Agar dianggap kompatibel dengan Android, implementasi perangkat harus memenuhi persyaratan yang disajikan dalam Compatibility Definition Document (CDD) Android. CDD Android mengevaluasi keamanan implementasi biometrik menggunakan keamanan arsitektur dan spoofability.
- Keamanan arsitektur: Ketahanan biometrik pipeline terhadap penyusupan {i>kernel<i} atau platform. Pipeline dianggap aman jika kompromi kernel dan platform tidak memberikan kemampuan untuk membaca data biometrika mentah atau memasukkan data sintetis ke dalam pipeline untuk memengaruhi keputusan autentikasi.
- Performa keamanan biometrik: Performa keamanan biometrik diukur dengan Rasio Penerimaan Spoof (SAR), Rasio Penerimaan Palsu (FAR), dan, jika berlaku, Rasio Penerimaan Imposter (IAR) biometrik. SAR adalah metrik yang diperkenalkan di Android 9 untuk mengukur seberapa tangguh biometrik terhadap serangan presentasi fisik. Saat mengukur biometrik, Anda harus mengikuti protokol yang dijelaskan di bawah ini.
Android menggunakan tiga jenis metrik untuk mengukur keamanan biometrik tingkat tinggi.
- Rasio Penerimaan Spoof (SAR): Menentukan metrik kemungkinan model biometrik menerima sampel yang baik dan telah direkam sebelumnya. Misalnya, dengan fitur buka dengan suara, hal ini akan mengukur peluang membuka kunci ponsel pengguna menggunakan sampel rekaman suara mereka yang mengucapkan: "Ok, Google" Kami menyebut serangan tersebut sebagai serangan spoof. Juga dikenal sebagai Serangan Penipu Rasio Kecocokan Presentasi (IAPMR).
- Rasio Penerimaan Penipu (IAR): Menentukan metrik peluang model biometrik menerima input yang dimaksudkan untuk meniru sampel yang dikenal baik. Misalnya, di Smart Lock tepercaya mekanisme buka kunci dengan suara, fitur ini akan mengukur seberapa sering seseorang mencoba meniru suara pengguna (menggunakan nada dan aksen yang mirip) dapat membuka kunci perangkat. Rab serangan tersebut disebut sebagai serangan penipu.
- Rasio Penerimaan Palsu (FAR): Menentukan metrik frekuensi model salah menerima input yang salah yang dipilih secara acak. Meskipun ini adalah ukuran yang berguna, karena tidak memberikan informasi yang memadai untuk mengevaluasi seberapa model dapat bertahan terhadap serangan yang ditargetkan.
Perangkat dipercaya
Android 10 mengubah perilaku Agen Kepercayaan. Perangkat dipercaya tidak dapat membuka kunci perangkat, mereka hanya dapat memperpanjang durasi buka kunci tidak terkunci. Wajah tepercaya tidak digunakan lagi di Android 10.
Class biometrik
Keamanan biometrik diklasifikasikan menggunakan hasil dari arsitektur keamanan dan pengujian {i>spoofability<i}. Implementasi biometrik dapat diklasifikasikan sebagai baik Class 3 (sebelumnya Strong), Class 2, (sebelumnya Lemah), atau Class 1 (sebelumnya Kepraktisan). Tabel di bawah menjelaskan persyaratan umum untuk setiap class biometrik.
Untuk mengetahui detail selengkapnya, lihat CDD Android saat ini.
| Kelas biometrik | Metrik | Pipeline biometrik | Batasan |
|---|---|---|---|
| Kelas 3 (sebelumnya Kuat) |
SAR semua spesies PAI: 0-7% SAR spesies PAI Tingkat A: <=7% SAR spesies PAI Tingkat B: <=20% SAR setiap spesies PAI <= 40% (sangat direkomendasikan <= 7%) FAR: 1/50k FRR: 10% |
Aman |
|
| Kelas 2 (sebelumnya Lemah) |
SAR semua spesies PAI: 7-20% SAR spesies PAI Level A: <=20% SAR spesies PAI Level B: <=30% SAR setiap spesies PAI <= 40% (sangat direkomendasikan <= 20%) JAUH: 1/50 ribu RR: 10% |
Aman |
|
| Kelas 1 (sebelumnya Kenyamanan) |
SAR semua spesies PAI: 20-30% SAR spesies PAI Level A: <=30% SAR spesies PAI Level B: <=40% SAR setiap spesies PAI <= 40% (sangat direkomendasikan <= 30%) FAR: 1/50k FRR: 10% |
Tidak aman atau aman |
|
Modalitas Kelas 3 versus Kelas 2 versus Kelas 1
Kelas keamanan biometrik ditetapkan berdasarkan keberadaan pipeline yang aman dan tiga rasio penerimaan - FAR, IAR, dan SAR. Dalam kasus di mana tidak ada serangan penipu, kita hanya mempertimbangkan FAR dan SAR.
