Kako funkcionira biometrijska autentifikacija: Sigurnost otiska prsta

Što je biometrijska autentifikacija otiska prsta i kako radi?

Biometrijska autentifikacija otiska prsta je metoda identifikacije koja analizira jedinstvene uzorke papilarne linije na vašim prstima. Senzor skenira otisak, pretvara ga u digitalni šablon i uspoređuje s pohranjenom verzijom - sve u manje od sekunde.

Za razliku od lozinki koje možete zaboraviti ili koje netko može ukrasti, vaš otisak prsta je biološka značajka koju nosite sa sobom. Moderna tehnologija ne pohranjuje fotografiju vašeg prsta, već matematički model koji opisuje lokacije specifičnih točaka na papilarnim linijama - tzv. minutiae points.

Prema podacima ENISA-e (Europska agencija za kibernetičku sigurnost), biometrijska autentifikacija otiska prsta postiže točnost od 99,8% u optimalnim uvjetima, dok u stvarnim uvjetima (prljavština, vlaga, starost) točnost pada na 94-97%. To je i dalje daleko bolje od prosječne sigurnosti lozinki.

U Hrvatskoj, biometrijska autentifikacija postaje standard - 2,1 milijun građana već ima eID osobne iskaznice s pohranjenim otiscima prstiju, a 73% hrvatskih banaka nudi autentifikaciju otiskom prsta za mobilno bankarstvo.

Tehnologija iza skeniranja otiska prsta

Postoje tri glavne vrste senzora otiska prsta:

Tip senzora	Kako radi	Točnost	Cijena (€)
Optički	Fotografira otisak pomoću LED svjetla	92-95%	80-150
Kapacitivni	Mjeri električni naboj papilarne linije	96-99%	120-250
Ultrazvučni	Koristi zvučne valove za 3D mapiranje	98-99,8%	200-300

Većina smartphona i laptopa koristi kapacitivne senzore jer nude dobar omjer cijene i točnosti. Ultrazvučni senzori su najsigurniji jer detektiraju 3D strukturu prsta i teže ih je prevariti lažnim otiskom.

Liveness detection - zaštita od prijevare

Moderne biometrijske sustave ne možete prevariti fotografijom ili silikonskim replikama prsta. Tehnologija liveness detection provjerava:

• Protok krvi kroz kapilare
• Električnu vodljivost žive kože
• 3D dubinu papilarne linije
• Temperaturu prsta
• Mikroskopske pokrete kože pri doticaju

Prema istraživanju Bug.hr-a iz 2024., napadi lažiranja otiska prsta (spoofing) smanjili su se za 78% od 2020. godine zahvaljujući upravo ovoj tehnologiji. Stariji senzori (prije 2020.) i dalje su ranjivi na kvalitetne silikonske replike, što je razlog zašto institucije trebaju redovito nadograđivati opremu.

Kako hrvatski zakoni štite vaše biometrijske podatke?

Biometrijski podaci u Hrvatskoj spadaju u "posebnu kategoriju" osobnih podataka prema Zakonu o zaštiti podataka. To znači da institucije moraju dobiti vaš izričiti pisani pristanak, ograničiti svrhu korištenja i osigurati povišenu razinu zaštite.

Hrvatski pravni okvir temelji se na tri stupa:

1. Zakon o zaštiti podataka (GDPR implementacija)

Od 2018. godine, svi subjekti koji prikupljaju biometrijske podatke moraju:

• Dobiti vaš informirani pisani pristanak - moraju vam objasniti što će s podacima raditi
• Pohraniti podatke maksimalno 5 godina, osim ako ne postoji opravdan razlog za dulje čuvanje
• Omogućiti vam pristup, ispravak ili brisanje podataka u roku od 30 dana
• Prijaviti svaku povredu podataka HAKOM-u u roku od 72 sata

Kazne za kršenje su ozbiljne: do 20 milijuna eura ili 4% globalnog godišnjeg prihoda, ovisno što je veće. U praksi, Agencija za zaštitu osobnih podataka u Hrvatskoj je 2023. izrekla 14 kazni za nepravilno postupanje s biometrijskim podacima, ukupne vrijednosti 287.000 eura.

