Conform Descopera: Provocări în validarea identității digitale
Demersul deschiderii unui cont bancar prin intermediul aplicației mobile, care necesită mișcarea capului în fața camerei, implică procese mult mai complexe decât pare la prima vedere. Sistemul nu se limitează la a compara fotografia din actul de identitate cu imaginea captată, ci încearcă, prioritar, să stabilească dacă în fața camerei se află o ființă umană vie, prezentă în acel moment. Această provocare, cu vechime în domeniul biometriei, se referă la diferențierea între o persoană reală și o reprezentare a acesteia, fie ea o fotografie, un ecran de telefon sau o mască.
Metode de detecție a vivacității
Metodele utilizate pentru detecția de vivacitate se împart în două categorii principale. Prima, cea pasivă, nu solicită acțiuni suplimentare din partea utilizatorului. Sistemul analizează proprietăți ale imaginii care diferă între un chip real și o reproducere. Pielea umană, de exemplu, reflectă lumina diferit de hârtie sau sticlă, prezentând o dispersie sub suprafață care lipsește materialelor plate. De asemenea, ecranele de telefon pot genera un tipar de interferență numit moare, detectabil algoritmic. Suprafețele plane nu dispun de relieful unei fețe umane, astfel că, la mișcarea capului, punctele apropiate de cameră se deplasează mai mult decât cele îndepărtate, un efect de paralaxă absent în cazul fotografiilor. Unele sisteme avansate caută variații minuscule ale culorii pielii, cauzate de circulația sângelui, cunoscute sub denumirea de fotopletismografie de la distanță.
A doua categorie este cea activă, care cere utilizatorului să execute anumite acțiuni, precum clipitul, întoarcerea privirii sau citirea unui număr afișat pe ecran. O variantă mai subtilă folosește ecranul telefonului ca sursă de lumină, proiectând secvențe de culori și analizând modul în care acestea se reflectă pe față. O suprafață plană reflectă lumina altfel decât un volum tridimensional.
Vulnerabilități în fața noilor tehnologii
Problema majoră apare atunci când modelele generative devin capabile să răspundă acestor provocări. Un chip sintetic animat în timp real poate imita clipitul, mișcările capului și poate urma instrucțiunile afișate pe ecran. Astfel, provocările active, considerate timp de ani buni o barieră solidă, devin imitabile de către sistemele antrenate corespunzător.
Mai grav este faptul că aceste metode se bazează pe presupunerea că imaginea analizată provine, în mod direct, de la camera dispozitivului. Însă, un atacator poate injecta un flux video fabricat direct în aplicație, ocolind camera fizică prin intermediul unei camere virtuale sau prin manipularea intrărilor dispozitivului. În acest scenariu, analiza fizică a scenei devine irelevantă. Problema se transformă dintr-una de percepție într-una de proveniență. Nu mai este suficient să se verifice dacă imaginea este a unui om viu, ci dacă semnalul provine de unde pretinde că provine. Răspunsurile implică verificarea integrității aplicației și a dispozitivului, detectarea camerelor virtuale și atestarea criptografică a sursei.
Securitatea buletinului electronic
Pe de altă parte, securitatea documentelor oficiale a înregistrat progrese semnificative. Cartea electronică de identitate emisă în România, având formatul unui card bancar, dispune de un cip conform standardelor internaționale ISO/IEC 7816, ISO/IEC 14443 și ICAO 9303. Cipul este certificat EAL6+ conform Common Criteria. Citirea acestuia nu se face la distanță și necesită consimțământul titularului. Pentru inițializarea unei sesiuni, terminalul are nevoie de o cheie derivată din datele tipărite pe document, fie prin citirea zonei MRZ, fie prin introducerea manuală a unui cod, stabilind ulterior un canal criptat.
Datele de pe cip sunt semnate digital de statul emitent, permițând terminalului să verifice autenticitatea și integritatea informațiilor. Un al doilea mecanism, autentificarea cipului, asigură că microcipul este cel original printr-un schimb criptografic specific. Datele biometrice, precum imaginea facială și amprentele, sunt stocate într-o partiție protejată suplimentar prin protocolul Extended Access Control, accesibilă doar autorităților desemnate. Aplicațiile bancare, de exemplu, nu pot accesa amprentele de pe cipul unei cărți de identitate.
Această asimetrie reflectă stadiul actual al domeniului: documentul poate dovedi autenticitatea sa cu certitudine matematică, prin verificarea semnăturii statului emitent. În schimb, în cazul persoanei, nicio metodă nu oferă certitudine criptografică absolută că aceasta este cea din document și că se află prezentă. Aceasta rămâne o problemă de probabilitate, bazată pe semnale fizice și analiza provenienței acestora.
Sursa: Descopera
