Pour être considérées comme compatibles avec Android, les implémentations d'appareils doivent répondre aux exigences présentées dans le document de définition de compatibilité Android (CDD) . Le CDD Android évalue la sécurité d'une implémentation biométrique en utilisant la sécurité architecturale et l'usurpation d'identité .
- Sécurité architecturale : La résilience d'un pipeline biométrique contre la compromission du noyau ou de la plateforme. Un pipeline est considéré comme sécurisé si les compromissions du noyau et de la plate-forme ne confèrent pas la possibilité de lire des données biométriques brutes ou d'injecter des données synthétiques dans le pipeline pour influencer la décision d'authentification.
- Performances de sécurité biométrique : les performances de sécurité biométrique sont mesurées par le taux d'acceptation des usurpations (SAR) , le taux de fausses acceptations (FAR) et, le cas échéant, le taux d'acceptation des imposteurs (IAR) de la biométrie. SAR est une métrique introduite dans Android 9 pour mesurer la résilience d'une biométrie contre une attaque de présentation physique. Lors de la mesure des données biométriques, vous devez suivre les protocoles décrits ci-dessous.
Android utilise trois types de métriques pour mesurer les performances de sécurité biométrique.
- Taux d'acceptation d'usurpation d'identité (SAR) : définit la métrique de la probabilité qu'un modèle biométrique accepte un bon échantillon connu et précédemment enregistré. Par exemple, avec le déverrouillage vocal, cela mesurerait les chances de déverrouiller le téléphone d'un utilisateur à l'aide d'un échantillon enregistré de celui-ci disant : "Ok, Google". Nous appelons de telles attaques des attaques par usurpation d'identité . Également connu sous le nom de taux de correspondance de présentation d’attaque d’imposteur (IAPMR).
- Taux d'acceptation des imposteurs (IAR) : définit la métrique de la probabilité qu'un modèle biométrique accepte une entrée destinée à imiter un bon échantillon connu. Par exemple, dans le mécanisme de voix de confiance Smart Lock (déverrouillage vocal), cela mesurerait la fréquence à laquelle une personne essayant d'imiter la voix d'un utilisateur (en utilisant un ton et un accent similaires) peut déverrouiller son appareil. Nous appelons de telles attaques des attaques d'imposteurs .
- Taux de fausses acceptations (FAR) : définit les mesures de la fréquence à laquelle un modèle accepte par erreur une entrée incorrecte choisie au hasard. Bien qu’il s’agisse d’une mesure utile, elle ne fournit pas suffisamment d’informations pour évaluer dans quelle mesure le modèle résiste aux attaques ciblées.
Agents de confiance
Android 10 modifie le comportement des Trust Agents. Les agents de confiance ne peuvent pas déverrouiller un appareil, ils peuvent uniquement prolonger la durée de déverrouillage d'un appareil déjà déverrouillé. Le visage de confiance est obsolète dans Android 10.
Cours biométriques
La sécurité biométrique est classée à l'aide des résultats des tests de sécurité architecturale et d'usurpation d'identité. Une implémentation biométrique peut être classée soit en Classe 3 (anciennement Forte) , soit en Classe 2 (anciennement Faible) ou en Classe 1 (anciennement Convenience) . Le tableau ci-dessous décrit les exigences générales pour chaque classe biométrique.
Pour plus de détails, consultez le CDD Android actuel.
Classe biométrique | Métrique | Pipeline biométrique | Contraintes |
---|---|---|---|
Classe 3 (anciennement Fort) | DAS de toutes les espèces PAI : 0-7 % DAS des espèces PAI de niveau A : <=7% DAS des espèces PAI de niveau B : <=20% DAS de toute espèce PAI individuelle <= 40 % (fortement recommandé <= 7 %) LOIN : 1/50k FRR : 10% | Sécurisé |
|
Classe 2 (anciennement Faible) | DAS de toutes les espèces PAI : 7 à 20 % DAS des espèces PAI de niveau A : <=20% DAS des espèces PAI de niveau B : <=30% DAS de toute espèce PAI individuelle <= 40 % (fortement recommandé <= 20 %) LOIN : 1/50k FRR : 10% | Sécurisé |
|
Classe 1 (anciennement Confort) | DAS de toutes les espèces PAI : 20 à 30 % DAS des espèces PAI de niveau A : <=30% DAS des espèces PAI de niveau B : <=40% DAS de toute espèce PAI individuelle <= 40 % (fortement recommandé <= 30 %) LOIN : 1/50k FRR : 10% | Non sécurisé/sécurisé |
|
Modalités de classe 3 contre classe 2 contre classe 1
Les classes de sécurité biométrique sont attribuées en fonction de la présence d'un pipeline sécurisé et des trois taux d'acceptation : FAR, IAR et SAR. Dans les cas où une attaque d’imposteur n’existe pas, nous considérons uniquement les FAR et SAR.