Lihat panduan Android Compatibility Definition Document (CDD) untuk tindakan yang akan dilakukan bagi semua buka modalitas.
Autentikasi wajah dan iris
Proses evaluasi
Proses evaluasi terdiri dari dua fase. Fase kalibrasi menentukan serangan presentasi yang optimal untuk solusi autentikasi tertentu (yaitu posisi yang dikalibrasi). Fase pengujian pengujian menggunakan untuk melakukan beberapa serangan dan mengevaluasi berapa kali serangan berhasil. Produsen perangkat Android dan sistem biometrik harus menghubungi Android untuk mendapatkan panduan pengujian terbaru dengan mengirimkan formulir ini.
Penting untuk menentukan posisi yang dikalibrasi terlebih dahulu karena SAR hanya boleh diukur menggunakan serangan terhadap titik kelemahan terbesar pada sistem.
Fase kalibrasi
Ada tiga parameter untuk otentikasi wajah dan iris yang perlu dioptimalkan selama fase kalibrasi guna memastikan nilai optimal untuk pengujian fase: {i>Presentasi Attack Instrumen<i} (PAI), format presentasi, dan yang lebih baik dalam keberagaman subjek.
WAJAH
|
IRIS
|
Menguji keberagaman
Model wajah dan iris dapat berperforma berbeda di seluruh gender, kelompok usia, dan ras/etnis. Kalibrasi serangan presentasi di berbagai wajah untuk memaksimalkan peluang menemukan kesenjangan performa.
Fase pengujian
Tahap pengujian adalah saat performa keamanan biometrik diukur dengan menggunakan mengoptimalkan presentasi dari fase sebelumnya.
Menghitung upaya dalam fase pengujian
Satu percobaan dihitung sebagai jendela antara menampilkan wajah (nyata atau dipalsukan), dan menerima umpan balik dari ponsel (baik saat membuka kunci atau pesan yang terlihat oleh pengguna). Semua tindakan saat ponsel tidak bisa mendapatkan cukup data untuk mencoba kecocokan tidak boleh dimasukkan dalam jumlah total percobaan yang digunakan untuk menghitung SAR.
Protokol evaluasi
Pendaftaran
Sebelum memulai fase kalibrasi untuk autentikasi wajah atau iris, buka setelan perangkat dan hapus semua profil biometrik yang ada. Setelah semua profil yang ada dihapus, daftarkan profil baru dengan wajah atau iris target yang akan digunakan untuk kalibrasi dan pengujian. Penting penting untuk berada di lingkungan yang terang saat menambahkan wajah atau iris baru profil Anda dan perangkat tersebut terletak tepat di depan target wajah pada jarak 20 cm hingga 80 cm.
Fase kalibrasi
Lakukan fase kalibrasi untuk setiap spesies PAI karena spesies yang berbeda memiliki ukuran dan karakteristik lain yang berbeda yang dapat memengaruhi kondisi optimal untuk pengujian. Menyiapkan PAI.
WAJAH
|
IRIS
|
Melakukan fase kalibrasi
Posisi referensi
- Posisi referensi: Posisi referensi ditentukan dengan menempatkan PAI pada jarak yang sesuai (20-80 cm) di depan perangkat sedemikian rupa sehingga PAI terlihat jelas dalam tampilan perangkat tetapi benda lain yang digunakan (seperti dudukan untuk PAI) tidak terlihat.
- Bidang referensi horizontal: Saat PAI berada dalam posisi referensi, bidang horizontal antara perangkat dan PAI adalah bidang referensi horizontal.
- Bidang referensi vertikal: Saat PAI berada dalam posisi referensi, bidang vertikal antara perangkat dan PAI adalah bidang referensi vertikal.
Gambar 1. Bidang referensi.
Busur vertikal
Tentukan posisi referensi, lalu uji PAI dalam busur vertikal yang mempertahankan jarak yang sama dari perangkat seperti posisi referensi. Naikkan PAI di bidang vertikal yang sama, sehingga menciptakan sudut 10 derajat antara perangkat dan bidang referensi horizontal, lalu uji fitur buka dengan wajah.
