Đo bảo mật mở khóa sinh trắc học

Để được coi là tương thích với Android, việc triển khai thiết bị phải đáp ứng các yêu cầu được trình bày trong Tài liệu Định nghĩa Tương thích Android (CDD) . Android CDD đánh giá tính bảo mật của việc triển khai sinh trắc học bằng cách sử dụng bảo mật kiến ​​trúc và khả năng giả mạo .

• Bảo mật kiến ​​trúc : Khả năng phục hồi của đường ống sinh trắc học chống lại sự xâm phạm của nhân hoặc nền tảng. Một đường ống được coi là an toàn nếu các thỏa hiệp hạt nhân và nền tảng không mang lại khả năng đọc dữ liệu sinh trắc học thô hoặc đưa dữ liệu tổng hợp vào đường ống để ảnh hưởng đến quyết định xác thực.
• Hiệu suất bảo mật sinh trắc học: Hiệu suất bảo mật sinh trắc học được đo bằng Tỷ lệ chấp nhận giả mạo (SAR) , Tỷ lệ chấp nhận sai (FAR) và, nếu có, Tỷ lệ chấp nhận giả mạo (IAR) của sinh trắc học. SAR là một chỉ số được giới thiệu trong Android 9 để đo lường khả năng phục hồi của sinh trắc học trước một cuộc tấn công bản trình bày vật lý. Khi đo sinh trắc học, bạn cần tuân theo các quy trình được mô tả dưới đây.

Android sử dụng ba loại chỉ số để đo lường hiệu suất bảo mật sinh trắc học.

• Tỷ lệ chấp nhận giả mạo (SAR) : Xác định chỉ số về Cơ hội mà một mô hình sinh trắc học chấp nhận một mẫu tốt đã biết đã được ghi lại trước đó. Ví dụ: với tính năng mở khóa bằng giọng nói, điều này sẽ đo lường cơ hội mở khóa điện thoại của người dùng bằng cách sử dụng một mẫu được ghi lại của họ nói: "Ok, Google" Chúng tôi gọi các cuộc tấn công như vậy là Spoof Attacks . Còn được gọi là Tỷ lệ đối sánh bản trình bày tấn công mạo danh (IAPMR).
• Tỷ lệ chấp nhận giả mạo (IAR) : Xác định số liệu cơ hội mà mô hình sinh trắc học chấp nhận đầu vào nhằm bắt chước một mẫu tốt đã biết. Ví dụ: trong cơ chế giọng nói đáng tin cậy của Smart Lock (mở khóa bằng giọng nói), điều này sẽ đo lường tần suất ai đó cố gắng bắt chước giọng nói của người dùng (sử dụng giọng nói và giọng tương tự) có thể mở khóa thiết bị của họ. Chúng tôi gọi các cuộc tấn công như vậy là Imposter Attacks .
• Tỷ lệ chấp nhận sai (FAR) : Xác định các số liệu về tần suất một mô hình chấp nhận nhầm một đầu vào không chính xác được chọn ngẫu nhiên. Mặc dù đây là một biện pháp hữu ích, nhưng nó không cung cấp đầy đủ thông tin để đánh giá mức độ chống chịu của mô hình trước các cuộc tấn công có chủ đích.

Đại lý tin cậy

Android 10 thay đổi cách hoạt động của Đại lý đáng tin cậy. Đại lý tin cậy không thể mở khóa thiết bị, họ chỉ có thể kéo dài thời gian mở khóa cho thiết bị đã được mở khóa. Khuôn mặt đáng tin cậy không được dùng trong Android 10.

Các lớp sinh trắc học

Bảo mật sinh trắc học được phân loại bằng cách sử dụng kết quả từ các bài kiểm tra bảo mật kiến ​​trúc và khả năng giả mạo. Việc triển khai sinh trắc học có thể được phân loại là Lớp 3 (trước đây là Mạnh) , Lớp 2 , (trước đây là Yếu) hoặc Lớp 1 (trước đây là Thuận tiện) . Bảng dưới đây mô tả từng lớp cho các thiết bị Android mới.

