Arvutimaailma toimetus

Hirmus palav on. Liiv on tulikuum, taevas ei ole ainsatki pilveriba ja päike kõrvetab otse lagipähe. Meres jahutamas käimine on kohustuslik vähemalt iga poole tunni tagant. Külm õlu on kui jumalate jook. Võtan rannakohvikust oma Rocki ja näitan makseterminalile nimetissõrme ette. Kahe sekundiga tuvastatakse sõrmejälg ja terminal prindib välja makse kinnituse.

Kas kõlab liiga hea, et tõsi olla? Jah, paraku on teil õigus. Sõrme maksevahendina ei aktsepteeri seni veel ükski meie rannakohvik ja ilmselt ei ole niipea selles osas ka muutusi tulemas. Kuid mitte tehnoloogia või potentsiaalse kasutajaskonna puudumise tõttu. Sõrmejäljeskanneriga mobiilne makseterminal on täiesti olemas. Masstootmises. Ja ka meil, siinsamas kontoris on mõned eksemplarid, millele meie tarkvara kirjutame.

Takistuseks on hoopis seadusandlus, mis on delikaatsete isikuandmete käitlemist inkvisitsiooni rangusega reguleerinud. Sõrmejäljendite kogumine kuskile eraandmebaasi on ilmselt hetkel mõeldamatu ja sellest võib tegelikult ka aru saada. Sõrmejälgede kontrolliks peaks selline andmebaas olema rohkem või vähem avalikult ligipääsetav, et iga jäätisemüüja saaks klienti sõrmejälje alusel autoriseerida. Mis annab omakorda peaaegu igale soovijale võimaluse mõne suvalise sõrmejälje omaniku tuvastamiseks... ebaseaduslik jälitustegevus missugune.
Siiski, kui maksed jääksid kaupmehe jaoks anonüümseks ja terminal saab vaid jah/ei- vastuse makse õnnestumise kohta, võiks selline asi põhimõtteliselt isegi toimida. Siinkohal paneksin lootused eesti IT-meeste ajupotentsiaalile. Lahendamatuid ülesandeid ei ole olemas ja idee on lihtsalt cool.

Teiseks sageli nimetatud probleemiks on sõrmejälgede võltsimine. Lihtsakoelisi sõrmejäljeskannereid on suudetud petta väga lihtsate vahenditega ja sellest on tekkinud ka arvamus, et sõrmejälje abil tuvastamine ei ole piisavalt turvaline. Tuvastustehnika areneb pidevalt edasi. Kaasaegsed skannerid ei ole enam lihtsalt väikesed koopiamasinad, vaid mõõdavad sõrme elektrilist läbitavust ja vererõhku ning pagan teab veel mida. Paneme siia võrdluseks kõrvale magnetribaga krediitkaardi, kus isik tuvastatakse palja silmaga allkirju võrreldes, ning vähemasti minu arvates võib sõrmevõltsijad jätta sellest mängust välja.
Ülalpool toodud fantaasiat sõrmega maksmisest on juba üritatud ka rakendada. Vähemalt kaks USA firmat pakuvad valmislahendusi. Näiteks võib tuua BioPay LLC, kelle arendatud maksesüsteem on ka reaalselt kasutusel üksikutes USA poodides. Täiesti oodatult on see tekitanud muret isikuandmete kaitse eest võitlevates organisatsioonides. Esialgu vaid vähelevinud tehnoloogia ohud kasvavad proportsionaalselt selle levikuga. Uus lähenemine biomeetriliselt autoriseeritud maksetele oleks tervitatud ja võiks olla järgmiseks killer application’iks à la Skype. Julged eesti mehed, miljardid eurod ootavad! Turg oleks lihtsalt tohutu ja potentsiaalsed kliendid oleksid sellised finantshiiud, nagu VISA ja MasterCard.