Lanjutkan menaikkan dan menguji PAI dalam penambahan 10 derajat hingga PAI tidak lagi terlihat di bidang pandang perangkat. Catat posisi apa pun yang berhasil membuka kunci perangkat. Ulangi proses ini tetapi pindahkan PAI dengan busur ke bawah, di bawah bidang referensi horizontal. Lihat gambar 3 di bawah untuk contoh pengujian busur.
Busur horizontal
Mengembalikan PAI ke posisi referensi, lalu gerakkan sepanjang horizontal bidang untuk membuat sudut 10 derajat dengan bidang referensi vertikal. Lakukan pengujian busur vertikal dengan PAI di posisi baru ini. Pindahkan PAI ke sepanjang bidang horizontal dengan penambahan 10 derajat dan lakukan pengujian busur vertikal dengan setiap posisi baru.
Gambar 1. Pengujian di sepanjang busur vertikal dan horizontal.
Pengujian busur perlu diulang dengan penambahan 10 derajat untuk sisi kiri dan kanan perangkat serta di atas dan di bawah perangkat.
Posisi yang menghasilkan hasil pembukaan kunci yang paling andal adalah posisi terkalibrasi untuk jenis spesies PAI (misalnya, spesies PAI 2D atau 3D).
Fase pengujian
Di akhir fase kalibrasi, harus ada satu posisi kalibrasi per spesies PAI. Jika posisi yang dikalibrasi tidak dapat ditentukan maka posisi referensi harus digunakan. Metodologi pengujian adalah hal yang umum untuk menguji spesies PAI 2D dan 3D.
- Di seluruh wajah terdaftar, dengan E>= 10, dan menyertakan setidaknya 10 wajah
unik.
- Daftarkan wajah/iris
- Dengan menggunakan posisi yang dikalibrasi dari fase sebelumnya, lakukan upaya buka kunci U, dengan menghitung upaya seperti yang dijelaskan di bagian sebelumnya, dan dengan U >= 10. Catat jumlah kunci yang berhasil dibuka S.
- SAR kemudian dapat diukur sebagai:
Dalam hal ini:
- E = jumlah pendaftaran
- U = jumlah upaya pembukaan kunci per pendaftaran
- Si = jumlah pembukaan kunci yang berhasil untuk pendaftaran i
Iterasi yang diperlukan untuk mendapatkan sampel rasio error yang valid secara statistik: asumsi keyakinan 95% untuk semua di bawah, N besar
| Margin error | Iterasi pengujian yang diperlukan per subjek |
|---|---|
| 1% | 9595 |
| 2% | 2401 |
| 3% | 1067 |
| 5% | 385 |
| 10% | 97 |
Waktu yang diperlukan (30 detik per percobaan, 10 subjek)
| Margin error | Waktu total |
|---|---|
| 1% | 799,6 jam |
| 2% | 200,1 jam |
| 3% | 88,9 jam |
| 5% | 32,1 jam |
| 10% | 8,1 jam |
Sebaiknya targetkan margin error 5%, yang memberikan tingkat error sebenarnya dalam populasi sebesar 2% hingga 12%.
Cakupan
Fase pengujian mengukur ketahanan autentikasi wajah terutama terhadap fotokopi wajah pengguna target. Fitur ini tidak mengatasi serangan berbasis faksimile seperti menggunakan LED, atau pola yang berfungsi sebagai cetakan utama. Meskipun belum terbukti efektif terhadap sistem autentikasi wajah berbasis kedalaman, secara konseptual tidak ada yang mencegah hal ini terjadi. Sangat mungkin dan masuk akal bahwa penelitian masa depan akan menunjukkan ini masalahnya. Pada tahap ini, protokol ini akan direvisi untuk menyertakan mengukur ketahanan mereka terhadap serangan.
Autentikasi sidik jari
Di Android 9, standar ditetapkan pada ketahanan minimum terhadap PAI seperti yang diukur dengan Rasio Penerimaan Spoof (SAR) yang kurang dari atau sama dengan 7%. Alasan singkat mengapa 7% khususnya dapat ditemukan di postingan blog ini.