Phương thức Class 3 so với Class 2 so với Class 1

Các lớp bảo mật sinh trắc học được chỉ định dựa trên sự hiện diện của một đường dẫn an toàn và ba tỷ lệ chấp nhận - FAR, IAR và SAR. Trong trường hợp không tồn tại một cuộc tấn công mạo danh, chúng tôi chỉ xem xét FAR và SAR.

Xem Tài liệu Định nghĩa Tương thích Android (CDD) để biết các biện pháp cần thực hiện cho tất cả các phương thức mở khóa.

Xác thực khuôn mặt và mống mắt

Quá trình đánh giá

Quá trình đánh giá bao gồm hai giai đoạn. Giai đoạn hiệu chuẩn xác định cuộc tấn công trình bày tối ưu cho một giải pháp xác thực nhất định (đó là vị trí đã được hiệu chuẩn). Giai đoạn kiểm tra sử dụng vị trí đã được hiệu chỉnh để thực hiện nhiều cuộc tấn công và đánh giá số lần cuộc tấn công thành công. Các nhà sản xuất thiết bị Android và hệ thống sinh trắc học nên liên hệ với Android để có hướng dẫn kiểm tra cập nhật nhất bằng cách gửi biểu mẫu này .

Điều quan trọng đầu tiên là phải xác định vị trí đã hiệu chuẩn vì chỉ nên đo SAR bằng cách sử dụng các cuộc tấn công vào điểm yếu lớn nhất trên hệ thống.

Giai đoạn hiệu chuẩn

Có ba tham số cho xác thực khuôn mặt và mống mắt cần được tối ưu hóa trong giai đoạn hiệu chuẩn để đảm bảo các giá trị tối ưu cho giai đoạn thử nghiệm: công cụ tấn công bản trình bày (PAI), định dạng bản trình bày và hiệu suất trên đa dạng chủ đề.

Kiểm tra tính đa dạng

Các mô hình khuôn mặt và mống mắt có thể hoạt động khác nhau giữa các giới tính, nhóm tuổi và chủng tộc / dân tộc. Hiệu chỉnh các cuộc tấn công thuyết trình trên nhiều khuôn mặt khác nhau để tối đa hóa cơ hội phát hiện ra những lỗ hổng trong hiệu suất.

Giai đoạn thử nghiệm

Giai đoạn thử nghiệm là khi hiệu suất bảo mật sinh trắc học được đo bằng cách sử dụng cuộc tấn công trình bày được tối ưu hóa từ giai đoạn trước.

Đếm số lần thử trong giai đoạn thử nghiệm

Một lần thử được tính là cửa sổ giữa việc trình bày khuôn mặt (thật hay giả) và nhận một số phản hồi từ điện thoại (sự kiện mở khóa hoặc tin nhắn người dùng nhìn thấy). Bất kỳ lần thử nào mà điện thoại không thể lấy đủ dữ liệu để thử đối sánh sẽ không được tính vào tổng số lần thử được sử dụng để tính SAR.

Giao thức đánh giá

Ghi danh

Trước khi bắt đầu giai đoạn hiệu chỉnh cho xác thực khuôn mặt hoặc mống mắt, hãy điều hướng đến cài đặt thiết bị và xóa tất cả các cấu hình sinh trắc học hiện có. Sau khi tất cả các cấu hình hiện có đã được xóa, hãy đăng ký một cấu hình mới với khuôn mặt mục tiêu hoặc mống mắt sẽ được sử dụng để hiệu chuẩn và kiểm tra. Điều quan trọng là phải ở trong môi trường có ánh sáng rực rỡ khi thêm khuôn mặt hoặc hồ sơ mống mắt mới và thiết bị được đặt đúng vị trí ngay trước khuôn mặt mục tiêu trong khoảng cách từ 20 cm đến 80 cm.

