# Смотри мне в глаза!

Леонид Александрович Ашкинази

Смотри мне в глаза!


Индивидуальность: признавать или нет?


За болтами и гайками человек индивидуальность признает очень редко - а если и признает, то лишь для того, чтобы выкинуть. Не лезет на резьбу - в помойку. За некоторыми радиодеталями индивидуальность иногда признавалась на заре транзисторной техники в первый каскад рекомендовалось ставить транзистор с максимальным усилением (из имеющихся экземпляров) Ответственный за транспортировку блоков на стройплощадке им. Хеопса вряд ли признавал индивидуальность за "материалом", но хороший "стармех" на триреме уже ее учитывал - длинноруких гребцов сажал на конец весла. Идея индивидуальности с трудом пробивает себе дорогу и вообще многими применяется очень избирательно. С другой стороны, студенты биофака МГУ - по крайней мере, в некоторых группах - не возвращают "отработанных" крыс в виварий (где их пустят на корм следующим крысам), а разбирают по домам. Отбегав свои километры по лабиринтам и отплавав десятки метров в тазах, хвостатые переходят в категорию домашних любимцев, получают имена - признак индивидуальности.


Признать и опознать


Как только мы признаем индивидуальность, возникает проблема различения объектов - опознания. Опознать человека должны уметь милиционер, банковский сейф, охранник, кассир с вожделенной ведомостью, начальник, подчиненный, собутыльник и любимая женщина. То есть почти все. Испокон веку техника для опознания применяла либо то, что у человека есть (ключ, пропуск), либо то, что он знает (пароль), а человек для опознания применял предметы (пайцзу, разодранную открытку), знания (пароли) и, наконец, самое простое - самого себя. Мы узнаем своего знакомого не по тому, что он спрашивает нас: "Тут ли продается славянский шкаф?", а по внешнему виду, по свойствам человека. Машина до последнего времени этого как раз и не умела. Ключ можно украсть, пароль - подслушать, а личные качества человека украсть невозможно. Этой идеей и руководствовались те, кто в последние годы начал активно разрабатывать это направление (рис. 1). А также естественным человеческим желанием - жить. Желанием, чтобы трагедии 11 сентября и Беслана не повторились. Нигде и никогда.


Свойства, которые всегда с тобой


Свойства человека можно разделить на две группы - те, которые человек имеет при рождении: рисунок радужки или сетчатки глаза и отпечатков пальцев, форма ушной раковины, руки и лица, термография лица, расположение вен на запястье и тыльной стороне ладони. И те, которые приобретаются позже: подпись (форма, динамика, нажим), речь, кинематика клавиатурного набора (скорость, интервалы) и поворота ключа в замке. Для биологической идентификации используются и те и другие. Сегодня основной способ биоидентификации - анализ рисунка отпечатка пальца (рис. 2). Почему так получилось, понятно - метод традиционный, надежный. И еще как минимум лет десять эта ситуация не изменится, потому что в нескольких странах начаты крупные многолетние проекты построения системы идентификации по отпечаткам пальцев и начат переход на паспорта, содержащие биометрические данные. В некоторых государствах в такие паспорта, кроме отпечатков пальцев, планируется внести несколько биометрических характеристик кроме отпечатков пальцев - например, информацию о сетчатке глаза и форме лица. Но позже рынок перестроится - рисунок отпечатков пальцев был выбран интуитивно, по привычке, а техническими средствами может оказаться удобнее контролировать другие параметры. Кроме того, история распознавания образов гласит, что в некоторых ситуациях программа оказывается значительно эффективнее человека, а значит, может оказаться, что для компьютерной обработки надо брать не те признаки, которые эффективнее всего использует для опознания человек.