Praeguseks hetkeks on biomeetriline isikutuvastus juba küllaltki levinud ja seda viisil, mil sõrmejälgi kesksesse andmebaasi koguma ei pea. Nimelt, sõrmejälge hoitakse iga isiku enda kiipkaardil ning autoriseerimiseks tuleb esitada selline kaart ja näidata sõrme. Näiteid ei tule kaugelt otsida: meie endi uus kiibiga pass hoiab endas passiomaniku digitaalsel kujul fotot, ja kuuldavasti lähemas tulevikus ka sõrmejälgi. Hästi odav ning peamiselt Aafrika ja Ladina-Ameerika arengumaades kasutusel olev variant on veel selline, kus kiibi asemel on infokandjaks 2D-ribakood, trükituna näiteks ID-kaardi tagaküljele. 2D-ribakood suudab ilma probleemideta hoida veidi üle poole kilobaidi andmeid. Sinna mahuvad nii kaardi omaniku nimed, sünnikuupäevad jne kui ka kodeeritult kaks sõrmejälge (u 160 baiti) ja digitaalne signatuur andmete õigsuse kontrolliks. Portreefotot sel viisil küll digitaliseerida ei õnnestu, aga selle puudujäägi korvab kuhjaga 2D-ribakoodi trükkimise olematu hind. Keskmise afroaafriklase jaoks on ka paarieurone hinnavahe oluline ja kui veel vaadelda neid väheseid eurosid sadade miljonite väljaantavate dokumentide valguses, saavad 2D-ribakoodi eelised selgeks ka meiesugustele Elbonia tehnofriikidele.

Ribakoodis sisalduvad 2*160 baiti sõrmejälgede jaoks võib tunduda küll hirmus vähe, aga tegelikkuses on see täiesti piisav. Kõrgeima turvalisusastmega kontroll annab valepositiivseid vastuseid vaid 0,0000001% juhtudest, mis on märkimisväärselt väike arv. Soovituslik keskmine turvalisustase aktsepteerib valet sõrme 0,01 protsendil juhtudest. Neid toodud arve nimetatakse erialases kirjanduses FAR-iks ehk False Acceptance Rate. Ning nagu sageli juhtub, on FAR-i madalaks ajamisel ka kahetsusväärne kõrvalefekt, nimega FRR ehk False Rejection Rate. See, turvataset küll mittealandav, aga samas tüütu näitaja kirjeldab, kui sageli algoritm ei tunne ära tegelikkuses täiesti sobivat sõrmejälge. Mida paremat FAR-i soovid, seda viletsama (ehk siis suurema) FRR-i saad.

Mingit "õiget" FAR-i taset olemas ei ole, erinevatel rakendustel on erinevad nõudmised. Nii on näiteks kontoriukse avamiseks tähtis madal FRR, sest tööle peaksid kõik olulised inimesed jõudma iga ilmaga ja üksikud valepositiivsed vastused ei tekita olulist kahju. Samas peab mõrvajuurdluse puhul positiivse vastuse andmiseks olema surmkindel. Nii kindel, et lõplikku otsust ei usaldata masina ja algoritmi kätte ning rakendus (ka Eesti politseis kasutusel olev AFIS – Automatic Fingerprint Identification System) pakub spetsialistile välja nimekirja kõige sarnasematest sõrmejälgedest. Lõpliku otsuse teevad üksteisest sõltumatult kaks eksperti.

Sõrmejälgede kodeerimine 160 baidi sisse ei ole tegelikult üldsegi nii keeruline ülesanne, kui esmapilgul tundub. Esimene filter, mis vähendab sobivate sõrmede hulka märgatavalt, on sõrmejälje tüüp – aas, ring, tagurpidi aas jne. See on lihtne ja ka palja silmaga eristatav kriteerium.

Teiseks leitakse sõrmejäljelt selle nn iseloomulikud punktid (minutiae points). Neid on omakorda kahte tüüpi – joone lõppemise punktid ja joone hargnemise punktid. Iga sellise iseloomuliku punkti hoidmiseks kulub ka ilma pakkimist kasutamata kõigest kolm baiti, punkti x ja y koordinaadid ning joone kulgemise suund. 160 baidi sisse mahub selliseid vektoreid üle viiekümne ja sõrmejälje identifitseerimiseks on see enam kui piisav. Näiteks kriminalistikaekspertide jaoks on isikusamasuse tuvastamiseks piisav vaid kaheksa kuni kümne kokkulangeva punkti leidmine kahelt sõrmejäljelt.

Automaatsele biomeetrilisele isikutuvastusele üleminek toimub praegu kogu maailmas. Elektroonilised viisad, passid ja automaatne piirikontroll on juba tänapäev. Samalaadne muutus on ka maksesüsteemides vältimatu. Tõenäoliselt on vaid aja küsimus, mil võib panna oma nimetissõrme makseterminalile. Hetkega leitakse sinu sõrmelt iseloomulikud punktid ning võrreldakse neid andmebaasi salvestatud punktidega. Piisava hulga punktide kokkulangemise korral teeb masin otsuse, et näe, ongi sama mees ja teenindaja ulatab sulle külma kihiseva Rocki…

(Lühem versioon Proeksperdi blogis)