца, а тот, в свою очередь, слабее сканера вен ладони. Встраивание сканера вен в бизнес-ноутбук, а не в отдельный корпоративный терминал, означает, что тот же уровень защиты, который раньше был доступен только в банке или на режимном объекте, теперь можно унести с собой в командировку.

Что дальше

Траектория удешевления: путь, который уже прошёл отпечаток пальца

Пять-семь лет назад сканер отпечатка пальца в ноутбуке был редкостью и поводом для отдельного абзаца в обзоре — сегодня это стандартная опция среднего ценового сегмента. Похожая траектория вероятна и для сканера вен ладони: по мере удешевления инфракрасных сенсоров и роста числа случаев компрометации отпечатка пальца в публичном пространстве спрос на более устойчивый метод будет расти, и он постепенно перейдёт из премиального сегмента в стандартную комплектацию — так же, как когда-то из премиального сегмента в массовый перешли SSD-накопители и IPS-матрицы.

Кому стоит выбирать эту защиту уже сейчас

Если для вас защита данных на ноутбуке — не абстрактный пункт в политике безопасности, а рабочая необходимость, которая влияет на репутацию и юридическую ответственность, стоит знать, что устройства с такой технологией уже существуют и продаются серийно, а не собираются штучно под заказ военных ведомств. Ждать, пока технология подешевеет и станет массовой, — разумная стратегия для личного смартфона, но не для рабочего ноутбука с базой клиентов или финансовой отчётностью, где риск утечки уже сегодня стоит дороже, чем разница в цене между сканером отпечатка и сканером вен.

Короткие вопросы по теме

Можно ли обмануть сканер вен ладони муляжом или протезом руки?

Нет — потому что сенсору нужен не статичный рисунок, а живой кровоток. Инфракрасный свет считывает гемоглобин в движущейся крови, и восковой муляж, силиконовый слепок или распечатанное изображение вен не дают нужного оптического отклика просто потому, что в них нет циркулирующей крови. Это принципиально отличается от отпечатка пальца, для которого достаточно воспроизвести статичный рельеф поверхности.

Что будет, если поранить ладонь или у человека нарушено кровообращение?

Небольшие порезы, мозоли и шрамы на коже почти не влияют на считывание, потому что сканер анализирует подкожный рисунок сосудов, а не поверхность кожи, — в этом одно из практических преимуществ перед отпечатком пальца, который такие повреждения искажают напрямую. При серьёзных нарушениях кровообращения или очень холодных руках точность действительно может снижаться, поэтому корпоративные системы обычно предусматривают резервный способ входа — PIN-код или пароль — на случай нетипичного считывания.

Нужно ли устанавливать отдельное программное обеспечение для работы сканера в LIFEBOOK U9312X?

Нет, дополнительное ПО не требуется: модуль работает через встроенный в Windows интерфейс Windows Hello, который система распознаёт автоматически при первой настройке. Это упрощает развёртывание в компании — IT-отделу не нужно устанавливать и поддерживать отдельный драйвер или клиентское приложение на каждом устройстве.

Если бы ваш рабочий ноутбук защищал именно рисунок вен ладони, а не отпечаток пальца — почувствовали бы вы разницу в первый же день, или только в тот момент, когда устройство попытаются украсть?