"Хунта был великолепным таксидермистом"


В каком-то ужастике жертве отрубают палец и им открывают соответствующее устройство. Но подобные страсти не обязательны. На основе отпечатка пальца - специально взятого или оставленного случайно - делается пленочный муляж, который наклеивают на палец другого человека. В зависимости от качества работы удается обмануть от 80% до 100% систем. Технологическую информацию мы не приводим - она есть в Сети. Правда, существуют устройства, которые проверяют влажность или сопротивление кожи (муляж не потеет), но и эти устройства можно обмануть. Например, подышать на муляж, чтобы он "вспотел". Устройствам, анализирующим сетчатку или радужку, подсовывают вместо глаза фотографию. Устройствам, рассматривающим лицо в целом, - опять же фотографию, только покрупнее. Даже те, которые анализируют мимику, удается обмануть - показывают им экран ноутбука с соответствующей убедительно улыбающейся картинкой, и программа радостно подтверждает - да, это Иван Иванович. Как живой с живыми... Конечно, когда рядом стоит мрачный охранник или радостно улыбающийся сотрудник аэропорта, такие фокусы не пройдут. Но если он все равно присутствует, то может и сам сравнить человека с фото в паспорте. Зачем тогда городить дорогущую технику? В итоге, хотя рынок биометрических устройств растет очень быстро, в серьезных организациях их пока вместо человека - контролера не применяют. По мнению скептиков, биометрия пока (пока!) обеспечивает скорее не надежность, а удобство. Если проанализировать, что пишет о биометрии пресса, то отчетливо видны три группы публикаций: радостные сообщения о разработке или установке новой замечательной системы (какая-то часть этих сообщений - не слишком скрытая реклама), более редкие истерические заметки о вторжении Большого Брата (этот аспект мы обсудим ниже) и самое, увы, редкое - осторожные реплики скептиков. Мол, надежность пока не очень, и результаты испытаний сильно зависят от условий, и если человека предъявлять с интервалом пять минут, то система его опознает с точностью 95% (что и пишет фирма-изготовитель), а если через полгода и по-другому причесав, то опознание происходит с точностью 50%. Как при бросании хорошей симметричной монетки... А человек опознает и через десять лет. По крайней мере, профессионал, который работает на этой работе.


Я милого узнаю по походке


Есть биологические свойства, которые фальсифицировать или очень трудно, или невозможно. Первое, что приходит в голову, - ДНК. Если ее анализ (до уровня идентификации человека) занимал бы несколько секунд, проблема была бы закрыта. По-видимому, невозможно "изобразить" запах. По крайней мере, собаки придерживаются именно такого мнения. Но проблема анализа запаха пока не решена. Известны попытки использования для опознания движения губ. По-видимому, не было попыток использовать отпечатки пальцев не рук, а ног (их труднее украсть). Это можно считать шуткой, но есть и более серьезные альтернативы, например рисунок кожи - расположение волосяных сумок. Есть устройства, которые опознают человека по тому, как именно он произносит ключевую фразу - пароль: так сказать, комбинация пароля и личных свойств (интонация, голос). Что касается милого, которого узнают по заплетающимся шагам после посещения питейного заведения, то мы действительно издалека опознаем знакомого именно по кинематике перемещения, по фигуре, походке. Для целей биометрии это тоже пока еще не использовалось - но первое сообщение о такой разработке уже появилось.