Consultez le document de définition de compatibilité Android (CDD) pour connaître les mesures à prendre pour toutes les modalités de déverrouillage.
Authentification du visage et de l'iris
Processus d'évaluation
Le processus d'évaluation est composé de deux phases. La phase de calibrage détermine l'attaque de présentation optimale pour une solution d'authentification donnée (c'est-à-dire la position calibrée). La phase de test utilise la position calibrée pour effectuer plusieurs attaques et évalue le nombre de fois où l'attaque a réussi. Les fabricants d'appareils Android et de systèmes biométriques doivent contacter Android pour obtenir les conseils de test les plus récents en envoyant ce formulaire .
Il est important de déterminer d'abord la position calibrée car le SAR ne doit être mesuré qu'en utilisant des attaques contre le plus grand point de faiblesse du système.
Phase d'étalonnage
Il existe trois paramètres d'authentification du visage et de l'iris qui doivent être optimisés pendant la phase d'étalonnage afin de garantir des valeurs optimales pour la phase de test : l'instrument d'attaque de présentation (PAI), le format de présentation et les performances sur la diversité des sujets.
AFFRONTER
|
IRIS
|
Tester la diversité
Il est possible que les modèles de visage et d'iris fonctionnent différemment selon le sexe, le groupe d'âge et la race/ethnie. Calibrez les attaques de présentation sur une variété de visages pour maximiser les chances de découvrir des écarts de performances.
Phase de tests
La phase de test consiste à mesurer les performances de sécurité biométrique à l’aide de l’attaque de présentation optimisée de la phase précédente.
Comptage des tentatives en phase de test
Une seule tentative est considérée comme la fenêtre entre la présentation d'un visage (réel ou usurpé) et la réception d'un retour du téléphone (soit un événement de déverrouillage, soit un message visible par l'utilisateur). Toute tentative au cours de laquelle le téléphone ne parvient pas à obtenir suffisamment de données pour tenter une correspondance ne doit pas être incluse dans le nombre total de tentatives utilisées pour calculer le SAR.
Protocole d'évaluation
Inscription
Avant de commencer la phase d'étalonnage pour l'authentification du visage ou de l'iris, accédez aux paramètres de l'appareil et supprimez tous les profils biométriques existants. Une fois tous les profils existants supprimés, enregistrez un nouveau profil avec le visage ou l'iris cible qui sera utilisé pour l'étalonnage et les tests. Il est important d'être dans un environnement bien éclairé lors de l'ajout d'un nouveau profil de visage ou d'iris et que l'appareil soit correctement placé directement devant le visage cible à une distance de 20 cm à 80 cm.
Phase d'étalonnage
Effectuez la phase d’étalonnage pour chacune des espèces PAI, car différentes espèces ont des tailles et d’autres caractéristiques différentes qui peuvent affecter les conditions optimales pour les tests. Préparez le PAI.
AFFRONTER
|
IRIS
|
Réalisation de la phase d'étalonnage
Postes de référence
- Position de référence : La position de référence est déterminée en plaçant le PAI à une distance appropriée (20-80 cm) devant l'appareil de manière à ce que le PAI soit clairement visible dans la vue de l'appareil mais que tout autre élément utilisé (comme un support pour le PAI) n’est pas visible.
- Plan de référence horizontal : Lorsque le PAI est dans la position de référence, le plan horizontal entre l'appareil et le PAI est le plan de référence horizontal.
- Plan de référence vertical : Lorsque le PAI est dans la position de référence, le plan vertical entre l'appareil et le PAI est le plan de référence vertical.
![Plans de référence](https://source.android.com/static/docs/security/images/referencePlanes.png?authuser=0&hl=fr)
Arc vertical
Déterminez la position de référence puis testez le PAI dans un arc vertical en maintenant la même distance de l'appareil que la position de référence. Soulevez le PAI dans le même plan vertical, en créant un angle de 10 degrés entre l'appareil et le plan de référence horizontal et testez le déverrouillage du visage.
Continuez à augmenter et à tester le PAI par incréments de 10 degrés jusqu'à ce que le PAI ne soit plus visible dans le champ de vision de l'appareil. Enregistrez toutes les positions qui ont réussi à déverrouiller l'appareil. Répétez ce processus mais en déplaçant le PAI dans un arc vers le bas, en dessous du plan de référence horizontal. Voir la figure 3 ci-dessous pour un exemple de tests d'arc.
Arc horizontal
Remettez le PAI à la position de référence puis déplacez-le le long du plan horizontal pour créer un angle de 10 degrés avec le plan de référence vertical. Effectuez le test d'arc vertical avec le PAI dans cette nouvelle position. Déplacez le PAI le long du plan horizontal par incréments de 10 degrés et effectuez le test d’arc vertical dans chaque nouvelle position.
