Biyometrik Sistemler üzerine...

Ünlü eğitim bilimci Maslov’un gereksinimler hiyerarşisinin ikinci basamağını güvenlik kavramı oluşturmaktadır.Eski insanlar için güvenlik vahşi hayvanlardan korunmak ve yaşamını çeşitli tehditlerden korumak iken,modern insan için güvenlik tanımı değişmiştir.

Yaşadığımız çağ bilişim çağı olduğu için bilgi kavramının önemi artmıştır.Bilgi değer anlamına geldiği için bu değeri muhafaza etmek de önem kazanmıştır.İnternet’in de yaşamımıza girmesiyle bilgiye ulaşmak kolaylaşmıştır.Bilgiye olan gereksinim arttıkça bilgi güvenliği de aynı doğrultuda artmıştır.Her bilginin herkese açık olmasının bazı sakıncaları vardır.Özellikler iş,finans ve e-ticaret ortamlarında bilgi güvenliği son derece önemlidir.

Bu yüzden bilgi güvenliği için günümüzde bir çok çalışma yapılmaktadır.Bu konuda ki en son yaklaşım ise biometrik tanımaya dayalı güvenlik sistemleridir.Çünkü biometrik yaklaşım insanoğlunun doğasında ki benzersizlik prensibine dayanır.İnsanlar diğer insanlardan parmak izleri,yüz ve el geometrileri,irisleri,ses tonları ile birbirlerinden farklılık gösterirler.Bu farklılık üzerine yapılan bir güvenlik sistemi kuşkusuz diğer sistemlere göre üstünlükler taşıyacaktır.

Ülkemiz için biometrik uygulamalar son derece sınırlı iken Amerika Birleşik Devletlerinin başını bir çok ülkede bu temelde bir çok uygulama geliştirilmektedir.ABD pasaportu bile biyometrik hale getirilmiş özellikle ülkeye giriş çıkışlar parmak izi tanısına dayanmıştır.Bunun yanında bir çok banka pilot bölgeler seçerek müşterilerine parmak izi sensörlerü dağıtmış ve e-ticaret ortamnı güvenli hale getirmeyi amaçlamıştır.Sadece ABD’de e-ticaret ortamında dolaşımda ki para bir trilyon dolar civarında tahmin edilmektedir.Bu da bilgi güvenliğin önemini göstermektedir.

YAZININ AMACI

Dijital bilgi güvenliği için bir çok yöntem geliştirilmiştir.Bu yöntemler kriptoloji
algoritmaları,güvenlik protokol ve servisleri (SSL,Kerberos– X.509 kimlik kanıtlama),dijital
imzalama(DDS,RSA),özel kodlar (hash, digest, MAC) şeklinde özetlenebilir.
Bu yazının amacı , biometrik sistemlerin özellikleri anlatmak ve parmakizi tanımaya
dayalı biometrik bir sistemin ERP gibi bir uygulamaya nasıl entegre edileceği hakkında fikir
verecek bir uygulamayı tanımamaktır.


İş ortamında kullanılacak bir ERP yazılımında erişim kontrollerini ve haklarını klasik şifre korumalı yöntemler yerine biometrik parmak izi ile sağlayarak klasik sistemlere güvenli bir alternatif olacak bir bilgisayar programının tanımlanmasından oluşmaktadır.

BİYOMETRİK SİSTEMLER

Biometrik, bir kişinin fizyolojik veya davranışsal karakteristiğini temel alan ve
kişilerin tanınması işleminin otomatikleştirilmesidir.Biometrik tanımlamada kişilerin ölçüt
özellikleri kişinin; parmak izi, el veya yüz geometrisi , el yazısı, irisi, retinası ve damarı
olarak sayılabilir. Biometrik teknolojiler yüksek güvenlikli tanımlama uygulamalarında ve
kişi doğrulama çözümlerinde temel olmaya başlamaktadır.Güvenlik basamağı oyukları ve
sahtekarlığın arttığı günümüzde yüksek güvenlikli tanımlama ve kişi doğrulama teknoloji olan
biometrik sistemlere ihtiyaç artmaktadır.