Обработка данных


Пусть метод выбран, измерения проведены и система выдала строчку цифр. Это - данный человек, который стоит, переминаясь с ноги на ногу, перед паспортным контролем. Что делать с полученными сведениями? Их можно сравнить с определенным набором цифр - тот ли это человек, за которого он себя выдает? Или со всей базой данных - кто этот человек? Заметим, что в литературе для этих процедур применяют два термина - "идентификация" и "аутентификация", однако общепринятого употребления еще не сложилось. Впрочем, наш журнал и должен писать о тех областях науки и техники, где "еще не сложилось". Дело не в терминах, дело в ошибках самого процесса. Причем ошибки бывают, как принято говорить, "первого рода" и "второго рода". Ошибка первого рода - это отвергнуть "своего", или, как ее называют, "ложная тревога". Ошибка второго рода - это пропустить "чужого", ее называют "пропуск атаки". Современные биометрические системы имеют очень большой разброс этих характеристик: уровень ошибок первого рода от 0,0001% до 0,1%, а уровень ошибок второго рода - от 0,0001% до 5%. Уровень ошибок, как уже указывалось, сильно зависит от способа испытаний, поэтому к данным, которые приводят фирмы-изготовители, надо относиться очень осторожно. Уровни ошибок двух типов связаны - всегда есть некий параметр, его называют "порог срабатывания", от которого зависят частоты ошибок. Причем если мы изменяем порог и количество ошибок одного типа падает, то другого, естественно, растет. Порог устанавливается так, чтобы суммарные потери - то есть сумма произведении частот ошибок на их цены - были минимальны. Если мы не пытаемся заменить человека автоматической биометрической системой, а используем систему вместе с человеком, то идеология становится другой. В этом случае выгодно устанавливать порог тревоги очень низко, чтобы система "верещала" при малейшем подозрении. Тогда она будет пропускать 90% сразу, а остальных направлять к человеку. Она сама по себе будет работать "плохо", но снижая нагрузку на человека на порядок! В этом случае он станет работать надежнее. Заметим, что система распознавания, предназначенная для работы первым барьером перед человеком-распознавателем, должна не только иметь другой порог срабатывания. Она может иметь и другой набор признаков, нежели система, работающая в одиночку. Например, разумно, чтобы она контролировала то, что человек контролирует плохо.


Поговорим о психологии


Кто и почему выступает против биометрии и вообще против любого дополнительного контроля? Не будем о тех, кто просто отрабатывает зарплату, поговорим о сути дела. Человек вообще не любит, чтобы ему мешали. Он хочет пройти к себе на работу, не выстаивая перед охранником. Он хочет сесть на свое место в самолете, не снимая обувь и не созерцая, как потрошат его сумку. Когда-то я работал с высоким напряжением. Это опасно, и существуют правила, сложные и длинные, мы регулярно сдавали экзамены, а потом иногда нарушали. И последствия тоже иногда бывали, даже летальные. С одной стороны - желание сделать побыстрее и попроще, не ходить, не отключать, не начинать эксперимент заново, не ждать напарника и т. д. С другой стороны - осторожность и разумность. И без исторических экскурсов ясно, что идея ценности человеческой жизни не была в числе главных в нашей жизни. Зато "и как один умрем в борьбе за это" не пели разве что в яслях. Это часть нашей ментальности, и так будет или много десятков лет, или всегда. Достаточно посмотреть, как мы переходим через дорогу и как некоторые из нас по ней ездят. Поэтому идея, что человек должен в какой-то мере поступиться удобствами и свободой ради безопасности, не слишком нам близка. Вторая сторона вопроса, о которой чаще всего и говорят, - вторжение в личную жизнь. Но сам по себе биометрический контроль не сообщает обо мне никому никакой новой информации. Если я прохожу к себе в офис или в самолет, то и так известно, что это я. Поэтому в Америке, при всем их уважении к "прайвеси", от 80% до 90% опрошенных хотят, чтобы биометрия применялась шире, и полагают, что биометрический контроль сделает жизнь безопаснее, если его использовать для проверки при покупке оружия (90%), при использовании кредитной карты для покупок (85%), при использовании банкомата и при доступе к документам с личной информацией (80%). Почему же приходится встречаться с резко негативной реакцией? Потому, что человек предполагает: наличие в системе вообще какой-то информации о нем может быть использовано для контроля, слежки, вторжения в личную жизнь и т. д. Те, у кого есть горький исторический опыт, относятся к биометрии настороженно. Но, похоже, столкнуться с ней придется нам всем, поскольку цивилизованные страны явно идут по этому пути, ездить за границу многие россияне хотят, а кого впускать и кого не впускать и по каким документам - всегда решает принимающая сторона. И еще потому, что у людей имеется естественное человеческое желание - жить.