Giai đoạn hiệu chuẩn

Thực hiện giai đoạn hiệu chuẩn cho từng loài PAI vì các loài khác nhau có kích thước khác nhau và các đặc điểm khác có thể ảnh hưởng đến các điều kiện tối ưu để thử nghiệm. Chuẩn bị PAI.

Tiến hành giai đoạn hiệu chuẩn

Các vị trí tham khảo

• Vị trí tham chiếu : Vị trí tham chiếu được xác định bằng cách đặt PAI ở một khoảng cách thích hợp (20-80cm) trước thiết bị theo cách mà PAI có thể nhìn thấy rõ ràng trong màn hình của thiết bị nhưng bất kỳ thứ gì khác đang được sử dụng (chẳng hạn như giá đỡ cho PAI) không hiển thị.
• Mặt phẳng chuẩn nằm ngang : Trong khi PAI ở vị trí chuẩn thì mặt phẳng nằm ngang giữa thiết bị và PAI là mặt phẳng chuẩn nằm ngang.
• Mặt phẳng tham chiếu dọc : Trong khi PAI ở vị trí tham chiếu, mặt phẳng thẳng đứng giữa thiết bị và PAI là mặt phẳng tham chiếu thẳng đứng.

Cung dọc

Xác định vị trí chuẩn sau đó kiểm tra PAI theo cung thẳng đứng, duy trì cùng khoảng cách từ thiết bị với vị trí chuẩn. Nâng PAI trong cùng một mặt phẳng thẳng đứng, tạo một góc 10 độ giữa thiết bị và mặt phẳng tham chiếu ngang và kiểm tra tính năng mở khóa bằng khuôn mặt.

Tiếp tục nâng và kiểm tra PAI tăng dần 10 độ cho đến khi PAI không còn hiển thị trong trường xem của thiết bị. Ghi lại bất kỳ vị trí nào đã mở khóa thiết bị thành công. Lặp lại quy trình này nhưng di chuyển PAI theo hình vòng cung hướng xuống, bên dưới mặt phẳng tham chiếu nằm ngang. Xem hình 3 dưới đây để biết ví dụ về các thử nghiệm hồ quang.

Vòng cung ngang

Đưa PAI về vị trí tham chiếu sau đó di chuyển nó dọc theo mặt phẳng nằm ngang để tạo với mặt phẳng tham chiếu thẳng đứng một góc 10 độ. Thực hiện kiểm tra cung thẳng đứng với PAI ở vị trí mới này. Di chuyển PAI dọc theo mặt phẳng ngang với gia số 10 độ và thực hiện kiểm tra cung thẳng đứng ở mỗi vị trí mới.

Các thử nghiệm hồ quang cần được lặp lại với mức tăng 10 độ cho cả bên trái và bên phải của thiết bị cũng như trên và dưới thiết bị.

Vị trí mang lại kết quả mở khóa đáng tin cậy nhất là vị trí đã hiệu chỉnh cho loại PAI (ví dụ: 2D hoặc 3D PAI).

Giai đoạn thử nghiệm

Vào cuối giai đoạn hiệu chuẩn, phải có một vị trí được hiệu chuẩn cho mỗi loài PAI. Nếu không thể thiết lập được vị trí đã hiệu chuẩn thì nên sử dụng vị trí chuẩn. Phương pháp thử nghiệm phổ biến để thử nghiệm cả hai loài PAI 2D và 3D.

