Публикация появилась в разделе «Разработка» на Хабре: автор под ником @momentics, строящий HW/SW-команды и продукты, описал, как он оказался в демозале неназванной компании, выпускающей решения СКУД на основе биометрии — распознавания лица, вен ладони и отпечатков, вместе с серверами и собственным ПО. Больше всего его заинтересовал бесконтактный сканер вен ладони: цикл от захвата изображения и выравнивания картинки до вычисления дескриптора и сверки отработал целиком, хотя пользователя в базе не было. Задавшись вопросом «а как бы я сделал такое сам», инженер восстановил логику построения защиты подобной системы и изложил её в развёрнутом материале.

Автор сознательно сузил тему до доверия и защиты от взлома, отказавшись разбирать оптику, проверку живости и внутреннее устройство свёрточных нейросетей, на которых, по его данным, основаны собственные алгоритмы компании. В качестве упрощения входом схемы принят готовый биометрический вектор — результат работы фото- и видеомодуля, — а аппаратная платформа терминала, встроенное ПО и центральный сервер СКУД считаются собственной разработкой. Ключевой тезис: опереться на «встроенную безопасность стороннего вендора» не получится, все подсистемы защиты закладываются в архитектуру с нуля, то есть по принципу security by design. Отдельно подчёркнуто, что биометрия принципиально отличается от пароля или сертификата: скомпрометированный шаблон вен ладони заменить нельзя, и для этого потребовалась бы пластика вен, которую в мире делают, по оценке автора, лишь одна-две команды.

В основе предложенного подхода лежит модель Zero Trust в её практической формулировке: шифровать то, что можно проверить, и доверять только тому, что нельзя заменить. Из этого следует необходимость аппаратного корня доверия — базы доверенных вычислений (Trusted Computing Base, TCB), которую инженер обязан минимизировать, а всё, что остаётся за её пределами, закрывать криптографией, цифровыми подписями, защитой от несанкционированного вмешательства и неизменяемым аудитом. Шифрование СУБД и защита сети передачи данных упомянуты как гигиенический минимум, а не как предмет проектирования, но в общей схеме они учтены. Главным документом проекта названа модель угроз и нарушителей (МУиН), встроенная в российском регулировании в модель угроз безопасности информации по методике ФСТЭК 2021 года: без неё объект с персональными данными не пройдёт экспертизу. Каждая точка пути данных — сенсор, терминал, канал, сервер и замок — рассматривается с трёх позиций: что может сделать нарушитель, чем он располагает и что ему противостоит.

Нормативную рамку автор выстраивает из международных и российских документов. МЭК 24745:2022 определяет, что считать защищённым биометрическим шаблоном, и задаёт его обязательные свойства — необратимость, отменяемость и несвязываемость, а ISO/IEC 30136 описывает методику измерения этих свойств. Со стороны российского права названы статья 10 152-ФЗ, требующая отдельного согласия субъекта на обработку биометрических персональных данных и полной оценки соответствия собственной системы с биометрией, и постановление Правительства № 1119 с четырьмя уровнями защищённости информационных систем персональных данных, где УЗ-1 предполагает самые строгие требования. Контекст публикации показателен: рынок СКУД с биометрией активно растёт, производители конкурируют по точности распознавания и скорости идентификации, тогда как вопросы защищённости канала от сенсора до сервера и устойчивости терминала к физическому вскрытию обсуждаются заметно реже.

Для российского рынка материал важен прежде всего тем, что переводит разговор о биометрических СКУД из плоскости «удобно и точно» в плоскость архитектурной ответственности. Автор перечисляет сценарии, которые обычно остаются за кадром презентаций: ночной демонтаж терминала со стены и работа с ним «человеком с большим паяльником», инсайдер, открывающий базу данных по ту сторону корпоративной сети, ИК-муляж ладони с подогревом на проходной, сговор с персоналом производителя. Каждый из этих сценариев должен найти отражение в модели угроз и нарушителей, а значит — в конкретных мерах защиты, от кода БЧХ до протокола OSDP. Такой подход задаёт планку и для заказчиков, которые при выборе системы всё чаще будут спрашивать не только о вероятности ложного пропуска, но и о том, как защищён шаблон и что произойдёт при компрометации терминала.

Сравнение с альтернативами напрашивается само: пароли и карты доступа можно перевыпустить, сертификаты — отозвать, а биометрический шаблон при утечке остаётся с человеком навсегда, поэтому защита шаблона и канала его передачи становится не опцией, а условием эксплуатации. Именно поэтому связка «необратимость — отменяемость — несвязываемость» из МЭК 24745 приобретает практический смысл: система должна уметь порождать новый защищённый шаблон из того же биометрического источника, не раскрывая исходные данные и не позволяя связать записи из разных баз. В российской практике это дополнительно упирается в аттестацию и сертификацию, где модель угроз становится обязательным приложением к проекту, а не формальностью.

Открытыми остаются вопросы, которые автор обозначил, но не закрыл: насколько малой может быть база доверенных вычислений в реальном терминале, как проверять целостность встроенного ПО после физического вмешательства и кто несёт ответственность за инсайдерский риск на стороне производителя. Ответы на них лежат в плоскости инженерных решений и нормативных требований одновременно, и именно там, судя по тону публикации, развернётся основная работа ближайших лет.