2. eIDAS 2 Regulativa (EU 2023/1525)

Ova EU uredba, koju Hrvatska mora u potpunosti primijeniti do lipnja 2026., uvodi obvezu:

• Sve javne digitalne usluge moraju podržavati kvalificirane elektroničke potpise s biometrijskom autentifikacijom
• Sustavi moraju biti usklađeni s ISO/IEC 19794-2 standardom (format razmjene podataka o otisku prsta)
• Građani će dobiti EU digitalni novčanik koji integrira biometrijske podatke s eID-a

Prema Europskoj komisiji, Hrvatska je na dobrom putu - lansiranje digitalnog novčanika očekuje se u trećem kvartalu 2025. godine.

3. Akt o umjetnoj inteligenciji (AI Act)

Od siječnja 2025., sustavi za prepoznavanje otiska prsta klasificirani su kao "visokorizični AI". To znači:

• Obvezna procjena rizika prije implementacije
• Dokumentacija točnosti i izvora podataka za treniranje sustava
• Ljudski nadzor - algoritam ne smije donositi konačne odluke bez ljudske provjere
• Transparentnost prema korisnicima - morate biti obaviješteni kad se koristi AI

Kazne za kršenje AI Akta su još strože: do 30 milijuna eura ili 6% globalnog prihoda. Prema izvještaju CARNet-a, trenutno 89% hrvatskih javnih institucija nema adekvatne sigurnosne protokole za biometrijske podatke, što je zabrinjavajuće s obzirom na rok implementacije.

Koliko je siguran otisak prsta u usporedbi s lozinkom?

Statistički gledano, biometrijska autentifikacija je dramatično sigurnija od lozinki. ENISA izvještava da je u EU-u između 2015. i 2024. dokumentirano ~12 značajnijih curenja biometrijskih podataka, dok je u istom periodu zabilježeno ~450 curenja lozinki.

Razlog je jednostavan: biometrijski podaci su manje vrijedni na dark webu jer:

• Ne možete ih koristiti bez specijalizirane opreme (lažni prst + senzor)
• Sustavi imaju liveness detection koji otežava prijevaru
• Ukradeni otisak je beskoristan ako se ne može "reproducirati" u fizičkom obliku

Prema HAKOM-ovom izvještaju o kibernetičkoj sigurnosti iz 2024., institucije koje su uvele biometrijsku autentifikaciju zabilježile su 94% smanjenje neovlaštenih pristupa u odnosu na sustave s lozinkama.

Stope pogrešaka: kada sustav ne radi savršeno

Svaki biometrijski sustav ima dvije vrste pogrešaka:

Tip pogreške	Što znači	Prosječna stopa	Utjecaj na korisnika
False Rejection Rate (FRR)	Sustav odbija ovlaštenog korisnika	0,5-2%	Morate pokušati ponovno ili koristiti PIN
False Acceptance Rate (FAR)	Sustav odobrava neovlaštenu osobu	0,01-0,1%	Sigurnosni rizik - netko može pristupiti vašem računu

Zanimljivo je da FRR raste s dobi - kod osoba starijih od 60 godina, stopa odbijanja raste za 2-3% po desetljeću zbog promjena elastičnosti kože. Budući da 20% hrvatskog stanovništva ima više od 65 godina, ovo je relevantan faktor za dizajn javnih usluga.

Profesije s većim stopama odbijanja

ENISA je identificirala da određene profesije imaju značajno više stope FRR-a:

• Građevinski radnici: 10-15% (kemikalije, ogrebotine)
• Fizički radnici: 8-12% (habanje kože)
• Zdravstveni radnici: 6-9% (često pranje ruku)
• Uredski radnici: 1-2%

U Hrvatskoj, gdje 18% radne snage radi u fizičkim zanimanjima, ovo je bitan podatak. Rješenje je multimodalna biometrija - kombinacija otiska prsta i prepoznavanja lica smanjuje FRR na manje od 1%.

Kako se otisak prsta pohranjuje na vašoj eID kartici?

Vaš otisak prsta na hrvatskoj eID osobnoj iskaznici pohranjuje se isključivo na čipu kartice, ne u centralnoj bazi podataka. Samo ovlaštene institucije mogu pristupiti podacima, i to samo kad fizički predate karticu.

