Vill du byta ditt BankID mot mobilens fingeravtrycksläsare?

Du ska betala i kassan på ICA. Eftersom du godkänt betalningar på ICA med fingeravtryck dras köpet direkt från ditt konto. Inget behov av att skriva en kod eller ta fram ett kort. Supersmidigt, eller hur?

För några månader sedan var jag på en workshop. En utredning beställd via Näringsdepartementet skulle analysera framtidens e-legitimationer. Konsulten som ledde arbetet beskrev en framtid där biometri (som fingeravtryck, ansiktsigenkänning eller andra liknande saker) ska spela allt större roll. Liknande resonemang återkommer ofta bland personer som har olika grader av politiska roller kring e-legitimationer. Man vill komma bort från svåra saker som kryptografi och ersätta det med något lättare, något man kan ta på.

Det bygger på en okunskap om hur datorer fungerar och det är inte bra om det kommer få påverkan på hur staten i framtiden ska hantera legitimering.

Tänk dig att du har en hemlig klubb. För att komma in i klubblokalen måste man säga det hemliga lösenordet. Om man har ett vanligt lösenord räcker det att någon står nära och hör lösenordet, så kommer hen också kunna säga det vid dörren och bli insläppt. Därför är lösenord inte särskilt bra. Då är det bättre med en kod, där alla som ska komma in vet att om den som står i dörren säger A ska man säga B, om den säger B ska man säga C osv. Då behöver den som står och lyssnar stå mycket längre innan hen förstår.

Det är ungefär så (fast krångligare och på ett sätt som inte går att lista ut om man tjyvlyssnar jättemånga gånger) som datorer tar reda på vem som är i andra änden. Den som ska bevisa vem den är har ett certifikat med en publik nyckel och en privat nyckel, som är en massa siffror. Sen har man en komplicerad algoritm där den som har den publika nyckeln kan ställa en fråga som bara den med den privata nyckeln kan besvara. För att det inte ska vara lätt att räkna ut den privata nyckeln behöver talen ha en massa speciella egenskaper.

Problemet med fingeravtryck är att de är som lösenord. De är inte en kombination siffror med en publik och en privat del och en komplicerad algoritm. De är ett exakt mönster som alltid är likadant. Den som har en tillräckligt bra bild på ditt fingeravtryck har ditt fingeravtryck för alltid. Du kan inte byta.

Det går dessutom inte att göra någon form av hemlig utmaning baserat på fingeravtrycket, eftersom det är konstant. Så fingeravtrycket går därför att spela in, och skicka samma sak till en dator långt borta gång på gång eftersom den inte kan veta om det är ett inspelat fingeravtryck eller ett alldeles nytaget.

Dessutom lämnar du ditt fingeravtryck lite här och var. Här finns en video som visar hur en person kopierar ett fingeravtryck från glaset på en iPhone och sedan kan logga in på iPhonen med det fingeravtrycket.

För den som lever under hot behövs ibland en ny identitet. Om fingeravtrycket används som identifiering innebär det att alla ställen där fingeravtrycket används kommer kunna koppla ihop personen med den gamla identiteten. Ett byte av identitet blir en omöjlighet.

Ett fingeravtryck kan därför aldrig ersätta ett certifikat. Datorkommunikation är helt centrerad kring certifikat och kryptografi. Att vilja ta bort dem är som att vilja ta bort el för datorer.

Det betyder däremot inte att fingeravtryck alltid är fel. De kan vara ett bra alternativ för att låsa ett certifikat eller en telefon (videon ovan till trots). För enheten som har kameran finns det fler parametrar att titta på, t.ex. om fingret har de färgskiftningar som kommer av blod som pulserar. Jämför med att identifiera någon genom att titta på den. Det är lätt att veta att du står framför rätt person om ni är i samma rum. Däremot går det inte att använda för att veta om du pratar med rätt person via en mobiltelefon – bilden personen skickade via MMS kan ju vara tagen vid ett helt annat tillfälle. Och även om fingeravtrycket inte är perfekt, som i videon ovan, så är det betydligt svårare att fejka än att tjyvkika på någons pin-kod över axeln. Dessutom är fingeravtryck lättare att använda än pin-koder.

Därför kan Windows Hello och iPhones touch ID  vara utmärkta lösningar för det de används för, men otänkbara för att ersätta e-legitimationer. Däremot kan fingeravtryck spela en roll för e-legitimationer i framtiden. Ditt mobila BankID är idag ett certifikat, låst av en pin-kod. Den koden kan bytas mot eller kompletteras med ett fingeravtryck – men det betyder inte att din e-legitimation blir ditt fingeravtryck.