Wat is een biometrische hash en waarom is deze onomkeerbaar?

Stel je voor: je staat bij de supermarkt en je betaalt met je vingerafdruk. Of je ontgrendelt je telefoon met je gezicht.

Dat voelt snel en makkelijk, maar wat gebeurt er eigenlijk met die data? Niemand wil dat een hacker straks met jouw vingerafdruk een nep-vingerafdruk kan maken en je bankrekening leegtrekt. Daarom gebruiken systemen een biometrische hash.

Dat is een soort digitale vingerafdruk van je vingerafdruk, en die is onomkeerbaar.

In deze uitleg leg ik precies uit wat dat betekent, waarom het veilig is en hoe je het herkent.

Wat is een biometrische hash?

Een biometrische hash is een wiskundige samenvatting van jouw unieke biometrische kenmerken.

Denk aan de lijntjes en bobbels in je vingerafdruk of de verhoudingen in je gezicht. Het systeem zet die kenmerken om naar een reeks cijfers en letters, de hash. Die hash is kort, vaak maar 256 tekens lang, en ziet er voor iedereen anders uit. Belangrijk: je kunt de oorspronkelijke vingerafdruk of gezichtsfoto niet terugrekenen uit die hash.

Het is niet een versleutelde versie die je kunt ontcijferen; het is een eenrichtingsverkeer. Zo werkt het bijvoorbeeld bij de vingerafdrukscanner van de iPhone 15 of de Samsung Galaxy S24.

Die slaan geen foto op, maar een hash. Waarom is dat handig?

Omdat je privacy beschermd blijft. Als een hacker de hash steelt, heeft diegene niets aan die cijferreeks. Je vingerafdruk is veilig. Het is alsof je een slot krijgt waarvan de sleutel direct vergaat na gebruik.

Waarom is een hash onomkeerbaar?

Een hash is onomkeerbaar door de manier waarop wiskunde werkt. Het algoritme, zoals SHA-256 of een speciaal biometrisch algoritme, breekt de data op in blokken en voert berekeningen uit die niet teruggedraaid kunnen worden.

Je kunt niet zeggen: "haal die ene pixel terug". Dat is hetzelfde als een cake bakken: je kunt de bloem en eieren er na het bakken niet meer uithalen.

Stel je voor: je vingerafdruk heeft 50 unieke punten. Het systeem meet die punten, zet ze om in een getal en voert er een hash-functie op uit. Het resultaat is uniek voor jouw vingerafdruk, maar elke kleine verandering geeft een compleet andere hash. Daardoor is het onmogelijk om terug te rekenen naar de originele afbeelding.

Dit is cruciaal voor privacy. Bij gezichtsherkenning, zoals bij de Apple Face ID, slaat het systeem een diepe map op van je gezichtskenmerken, maar die map is gehashed.

Als die data lekt, kun je niet zien hoe iemand eruitziet. Zo blijft je gezicht privé.

Hoe werkt het in de praktijk?

Stap 1: het apparaat scant je biometrische kenmerken. Een vingerafdrukscanner meet de ridges en valleys; een gezichtscamera meet de afstanden tussen je ogen, neus en kin. De geschiedenis van biometrie laat zien hoe we van handmatige scans naar deze geavanceerde technieken zijn gegroeid.

Dit gebeurt lokaal op je toestel, niet in de cloud. Stap 2: de software zet deze kenmerken om in een hash. Bij vingerafdrukken gebruiken veel systemen minutiae-punten: specifieke eindpunten en aftakkingen in de lijnen.

Bij gezichtsherkenning wordt een 3D-kaart gemaakt en gehashed. De hash wordt opgeslagen in een beveiligde chip, zoals de Secure Enclave van Apple of de Titan M-chip van Google.

Stap 3: bij elke nieuwe scan wordt een nieuwe hash gemaakt en vergeleken met de opgeslagen hash. Als ze matchen, ontgrendel je je toestel. Het systeem vergelijkt geen plaatjes, maar hashes.

Dat is snel en veilig. En als iemand je toestel steelt, kan diegene de hash niet omzetten naar jouw vingerafdruk.

Varianten en modellen: wat kies je?

Er zijn verschillende manieren om biometrische hashes te maken. Sommige systemen gebruiken lokale hashing op het toestel, andere doen het in de cloud.

Lokale hashing is veiliger omdat je data het toestel niet verlaat. Voor consumenten is dat vaak gratis ingebouwd, zoals bij je smartphone. Professionele systemen, zoals die voor bedrijfsdeuren of beveiligingscamera's, bieden meer opties.

Een basismodel als de ZKTeco ZK1000 vingerafdrukscanner kost ongeveer €150 en slaat hashes lokaal op.

Een geavanceerd systeem zoals de Hikvision gezichtsherkenningcamera, met AI-hash-algoritmen, kost tussen €400 en €800 per stuk. Deze systemen ondersteunen vaak meerdere biometrische methoden, zoals vingerafdruk én gezicht. Enterprise-oplossingen, zoals die van Idemia of NEC, zijn duurder: vanaf €2.000 tot €10.000 per installatie.

Ze bieden extra's zoals liveness-detectie (om te voorkomen dat een foto of nep-vingerafdruk werkt) en encryptie van de hashes. Voor thuiskantoren is een goedkope USB-vingerafdrukscanner, zoals de Kensington VeriMark, rond €80 een prima keuze.

Praktische tips voor veilig gebruik

Kies altijd voor systemen die hashes lokaal opslaan. Vraag bij aanschaf na of de fabrikant, zoals Apple, Samsung of ZKTeco, de data versleuteld bewaart en niet deelt met derden.

Lees het privacybeleid: staat er duidelijk dat biometrische data niet wordt gebruikt voor reclame? Gebruik meerdere authenticatiemethoden. Combineer een vingerafdruk met een pincode of wachtwoord. Bij slijtage of littekens op je vingers blokkeert het toestel bij een hackpoging de biometrische toegang tijdelijk.

Bij gezichtsherkenning: zorg voor goede verlichting, maar vermijd openbare plekken waar anderen je kunnen zien. Houd je apparaten up-to-date.

Fabrikanten patchen beveiligingslekken regelmatig. Bij de iPhone 15 of Samsung S24 zit veiligheid ingebouwd, maar installeer altijd de nieuwste software.

En als je een professioneel systeem koopt, laat het installeren door een gecertificeerde monteur voor optimale privacy.