Proses evaluasi
Proses evaluasi terdiri dari dua fase. Tujuan fase kalibrasi menentukan serangan presentasi untuk solusi otentikasi sidik jari tertentu (yaitu, posisi yang dikalibrasi). Fase pengujian menggunakan posisi yang dikalibrasi untuk melakukan beberapa serangan dan mengevaluasi frekuensi serangan yang berhasil. Produsen perangkat Android dan biometrik harus menghubungi Android untuk mendapatkan panduan pengujian terbaru dengan mengirimkan ini formulir ini.
Fase kalibrasi
Ada tiga parameter untuk otentikasi sidik jari yang perlu dioptimalkan guna memastikan nilai optimal untuk fase pengujian: presentasi instrumen serangan (PAI), format presentasi, dan kinerja di semua subjek keberagaman
- PAI adalah spoof fisik, seperti sidik jari
yang dicetak atau replika yang dibentuk adalah contoh media presentasi. Materi spoofing berikut sangat direkomendasikan
- Sensor sidik jari optik (FPS)
- Kertas Fotokopi/Transparansi dengan tinta non-konduktif
- Gelatin Knox
- Cat Lateks
- Lem Elmer
- FPS Kapasitif
- Gelatin Knox
- Elmer's Carpenter's Interior Wood Glue
- Elmer's Glue All
- Cat Lateks
- FPS Ultrasonik
- Gelatin Knox
- Elmer's Carpenter's Interior Wood Glue
- Elmer's Glue All
- Cat Lateks
- Sensor sidik jari optik (FPS)
- Format presentasi berkaitan dengan manipulasi PAI atau lingkungan lebih lanjut, dengan cara yang membantu spoofing. Misalnya, melakukan retouch atau mengedit gambar sidik jari beresolusi tinggi sebelum membuat efek 3D dengan replika baca.
- Performa di seluruh keberagaman subjek sangat relevan untuk menyesuaikan algoritma. Menguji alur kalibrasi di berbagai gender subjek, kelompok usia dan ras/etnis seringkali dapat menunjukkan jauh lebih buruk performa untuk segmen populasi global dan merupakan parameter penting dalam fase ini.
Menguji keberagaman
Pembaca sidik jari dapat berperforma berbeda di seluruh gender, kelompok usia, dan ras/etnis. Sebagian kecil populasi memiliki sidik jari yang sulit dikenali, sehingga berbagai sidik jari harus digunakan untuk menentukan parameter optimal untuk pengenalan dan dalam pengujian spoof.
Fase pengujian
Fase pengujian adalah saat performa keamanan biometrik diukur. Di minimum, pengujian harus dilakukan dengan cara non-kooperatif, yang berarti bahwa setiap sidik jari yang dikumpulkan dilakukan dengan mengangkatnya dari permukaan lain ketika alih-alih meminta target berpartisipasi secara aktif dalam pengumpulan sidik jari, seperti membuat cetakan jari yang bekerja sama. Yang terakhir diizinkan, tetapi tidak wajib.
Menghitung upaya dalam fase pengujian
Satu percobaan dihitung sebagai periode antara penyajian sidik jari (asli atau di-spoofing) ke sensor, dan menerima sejumlah respons dari ponsel (baik peristiwa buka kunci maupun pesan yang terlihat oleh pengguna).
Setiap upaya saat ponsel tidak dapat memperoleh cukup data untuk mencoba pencocokan tidak boleh disertakan dalam jumlah total upaya yang digunakan untuk menghitung SAR.
Protokol evaluasi
Pendaftaran
Sebelum memulai fase kalibrasi untuk navigasi autentikasi sidik jari ke pengaturan perangkat dan menghapus semua profil biometrik yang ada. Lagi pula profil yang ada telah dihapus, daftarkan profil baru dengan target sidik jari yang akan digunakan untuk kalibrasi dan pengujian. Ikuti semua yang ada petunjuk arah layar hingga profil berhasil didaftarkan.
Fase kalibrasi
FPS Optik
Ini mirip dengan fase kalibrasi ultrasonik dan kapasitif, tetapi dengan spesies PAI 2D dan 2,5D dari sidik jari pengguna target.
- Lepaskan salinan sidik jari laten dari permukaan.
- Menguji dengan spesies PAI 2D
- Tempatkan sidik jari yang diangkat ke sensor
- Uji dengan spesies PAI 2,5D.