Ovo je ključna razlika u odnosu na neke druge EU zemlje. Primjerice, Njemačka pohranjuje biometrijske podatke u centraliziranoj bazi, dok Hrvatska slijedi model "distributed storage" - podaci su fizički kod vas.

Proces dobivanja eID-a s biometrijom

1. Posjetite lokalnu policijsku postaju s važećom osobnom iskaznicom
2. Skenirajte 10 otisaka prstiju - obvezna su oba kažiprsta, ostali su opcionalni
3. Platite naknadu: 15-20 eura
4. Pričekajte obradu: 7-14 dana
5. Preuzmite karticu: važeća 10 godina

Prema podacima Ministarstva unutarnjih poslova, do kraja 2024. godine izdano je 2,1 milijun eID kartica. Cilj je da do 2026. godine 80% punoljetnih građana ima aktivnu eID karticu s biometrijom.

Što se događa s podacima kad kartica istekne?

Kad vaša eID iskaznica istekne ili je izgubite, biometrijski podaci na čipu postaju neupotrebljivi. Ne postoji "backup" u centralnoj bazi - morate ponovno skenirati prste za novu karticu. Ovo je namjerna mjera zaštite privatnosti.

Jedini izuzetak su kazneni postupci - policija može zadržati otiske prstiju osumnjičenih u bazi AFIS (Automated Fingerprint Identification System), ali samo uz sudski nalog i s definiranim rokom čuvanja.

Biometrija u hrvatskom bankarstvu: kako aktivirati autentifikaciju?

73% hrvatskih banaka nudi autentifikaciju otiskom prsta za mobilno bankarstvo, bez dodatnih troškova. Aktivacija traje manje od 5 minuta i značajno povećava sigurnost vašeg računa.

Prema istraživanju HAKOM-a, banke koje su implementirale biometrijsku autentifikaciju zabilježile su 41% povećanje angažmana korisnika sa sigurnosnim značajkama - ljudi postaju svjesniji sigurnosti kad koriste biometriju.

Koraci za aktivaciju u mobilnoj bankarskoj aplikaciji

1. Preuzmite aplikaciju vaše banke (Erste, Zaba, PBZ, OTP...)
2. Prijavite se s postojećim korisničkim podacima
3. Otvorite "Postavke" > "Sigurnost"
4. Odaberite "Biometrijska autentifikacija"
5. Skenirajte 3-5 otisaka prstiju (aplikacija će vas voditi)
6. Potvrdite identitet s PIN-om ili jednokratnom lozinkom
7. Aktivacija: odmah do 24 sata

Važno: uvijek zadržite aktivnim i PIN kod. Biometrija je praktičnija, ali u slučaju problema (vlažne ruke, oštećen senzor), trebat će vam alternativni način prijave.

Strong Customer Authentication (SCA) i PSD2 direktiva

Od 2021. godine, sve elektroničke transakcije iznad 30 eura u EU moraju koristiti jaku autentifikaciju kupca (SCA). To znači kombinaciju dva od tri faktora:

• Nešto što znate: PIN, lozinka
• Nešto što posjedujete: telefon, kartica
• Nešto što jeste: otisak prsta, lice

Otisak prsta zadovoljava kategorije "posjedovanje" (vaš telefon) i "biološka značajka" (vaš prst), pa je jedna od najučinkovitijih SCA metoda. Banke su odgovorne za neovlaštene transakcije ako SCA nije pravilno implementiran.

Mitovi i zablude o biometrijskoj autentifikaciji

Postoji mnogo pogrešnih uvjerenja o sigurnosti otiska prsta. Ovdje su najčešći mitovi i činjenična objašnjenja.

Mit 1: "Netko može ukrasti moj otisak i otključati moj telefon"

Stvarnost: Moderni senzori koriste liveness detection koji detektira protok krvi, električnu vodljivost i 3D strukturu. Fotografija ili silikonska replika neće funkcionirati na senzorima novije generacije (nakon 2020.).