Biometrik sistemleri temel alan çözümler gizli mali işlemler ve kişisel veri gizliliğini
sağlayabilecek yapıdadırlar.Biometrik sistemlere devlet daireleri,askeri kurumlar,finansal ve
ticari uygulamalarda ihtiyaç vardır.Kurumsal ağ güvenlik yapıları,güvenli elektronik
bankacılık,mali işlemler,parekende satış,hukuki yürütme,sağlık ve sosyal servislerde daha
şimdiden biometrik teknolojilerden faydalanmaktadırlar.
Biometrik temelli yetkilendirme ve tanıma uygulamalarına istasyonları,ağ ve domain
erişimi,uygulama logon,kaynaklara uzak erişim,WEB ve işlem güvenliği dahil edilebilir.

Bu elektronik işlemlerde güven(trust) küresel ekonominin sağlıklı büyüyebilmesi için
zorunluluktur.Tek başına kullanılan ya da akıllı kart,şifrelenmiş anahtarlar ve sayısal
imzalama gibi diğer teknolojilerle entegre edilmiş biometrik sistemler günlük yaşamımızı
kaplamaya başlayacaktır.Kişi tanıma ve yetkilendirme için biometrik sistemlerin kullanımı şu
an güncel metotlar olan şifre ya da PIN kullanımdan daha güvenli ve kullanılışlıdır.Bundan
dolayı biometrik sistemler bireye özgü eylemlere işaret eder.Çünkü güncel sistemlerde şifre
ya da kart başkası tarafından kullanılabilir veya şifre hatırlamak veya kart taşımak
gerekebilir.Biometrik sistemlerde ise kişi dışında başka yollarla sisteme erişmek mümkün
değildir.Ayrıca şifre hatırlamaya da gerek yoktur.Bu da biometrik sistemleri sosyal yönden
daha kabul edilebilir kılmaktadır.

Biometrik Sistemlerin Çalışması

Biyometrik sistemler tarayacı gibi sensörlerden elde edilen bilginin dijital hale getiren
yazılımlardan ve analiz gerektiğinde karşılaştırma yapabilmek için eski kayıtların tutulduğu
bir veri tabanından oluşur.Biometrik sistemlerde iki önemli unsur bulunur.Bunlar
kayıt tanımlamadır ve onaylamadır.

Dış dünyadan sensörlerle alınan biometrik bilgi sayısal olarak işaretlenir ve bu bilgi
küçük ama anlamlı sayısal ifadeler olarak bir şablona dönüştürülür.Uygulama çeşidine göre
bu şablon veri tabanı(Access,MySql,Oracle) olabileceği gibi kullanıcıya verilen bir kart da
olabilir.Tanımla bölümünde ise aynı kayıt işleminde olduğu gibi dış dünyadan alınan
örneklenmiş ve sayısal hale getirilmiş şablon daha önce veri tabanına kaydedilmiş şablonda
aranır ve kıyaslama yapılarak tanımlama yapılır.

Tanımlama ve Onaylama

Biometrik bir sistemde iki farklı modda işlem yapılır.İlk basamakta
“Ben kimim?” sorusuna cevap aranır.Kullanıcı kendine ait biyometrik bir özelliği sisteme
tanıttıktan sonra , bu özellikten bir Şablon çıkartılır.Bu Şablonin doğru elde edilmesi
önemlidir.Bu Şabloni elde etmek için doğruluk kontrolü yapılır ve bu Şablonin mevcut
veritabanında olup olmadığı araştırılır.(Matching)Bu araştırma/arama esnasında yeni
oluşturulan Şablonin veri tabanında ki mevcut Şablonlere benzerlik derecesi belirtilen eşik
değerinin üstünde ise kullanıcının veritabanında olduğunu , elde edilen Şablon eşik değerinin
altında ise kullanıcının veri tabanında kayıtlı olmadığını gösterir.

Onaylama ya da doğrulama ( authentication ) işleminde ise “ben gerçekten iddia
ettiğim kişi miyim?” sorusuna cevap aranır.Tanımlamanın aksine kullanıcı kendine ait bir
parola ya da tanmlı kart ile sisteme kendi özelliklerinin olduğu bir yer belirtir.Bu işlemin
ardından kullanıcının biometrik özellikleri sistem tarafından alınır.Elde edilen Şablon , daha
önce kayıtarda ki Şablonle kıyaslanır ve boolean mantığının doğru(True) ya da yanlış(False)
sonucu üretilir.