- Membuat PAI sidik jari
- Letakkan PAI pada sensor
FPS Ultrasonik
Kalibrasi untuk ultrasonik melibatkan pengambilan salinan laten dari sidik jari target. Sebagai contoh, ini dapat dilakukan dengan menggunakan sidik jari yang diangkat melalui bubuk sidik jari, atau salinan sidik jari yang dicetak dan dapat mencakup sidik jari sentuhan ulang gambar sidik jari untuk memberikan {i>spoof<i} yang lebih baik.
Setelah salinan laten sidik jari target diperoleh, PAI akan dibuat.
FPS Kapasitif
Kalibrasi untuk kapasitif melibatkan langkah yang sama yang dijelaskan di atas untuk kalibrasi ultrasonik.
Fase pengujian
- Dapatkan minimal 10 orang unik untuk mendaftar menggunakan parameter yang sama dengan yang digunakan saat menghitung FRR/FAR
- Membuat PAI untuk setiap orang
- SAR kemudian dapat diukur sebagai:
Iterasi yang diperlukan untuk mendapatkan sampel tingkat error yang valid secara statistik: 95% asumsi keyakinan untuk semua di bawah, N besar
| Margin error | Iterasi pengujian yang diperlukan per subjek |
|---|---|
| 1% | 9595 |
| 2% | 2401 |
| 3% | 1067 |
| 5% | 385 |
| 10% | 97 |
Waktu yang diperlukan (30 detik per percobaan, 10 subjek)
| {i>Margin<i} kesalahan | Waktu total |
|---|---|
| 1% | 799,6 jam |
| 2% | 200,1 jam |
| 3% | 88,9 jam |
| 5% | 32,1 jam |
| 10% | 8,1 jam |
Sebaiknya targetkan margin error 5%, yang memberikan tingkat error sebenarnya dalam populasi sebesar 2% hingga 12%.
Cakupan
Proses ini disiapkan untuk menguji ketahanan autentikasi sidik jari terutama terhadap faksimil sidik jari pengguna target. Pengujian didasarkan pada biaya material, ketersediaan, dan teknologi saat ini. Protokol ini akan direvisi untuk menyertakan pengukuran ketahanan terhadap bahan dan teknik baru saat bahan dan teknik tersebut menjadi praktis untuk dijalankan.
Pertimbangan umum
Meskipun setiap modalitas memerlukan pengaturan pengujian yang berbeda, ada beberapa aspek yang berlaku untuk mereka semua.
Menguji hardware yang sebenarnya
Metrik SAR/IAR yang dikumpulkan mungkin tidak akurat saat model biometrik diuji dalam kondisi ideal dan pada perangkat keras yang berbeda dari yang sebenarnya muncul di perangkat seluler. Misalnya, model buka kunci dengan suara yang dikalibrasi di ruang anechoic menggunakan pengaturan multi-mikrofon memiliki perilaku yang sangat berbeda saat digunakan di satu perangkat mikrofon di lingkungan yang berisik. Untuk mendapatkan metrik yang akurat, pengujian harus dilakukan pada perangkat yang sebenarnya dengan hardware yang diinstal, dan jika tidak, dengan hardware seperti yang akan muncul di perangkat.
Gunakan serangan yang telah diketahui
Sebagian besar modalitas biometrik yang digunakan saat ini telah berhasil di-spoof, dan dokumentasi publik tentang metodologi serangan tersebut ada. Di bawah ini kami memberikan ringkasan umum singkat tentang penyiapan pengujian untuk modalitas dengan serangan yang diketahui. Sebaiknya gunakan penyiapan yang diuraikan di sini jika memungkinkan.
Mengantisipasi serangan baru
Untuk modalitas di mana perbaikan baru yang signifikan telah dilakukan, pengaturan dokumen mungkin tidak berisi pengaturan yang sesuai, dan tidak ada serangan publik yang ada. Modalitas yang ada mungkin juga perlu penyesuaian penyiapan pengujiannya setelah serangan yang baru ditemukan. Dalam kedua kasus tersebut, Anda perlu membuat penyiapan pengujian yang wajar. Gunakan Situs Masukan di bagian bawah halaman ini untuk memberi tahu kami jika Anda telah menyiapkan mekanisme yang wajar yang dapat ditambahkan.
Penyiapan untuk berbagai modalitas
Sidik jari
| IAR | Tidak diperlukan. |
| SAR |
|
Wajah dan iris mata
| IAR | Batas bawah akan ditangkap oleh SAR, jadi pengukuran ini tidak secara terpisah diperlukan. |
| SAR |
|
Suara
| IAR |
|
| SAR |
|