Iznimka su stariji uređaji - Bug.hr je 2024. testirao 15 smartphona proizvedenih prije 2018. i pokazao da se 40% može prevariti kvalitetnim silikonskim replikama. Ako koristite stariji uređaj, razmislite o nadogradnji ili dodatnoj zaštiti PIN-om.

Mit 2: "Vlada može pratiti sve moje aktivnosti preko otiska prsta"

Stvarnost: Hrvatski model ne koristi centralnu bazu podataka. Vaš otisak je pohranjen samo na čipu vaše eID kartice. Policija ne može pristupiti podacima bez fizičke kartice i sudskog naloga.

Usporedbe radi, Njemačka i Francuska imaju centralizirane baze biometrijskih podataka, ali s rigoroznim pravilima pristupa. Hrvatska je svjesno odabrala decentralizirani model zbog većih zaštitnih mehanizama.

Mit 3: "Otisak prsta je sporiji od lozinke"

Stvarnost: Biometrijska autentifikacija traje 0,5-1 sekundu, dok prosječno upisivanje lozinke traje 10-15 sekundi. Studije pokazuju da 94% korisnika preferira biometriju zbog brzine i praktičnosti.

Mit 4: "Ako netko ukrade moj otisak, ne mogu ga promijeniti kao lozinku"

Stvarnost: Iako je otisak prsta biološki trajan, možete promijeniti način na koji se koristi u autentifikaciji. Možete:

• Deaktivirati kompromitiran prst i koristiti drugi
• Prebaciti se na multimodalnu biometriju (otisak + lice)
• Koristiti alternativne metode autentifikacije
• Zamijeniti uređaj ako je senzor kompromitiran

Važno je razumjeti: biometrijski sustav ne pohranjuje sliku vašeg prsta, već matematički hash. Čak i ako netko dobije pristup hashu, ne može ga "vratiti" u originalni otisak.

Mit 5: "Biometrija je 100% sigurna"

Stvarnost: Nijedna tehnologija nije 100% sigurna. False Acceptance Rate (stopa pogrešnog prihvaćanja) je 0,01-0,1%, što znači da postoji minimalna šansa da sustav odobri neovlaštenu osobu.

Zato se preporučuje višeslojna sigurnost (MFA) - kombinacija otiska prsta + PIN-a ili otiska prsta + SMS koda. Prema CARNet-u, institucije koje koriste MFA imaju 99,97% sigurnost, što je praktično neprobojna zaštita.

Kako okolišni uvjeti utječu na točnost skeniranja?

Točnost biometrijskog skeniranja značajno varira ovisno o uvjetima okoline. U Hrvatskoj, zimski mjeseci (studeni-ožujak) pokazuju 5-7% više neuspješnih pokušaja autentifikacije zbog hladnoće i suhe kože.

ENISA je dokumentirala sljedeće stope točnosti:

Uvjeti	Točnost	Preporuka
Čisti, suhi prsti	99,8%	Idealni uvjeti
Vlažne/znojne ruke	92-94%	Obrišite prst prije skeniranja
Prljave ruke	88-91%	Operite ruke
Hladnoća (<5°C)	85-90%	Zagrijte ruke
Starost (>60 godina)	92-95%	Korištenje više prstiju

Praktični savjeti za poboljšanje točnosti

• Očistite senzor: Koristite mekanu krpicu za uklanjanje masnoće
• Koristite različite prste: Registrirajte 3-5 prstiju za backup
• Izbjegavajte ekstremne temperature: Senzori rade najbolje na 15-30°C
• Hidratacija kože: Suha koža smanjuje točnost - koristite kremu za ruke
• Redovito ažurirajte otiske: Svakih 2-3 godine ponovno skenirajte prste

Što biometrijski senzori mogu otkriti o vašem zdravlju?

Napredna analiza otiska prsta može otkriti zdravstvene informacije poput dijabetesa, kardiovaskularnih bolesti ili nedostatka hranjivih tvari. EU AI Act eksplicitno zabranjuje korištenje biometrijskih podataka za zdravstveno profiliranje bez pristanka.