• Trên các khuôn mặt đã đăng ký, trong đó E> = 10 và bao gồm ít nhất 10 khuôn mặt duy nhất.
  • Đăng ký khuôn mặt / mống mắt
  • Sử dụng vị trí đã hiệu chuẩn từ giai đoạn trước, thực hiện các lần mở khóa U , đếm các lần thử như mô tả trong phần trước và trong đó U> = 10. Ghi lại số lần mở khóa thành công S.
  • Sau đó, SAR có thể được đo như sau:

Ở đâu:

• E = số lượng đăng ký
• U = số lần mở khóa mỗi lần đăng ký
• Si = số lần mở khóa thành công để đăng ký tôi

Yêu cầu lặp lại để đạt được các mẫu tỷ lệ lỗi hợp lệ về mặt thống kê: giả định độ tin cậy 95% cho tất cả bên dưới, N lớn

Thời gian cần thiết (30 giây cho mỗi lần thử, 10 môn học)

Chúng tôi khuyên bạn nên nhắm mục tiêu tỷ lệ lỗi 5%, tỷ lệ lỗi thực sự trong dân số là 2% đến 12%.

Phạm vi

Giai đoạn thử nghiệm đo lường khả năng phục hồi của xác thực khuôn mặt chủ yếu dựa trên bản fax khuôn mặt của người dùng mục tiêu. Nó không giải quyết các cuộc tấn công không dựa trên fax như sử dụng đèn LED hoặc các mẫu hoạt động như bản in chính. Mặc dù những điều này vẫn chưa được chứng minh là có hiệu quả chống lại các hệ thống xác thực khuôn mặt dựa trên độ sâu, nhưng về mặt khái niệm thì không có gì ngăn cản điều này thành sự thật. Có thể và hợp lý rằng nghiên cứu trong tương lai sẽ cho thấy điều này là đúng. Tại thời điểm này, giao thức này sẽ được sửa đổi để bao gồm việc đo lường khả năng phục hồi chống lại các cuộc tấn công này.

Xác thực vân tay

Trong Android 9, thanh này được đặt ở mức khả năng phục hồi tối thiểu đối với PAI như được đo bằng Tỷ lệ chấp nhận giả mạo (SAR) nhỏ hơn hoặc bằng 7%. Một lý do ngắn gọn về lý do tại sao cụ thể là 7% có thể được tìm thấy trong bài đăng trên blog này .

Quá trình đánh giá

Quá trình đánh giá bao gồm hai giai đoạn. Giai đoạn hiệu chuẩn xác định cuộc tấn công trình bày tối ưu cho một giải pháp xác thực dấu vân tay nhất định (nghĩa là vị trí đã được hiệu chuẩn). Giai đoạn kiểm tra sử dụng vị trí đã được hiệu chỉnh để thực hiện nhiều cuộc tấn công và đánh giá số lần cuộc tấn công thành công. Các nhà sản xuất thiết bị Android và hệ thống sinh trắc học nên liên hệ với Android để có hướng dẫn kiểm tra cập nhật nhất bằng cách gửi biểu mẫu này .

Giai đoạn hiệu chuẩn

Có ba tham số để xác thực dấu vân tay cần được tối ưu hóa để đảm bảo giá trị tối ưu cho giai đoạn thử nghiệm: công cụ tấn công bản trình bày (PAI), định dạng bản trình bày và hiệu suất trên đa dạng chủ đề

• PAI là giả mạo vật lý, chẳng hạn như dấu vân tay in hoặc bản sao đúc đều là những ví dụ về phương tiện trình chiếu. Các tài liệu giả mạo sau đây rất được khuyến khích
  • Cảm biến vân tay quang học (FPS)
    • Sao chép giấy / Độ trong suốt bằng mực không dẫn điện
    • Knox Gelatin
    • Sơn latex
    • Elmer's Glue All
  • FPS điện dung
    • Knox Gelatin
    • Keo dán gỗ nội thất của Elmer's Carpenter
    • Elmer's Glue All
    • Sơn latex
  • FPS siêu âm
    • Knox Gelatin
    • Keo dán gỗ nội thất của Elmer's Carpenter
    • Elmer's Glue All
    • Sơn latex
• Định dạng trình bày liên quan đến thao tác sâu hơn đối với PAI hoặc môi trường, theo cách hỗ trợ giả mạo. Ví dụ: chỉnh sửa hoặc chỉnh sửa hình ảnh có độ phân giải cao của dấu vân tay trước khi tạo bản sao 3D.
• Hiệu suất trên đa dạng chủ đề đặc biệt liên quan đến việc điều chỉnh thuật toán. Việc kiểm tra quy trình hiệu chuẩn trên các giới tính, nhóm tuổi và chủng tộc / dân tộc của đối tượng thường có thể cho thấy hiệu suất kém hơn đáng kể đối với các phân khúc dân số toàn cầu và là một tham số quan trọng để hiệu chỉnh trong giai đoạn này.

