Conform Descopera: Verificarea identității digitale: Provocări și soluții
Procesul de deschidere a unui cont bancar de pe telefon, prin care aplicația solicită utilizatorului să își miște capul în fața camerei, implică o analiză complexă. Sistemul nu se limitează la compararea fotografiei din act cu imaginea facială, ci încearcă, în primul rând, să stabilească dacă persoana din fața camerei este o ființă umană vie. Această problemă, veche în domeniul biometriei, vizează diferențierea dintre o persoană reală și o reprezentare a acesteia, fie că este vorba de o fotografie tipărită, un ecran de telefon sau o mască.
Ce caută, de fapt, sistemul
Metodele de detecție de vivacitate se împart în două categorii principale. Prima este cea pasivă, unde utilizatorul nu necesită acțiuni suplimentare. Sistemul analizează proprietăți ale imaginii care diferă între un chip real și o reproducere. Pielea reflectă lumina într-un mod distinct față de hârtie sau sticlă, datorită unei componente de împrăștiere sub suprafață. Un ecran fotografiat poate genera un tipar de interferență numit moare, detectabil algoritmic. Lipsa reliefului facial, specifică unei suprafețe plane, duce la un efect de paralaxă diferit atunci când capul se mișcă. Unele sisteme avansate caută variații minuscule ale culorii pielii, cauzate de circulația sângelui, cunoscute sub denumirea de fotopletismografie de la distanță.
Cea de-a doua categorie este cea activă, care implică interacțiunea utilizatorului cu sistemul. Acesta poate cere clipiri, schimbări ale privirii sau citirea unui număr afișat pe ecran. O variantă mai sofisticată utilizează ecranul telefonului ca sursă de lumină, proiectând culori și analizând reflexia acestora pe față, distincția fiind făcută de modul în care o suprafață plană reflectă lumina față de un volum tridimensional. Toate aceste metode au o premisă comună: analiza se bazează pe semnalul provenit direct de la camera dispozitivului.
De ce nu mai este suficientă
Această abordare se confruntă, însă, cu noi provocări. Modelele generative avansate pot crea chip-uri sintetice animate în timp real, capabile să simuleze clipiri, mișcări ale capului și reacții la instrucțiuni. Astfel, bariera reprezentată de provocările active a devenit mai ușor de depășit. Mai grav este faptul că un atacator poate introduce direct în aplicație un flux video fabricat, utilizând o cameră virtuală sau manipulând intrările dispozitivului. În acest scenariu, analiza fizică a scenei devine irelevantă, deoarece nu mai există o scenă reală, ci doar un semnal pretins a proveni de la o cameră. Acest tip de atac, numit prin injecție, a redefinit problema: nu mai este suficient să se verifice dacă imaginea este a unui om viu, ci și dacă semnalul provine din sursa pretinsă. Soluțiile implică acum verificarea integrității aplicației și a dispozitivului, detectarea camerelor virtuale și analiza coerenței temporale a fluxului. Standardele internaționale, precum ISO/IEC 30107-3, au fost extinse pentru a include testarea împotriva materialelor artificial generate și a injecțiilor de flux.
Cipul din noua carte de identitate: Securitate și acces
Pe de altă parte, aspecte legate de documente au devenit mai simple. Cartea electronică de identitate din România, similară unui card bancar, dispune de un cip conform standardelor ISO/IEC 7816, ISO/IEC 14443 și ICAO 9303, acesta din urmă fiind utilizat pentru pașapoartele biometrice. Cipul este certificat EAL6+ conform Common Criteria. Citirea datelor nu se poate face de la distanță și necesită consimțământul titularului. Pentru a iniția o sesiune, terminalul are nevoie de o cheie derivată din datele tipărite pe document, obținută prin scanarea zonei MRZ sau prin introducerea manuală a unui cod. Ulterior, se stabilește un canal criptat.
Datele stocate pe cip sunt semnate digital de statul emitent, permițând verificarea autenticității și a originii informațiilor. Un al doilea mecanism, autentificarea cipului, confirmă că microcipul este cel original printr-un schimb criptografic. Datele biometrice, precum imaginea facială și amprentele, sunt stocate într-o partiție protejată prin protocolul Extended Access Control. Accesul la acestea este restricționat la terminalele autorizate ale autorităților desemnate, precum poliția sau autoritățile de frontieră, o aplicație bancară obișnuită neavând posibilitatea de a accesa amprentele.
Astfel, se constată o asimetrie: autenticitatea documentului poate fi dovedită cu certitudine matematică prin verificarea semnăturii statului emitent. În schimb, autenticitatea și prezența persoanei nu pot fi stabilite cu certitudine criptografică, rămânând o problemă de probabilitate bazată pe analize fizice și de proveniență a semnalului. Documentul își dovedește autenticitatea, dar persoana rămâne a fi dovedită separat, cele două aspecte neputând fi substituite. Cartea electronică de identitate, bazată pe standarde internaționale stricte, oferă un nivel înalt de securitate pentru datele conținute, însă verificarea persoanei în fața camerei continuă să fie un domeniu cu provocări în evoluție.
Sursa: Descopera