Şablon Yönetimi

Biyometrik bir Şablon bireyin biyometrik özelliklerinin sayısal ifadesidir.Farklı
algoritmalar ve farklı metotlar Şablonlerin farklı boyutlarda olmasını sağlar.Ayrıca Şablonin
sistemde nasıl temsil edileceği ,nasıl temsil edileceği ve nasıl saklandığı da şablon
yönetiminde dikkat edilmesi gereken bir diğer unsurdur.Genelde daha küçük boyutlu şablonlar
oluşturabilen sistemler kapasiteye ve performansa olan pozitif etkilerinden dolayı daha
avantanlıdırlar.Örneğin elde edilen bir parmak izi , 150 Kb lık bir resim dosyası halinde
saklandığını ve karşılaştırıldığını düşünelim.Bu durumda büyüyen veri tabanı binlerce
kullanıcının kayıtlı olduğu bir sistemi büyük ölçüde yavaşlatacak;sisteme kayıt ve doğrulama
işlemi büyük ölçüde artarak hem zaman kaybına hem de performans kaybına sebep olacaktır.

Bu sebepten dolayı şu dört sistemden en uygun olanı tercih edilir.

• Şablon sistemin kendi içinde saklanır.
• Kapalı bir ağda şablonlar dağıtık veri tabanları üzerinde saklanır.
• Şablonlar tek ve merkezi bir veritabanında saklanır gerektiğinde biometrik cihazın
• hafızasına indirgenebilir.
• Şablon akıllı kart (match on card ) veya jeton (token) gibi taşınabilir bir araç üzerinde
• saklanır.

İlk yöntemde şablonlar cihaz üzerinde ki hafızada tutulur.Hafıza kapasitesinin
kullanıcı sayısını karşıladığı sistemler için çok uygundurlar.Bu tür sistemlerde şablon ve işlem
bilgilerinin yedeklenebileceği bir ünite ve bir iletişim portu bulunmalıdır.Haberleşme popüler
haberleşme standartları ile yapılır(RS 232 gibi) Yedekleme yapılarak sistemin kriz anında
korunması amaçlanır.

İkinci yöntemde ise bir ağda bulunan her bir biometrik ünitenin üzerinde bulunan veri
tabanlarının ağda paylaşımı ile oluşan bir yapı vardır.Örneğin her biri 500 şablon saklayabilen
5 adet ünitenin bulunduğu biometrik sistemde veri tabanının toplam büyüklüğü 2500
şablondur.Kullanıcı 2 numaralı okuyucu ünitesinden PIN numarası ya da ID kartını tanıtıp
sisteme girmek istediğinde ilk olarak 2 nolu ünite kendi veri tabanında arama yapar.Eğer
kullanıcının veritabanında olmadığı anlaşılırsa diğer ünitelere bu kullanıcının veritabanlarında
olup olmadığına bakmaları için bir mesaj gönderilir.Diğer birimlerden olumlu cevap gelirse
kullanıcı tanımlanmış olur.Bu tür birimlerden biri ağ yönetiminden ve veritabanı
yedeklemesinden sorumludur.Genellikle bu işlemler bilgisayarlar tarafından yapılır.

Üçüncü yöntemde ise biometrik Şablonlar merkezi bir veritabanı tarafından tutulur ve
tanımlama isteği geldiğinde kullanıcı ünitesine aktarılır.Bu yöntem seçilen biometrik ünitenin
yapısından bağımsız geniş ölçekli bir veritabanının kullanımına imkan verir.Bu yapıya bağlı
birimlerden birine tanımlama isteği geldiğine,bu birim merkezi veri tabanına bu isteği
ulaştırır.Merkezi ünite ise gelen çağrının ve Şablonun türüne göre veritabanında arama ve
kıyaslama işlemi yapıp sonucu istemci birime gönderir.


Dördüncü ve son yöntemde ise biometrik şablon taşınabilir bir saklama aracında taşınır
ve sorumluk kullanıcıya bırakılır.Taşınabilir araç basit bir manyetik kart,temaslı yapıda
üzerinde chip olan bir kart ya da temasın olmadığı RF (Radio Frequency) kart olabilir.Bu
yöntemde kullanıcı kendi Şablonini yanında taşır ve gerektiğinde biometrik üniteye
yükledikten sonra makineden karşılaştırma yapmasını bekler.Bu sistemde ağa bağlılık
azaldığı için kullanıcı ağ trafinden etkilenmeyecektir.Bunun yanında ağla bağlantı az olduğu
için güvenlik de artar.