Ovo je kontraintuitivna činjenica - većina ljudi misli da otisak prsta samo identificira osobu, ali medicinska istraživanja pokazuju da:

• Dijabetes: Mijenja teksturu kože i kapilarne uzorke
• Srčane bolesti: Utječu na cirkulaciju u vrhovima prstiju
• Bolesti jetre: Mijenjaju uzorke papilarne linije
• Nutritivni deficiti: Vidljivi kroz kvalitetu kože

AI Act uvodi zaštitne mehanizme:

• Zabranjeno je koristiti biometrijske podatke za zdravstvenu diskriminaciju
• Osiguravajuće kuće ne smiju odbiti osiguranje na temelju biometrijske analize
• Poslodavci ne smiju koristiti biometriju za procjenu zdravstvenog stanja zaposlenika

Ako sumnjate da institucija zloupotrebljava vaše biometrijske podatke, možete podnijeti pritužbu Agenciji za zaštitu osobnih podataka (AZOP) - kontakt: azop@azop.hr.

Troškovi implementacije za građane i institucije

Za građane, biometrijska autentifikacija je uglavnom besplatna ili vrlo jeftina. Troškovi za institucije variraju od 5.000 do 50.000 eura ovisno o složenosti sustava.

Troškovi za građane

Usluga	Cijena (EUR)	Pružatelj
eID osobna iskaznica	15-20	Ministarstvo unutarnjih poslova
Obnova eID-a	15-20	MUP (svake 10 godine)
Mobilno bankarstvo s biometrijom	Besplatno	Sve veće banke
e-Građani biometrijska prijava	Besplatno	Vlada RH
Kvalificirani digitalni potpis	0-50	CARNet, Halcom

Troškovi za institucije

Usluga	Cijena (EUR)	Napomena
Implementacija sustava	5.000-50.000	Ovisno o broju korisnika
Senzori otiska prsta (komad)	80-300	Profesionalna oprema
Godišnje održavanje	500-2.000	Po sustavu
GDPR audit	2.000-8.000	Jednokratno
Obuka osoblja	1.000-3.000	Po organizaciji

EU fondovi za digitalizaciju

Hrvatska može koristiti:

• Digital Europe Programme: Do 1 milijun eura za projekte digitalne infrastrukture
• Plan oporavka i otpornosti: 1,85 milijardi eura za digitalnu transformaciju (2021-2026)
• Horizon Europe: Istraživački grantovi za inovacije u biometrijskoj sigurnosti

Institucije mogu aplicirati putem portala Ministarstva gospodarstva i održivog razvoja: https://mingor.gov.hr

Budućnost biometrijske autentifikacije u Hrvatskoj

Do lipnja 2026., sve javne digitalne usluge u Hrvatskoj morat će podržavati kvalificirane elektroničke potpise s biometrijskom autentifikacijom. Vlada je izdvojila 45 milijuna eura za unapređenje infrastrukture.

Ključne inicijative 2025-2026

1. EU digitalni novčanik: Lansiranje u Q3 2025., integrirat će eID biometriju s mobilnim uređajima
2. eIDAS 2 implementacija: Rok lipanj 2026. - sve javne usluge moraju biti kompatibilne
3. Multimodalna biometrija: Kombinacija otiska prsta + prepoznavanja lica za kritične usluge
4. AI-powered liveness detection: Algoritmi strojnog učenja za detekciju naprednih napada

Preporuke za građane

• Aktivirajte eID biometriju: Ako još nemate, posjetite policijsku postaju
• Omogućite biometriju u banci: Besplatno je i povećava sigurnost
• Održavajte backup metode: Uvijek imajte aktivan PIN ili lozinku
• Pratite dozvole aplikacija: Redovito provjeravajte koje aplikacije imaju pristup biometriji
• Budite informirani: Pratite HAKOM i CARNet za najnovije sigurnosne smjernice

Preporuke za institucije

• Implementirajte MFA: Kombinirajte biometriju s PIN-om ili tokenima
• Provedite sigurnosne audite: Barem svake 18 mjeseci (preporuka CARNet-a)
• Obučite osoblje: Zaposlenici moraju razumjeti GDPR i AI Act zahtjeve
• Planirajte eIDAS 2: Ne čekajte zadnji trenutak - početak implementacije sada
• Dokumentirajte sve: GDPR zahtijeva detaljnu evidenciju prikupljanja, pohrane i brisanja podataka