Kiểm tra tính đa dạng

Đầu đọc dấu vân tay có thể hoạt động khác nhau giữa giới tính, nhóm tuổi và chủng tộc / dân tộc. Một tỷ lệ nhỏ dân số có dấu vân tay khó nhận dạng, vì vậy cần sử dụng nhiều loại dấu vân tay để xác định các thông số tối ưu cho việc nhận dạng và trong kiểm tra giả mạo.

Giai đoạn thử nghiệm

Giai đoạn kiểm tra là khi hiệu suất bảo mật sinh trắc học được đo. Ở mức tối thiểu, việc kiểm tra phải được thực hiện theo cách không hợp tác có nghĩa là bất kỳ dấu vân tay nào được thu thập đều được thực hiện bằng cách nhấc chúng ra khỏi bề mặt khác thay vì để mục tiêu tham gia tích cực vào việc thu thập dấu vân tay của họ, chẳng hạn như tạo khuôn hợp tác của ngón tay của chủ thể. Sau này được phép nhưng không bắt buộc.

Đếm số lần thử trong giai đoạn thử nghiệm

Một lần thử duy nhất được tính là cửa sổ giữa việc hiển thị dấu vân tay (thật hoặc giả) cho cảm biến và nhận một số phản hồi từ điện thoại (sự kiện mở khóa hoặc thông báo người dùng nhìn thấy).

Bất kỳ lần thử nào mà điện thoại không thể lấy đủ dữ liệu để thử đối sánh sẽ không được tính vào tổng số lần thử được sử dụng để tính SAR.

Giao thức đánh giá

Ghi danh

Trước khi bắt đầu giai đoạn hiệu chỉnh để xác thực dấu vân tay, hãy điều hướng đến cài đặt thiết bị và xóa tất cả các cấu hình sinh trắc học hiện có. Sau khi tất cả các cấu hình hiện có đã được xóa, hãy đăng ký một cấu hình mới với vân tay mục tiêu sẽ được sử dụng để hiệu chuẩn và thử nghiệm. Làm theo tất cả các hướng dẫn trên màn hình cho đến khi hồ sơ được đăng ký thành công.

Giai đoạn hiệu chuẩn

FPS quang học

Điều này tương tự như các giai đoạn hiệu chuẩn của siêu âm và điện dung, nhưng với cả loại 2D và 2.5D PAI của dấu vân tay của người dùng mục tiêu.

• Nâng một bản sao ẩn của vân tay ra khỏi bề mặt.
• Thử nghiệm với các loài PAI 2D
  • Đặt dấu vân tay đã nâng lên trên cảm biến
• Thử nghiệm với các loài PAI 2,5D.
  • Tạo PAI của vân tay
  • Đặt PAI trên cảm biến

FPS siêu âm

Hiệu chỉnh siêu âm liên quan đến việc nâng một bản sao tiềm ẩn của vân tay mục tiêu. Ví dụ: điều này có thể được thực hiện bằng cách sử dụng dấu vân tay được nâng lên qua bột vân tay hoặc bản sao in của dấu vân tay và có thể bao gồm việc chạm lại bằng tay vào hình ảnh dấu vân tay để đạt được khả năng giả mạo tốt hơn.