Biometrik Sistemlerin Performans Standartları

Biometrik endüstri tarafından geniş bir biçimde kullanılan performans standartları
çeşitli biyometrik sistemlerin etkinliğini ölçmek için kullanılır.Bu standartlar her hangi bir
biometrik sisteme özgü değildir.Bütün biometrik teknolojilere uygulanabilirler.Bu standartlar,

• The False Acceptance Rate(FAR); yanlış kabul oranı,
• The False Rejection Rate(FRR); yanlış olanı red etme,
• The Equal Error Rate(EER) ; eşit olan hata,
• The Failure To Enroll Rate; sisteme giriş başarısızlık oranı,
• The Ability To Verify Rate ;doğrulama kabiliyeti oranından

meydana gelir.

Şu an biometrik ürün imalatçıları tarafından açıklanan performans performans standartlarını
düzenleyen ve gözlemleyen herhangi bir yönetim birimi yoktur.Buna bağlı olarak biometrik
endüstrisinde imalatçıları arasında ürünlerin performansı hakkında bir tartışma
vardır.Örneğin imalatçı performans standartlarının sonuçlarını abartılı
gösterebilirlerdi.Biometrik üreticiler gerçek nesneleri kullanarak ürünlerini geliştirmelerine
rağmen test ortamı gerçek hayatta ki gerçekçiliğe ulaşamadı.Bu yüzden bu sistemlerin
standartlarını tanımlamak ve gözlemek için Uluslar arası Biometrik Endüstri Birliği ve
BioAPI Konsorsiyumunun kurulmasına gidecek yol açılmış oldu.

Biometrik bir sisteme geçmeden ve sistemi tanımlamadan(implementation) önce üreticiler
tarafından tanımlanmış performans standartlarına bakmak gereklidir.
Şimdi biometrik sistem performans standartlarını inceleyelim;

Hata Kabul Oranı (The False Acceptance Rate (FAR)) :Tip II Hataları da denebilir. Bu
performans standardı biometrik sistemin bir sahtekarı sisteme kayıtlı biri olarak yanlışlıkla
tanıma ihtimalini ve sisteme erişimini ifade eder.

Hata Reddetme Oranı (The False Rejection Rate (FRR)) :Tip I hataları da denebilir. Doğru
kişinin biometrik sisteme girişinin reddedilme ihtimalini ifade eder.

Eşit Hata Oranı (The Equal Error Rate): FAR ve FRR oranlarının aynı ya da eşit olması
ihtimalini ifade eder.Eşit hata oranı aynı zamanda Çaprazlama oranı olarak da bilinir.FAR ve
FRR değerinin eşit olması istenen çok az uygulama vardır.Aşağıda ki grafikte Eşit Hata Oranı
(EER) nin nerde olduğu gösterilmiştir.

Sisteme Giriş Başarısızlık Oranı (The Failure To Enroll Rate(FTE)) ,kısaca kişinin
biometrik sisteme giriş yapamama olasılığının oranıdır.Bunun sebebi kişinin biometrik
sistemin yakalayacağı ayırt edici bir özelliğe sahip olmaması olabilir.Örneğin işimizde
çalışan bir işçi biometrik sisteme kendini kaydedemeyebilir.Bunun sebebi kişinin benzersiz
bir parmak izi ya da el geometrisine sahip olmamasından kaynaklanabilir.Gerçi Sisteme Giriş
Başarısızlık Oranı genellikle çok düşük oranlarda olmasına rağmen,herhangi bir kullanıcımız
sisteme bu yüzden giremez ve kullanamazsa sistemin back up unu almak doğru davranış
olacaktır.

Doğrulama Yeteneği Oranı(The Ability To Verify Rate – ATV). Bu performans standardı
biometrik sistem tarafından doğrulan yüzdesini gösterir . Örneğin biometrik sistem tarafından
başarılı bir şekilde tanınarak doğrulanan işçilerimizin oranın yüzdesi Doğrulama Yeteneği
Oranıdır(ATV).Bu değer aynı zamanda FTE ve FRR nin kombinasyonu şeklinde de olabilir.

Not:Bu bilgiler bitirme tezimden özetlenmiştir.
İkinci yazımda parmakizi eşleşme hakkında bilgiler olacak.