Sau khi thu được bản sao tiềm ẩn của vân tay mục tiêu, PAI sẽ được thực hiện.

FPS điện dung

Hiệu chuẩn điện dung bao gồm các bước tương tự được mô tả ở trên đối với hiệu chuẩn siêu âm.

Giai đoạn thử nghiệm

• Có được ít nhất 10 người duy nhất đăng ký bằng cách sử dụng các thông số tương tự được sử dụng khi tính FRR / FAR
• Tạo PAI cho từng người
• Sau đó, SAR có thể được đo như sau:

Yêu cầu lặp lại để đạt được các mẫu tỷ lệ lỗi hợp lệ về mặt thống kê: giả định độ tin cậy 95% cho tất cả bên dưới, N lớn

Thời gian cần thiết (30 giây cho mỗi lần thử, 10 môn học)

Chúng tôi khuyên bạn nên nhắm mục tiêu tỷ lệ lỗi 5%, tỷ lệ lỗi thực sự trong dân số là 2% đến 12%.

Phạm vi

Quá trình này được thiết lập để kiểm tra khả năng phục hồi của xác thực vân tay chủ yếu dựa trên bản fax của vân tay của người dùng mục tiêu. Phương pháp thử nghiệm dựa trên chi phí vật liệu, tính sẵn có và công nghệ hiện tại. Giao thức này sẽ được sửa đổi để bao gồm việc đo lường khả năng phục hồi đối với các vật liệu và kỹ thuật mới khi chúng trở nên thực tế để thực thi.

Những cân nhắc chung

Mặc dù mỗi phương thức yêu cầu một thiết lập thử nghiệm khác nhau, nhưng có một số khía cạnh chung áp dụng cho tất cả chúng.

Kiểm tra phần cứng thực tế

Các chỉ số SAR / IAR được thu thập có thể không chính xác khi các mô hình sinh trắc học được kiểm tra trong các điều kiện lý tưởng hóa và trên phần cứng khác so với thực tế xuất hiện trên thiết bị di động. Ví dụ: các kiểu mở khóa bằng giọng nói được hiệu chỉnh trong buồng chống dội âm bằng cách sử dụng thiết lập nhiều micrô hoạt động rất khác khi được sử dụng trên một thiết bị micrô duy nhất trong môi trường ồn ào. Để nắm bắt các số liệu chính xác, các bài kiểm tra phải được thực hiện trên thiết bị thực có cài đặt phần cứng và không thực hiện được với phần cứng khi nó xuất hiện trên thiết bị.

Sử dụng các cuộc tấn công đã biết

Hầu hết các phương thức sinh trắc học đang được sử dụng ngày nay đều đã bị giả mạo thành công và tồn tại tài liệu công khai về phương pháp tấn công. Dưới đây, chúng tôi cung cấp tổng quan cấp cao ngắn gọn về các thiết lập thử nghiệm cho các phương thức có các cuộc tấn công đã biết. Chúng tôi khuyên bạn nên sử dụng thiết lập được nêu ở đây nếu có thể.

Dự đoán các cuộc tấn công mới

Đối với các phương thức mà các cải tiến mới đáng kể đã được thực hiện, tài liệu thiết lập thử nghiệm có thể không chứa thiết lập phù hợp và không có cuộc tấn công công khai nào đã biết có thể tồn tại. Các phương thức hiện tại cũng có thể cần điều chỉnh thiết lập thử nghiệm của chúng sau một cuộc tấn công mới được phát hiện. Trong cả hai trường hợp, bạn sẽ cần đưa ra một thiết lập kiểm tra hợp lý. Vui lòng sử dụng liên kết Phản hồi Trang web ở cuối trang này để cho chúng tôi biết nếu bạn đã thiết lập một cơ chế hợp lý có thể được thêm vào.

Thiết lập cho các phương thức khác nhau

Vân tay

Khuôn mặt và mống mắt

Tiếng nói