Les tests d'arc doivent être répétés par incréments de 10 degrés pour les côtés gauche et droit de l'appareil ainsi qu'au-dessus et en dessous de l'appareil.
La position qui donne les résultats de déverrouillage les plus fiables est la position calibrée pour le type d’espèce PAI (par exemple, espèces PAI 2D ou 3D).
Phase de test
À la fin de la phase de calibrage, il doit y avoir une position calibrée par espèce PAI. Si une position calibrée ne peut être établie, la position de référence doit être utilisée. La méthodologie de test est commune pour tester les espèces PAI 2D et 3D.
- Sur les visages inscrits, où E>= 10, et comprend au moins 10 visages uniques.
- Enregistrer le visage/l'iris
- En utilisant la position calibrée de la phase précédente, effectuez U tentatives de déverrouillage, en comptant les tentatives comme décrit dans la section précédente, et où U >= 10. Enregistrez le nombre de déverrouillages réussis S .
- Le DAS peut alors être mesuré comme suit :
Où:
- E = le nombre d'inscriptions
- U = le nombre de tentatives de déverrouillage par inscription
- Si = le nombre de déverrouillages réussis pour l'inscription i
Itérations nécessaires pour obtenir des échantillons statistiquement valides de taux d'erreur : hypothèse de confiance de 95 % pour tout ce qui suit, grand N
Marge d'erreur | Itérations de test requises par sujet |
---|---|
1% | 9595 |
2% | 2401 |
3% | 1067 |
5% | 385 |
dix% | 97 |
Temps requis (30 secondes par tentative, 10 sujets)
Marge d'erreur | Temps total |
---|---|
1% | 799,6 heures |
2% | 200,1 heures |
3% | 88,9 heures |
5% | 32,1 heures |
dix% | 8,1 heures |
Nous recommandons de cibler une marge d'erreur de 5 %, ce qui donne un taux d'erreur réel dans la population de 2 % à 12 %.
Portée
La phase de test mesure la résilience de l'authentification faciale principalement par rapport aux fac-similés du visage de l'utilisateur cible. Il ne traite pas des attaques non basées sur la télécopie, telles que l'utilisation de LED ou de motifs faisant office d'impressions principales. Bien que ceux-ci n’aient pas encore démontré leur efficacité contre les systèmes d’authentification faciale basée sur la profondeur, rien n’empêche conceptuellement que cela soit vrai. Il est à la fois possible et plausible que de futures recherches démontrent que tel est le cas. À ce stade, ce protocole sera révisé pour inclure la mesure de la résilience contre ces attaques.
Authentification par empreinte digitale
Dans Android 9, la barre a été fixée à une résilience minimale aux PAI, mesurée par un taux d'acceptation d'usurpation d'identité (SAR) inférieur ou égal à 7 %. Une brève explication des raisons pour lesquelles 7 % en particulier peut être trouvée dans cet article de blog .
Processus d'évaluation
Le processus d'évaluation est composé de deux phases. La phase de calibrage détermine l'attaque de présentation optimale pour une solution d'authentification par empreinte digitale donnée (c'est-à-dire la position calibrée). La phase de test utilise la position calibrée pour effectuer plusieurs attaques et évalue le nombre de fois où l'attaque a réussi. Les fabricants d'appareils Android et de systèmes biométriques doivent contacter Android pour obtenir les conseils de test les plus récents en envoyant ce formulaire .
Phase d'étalonnage
Il existe trois paramètres d'authentification par empreinte digitale qui doivent être optimisés pour garantir des valeurs optimales pour la phase de test : l'instrument d'attaque de présentation (PAI), le format de présentation et les performances sur la diversité des sujets.
- Le PAI est une usurpation physique, comme des empreintes digitales imprimées ou une réplique moulée sont autant d'exemples de supports de présentation. Les documents frauduleux suivants sont fortement recommandés
- Capteurs optiques d'empreintes digitales (FPS)
- Papier de copie/transparent avec encre non conductrice
- Knox Gélatine
- Peinture au latex
- Elmer's Colle Tout
- FPS capacitifs
- Knox Gélatine
- Colle à bois d'intérieur pour menuisier Elmer's
- Elmer's Colle Tout
- Peinture au latex
- FPS ultrasonique
- Knox Gélatine
- Colle à bois d'intérieur pour menuisier Elmer's
- Elmer's Colle Tout
- Peinture au latex
- Capteurs optiques d'empreintes digitales (FPS)
- Le format de présentation concerne une manipulation ultérieure du PAI ou de l'environnement, d'une manière qui facilite l'usurpation d'identité. Par exemple, retoucher ou éditer une image haute résolution d’une empreinte digitale avant de créer la réplique 3D.
- Les performances dans la diversité des sujets sont particulièrement pertinentes pour régler l’algorithme. Tester le flux d'étalonnage en fonction du sexe des sujets, des groupes d'âge et des races/ethnies peut souvent révéler des performances nettement inférieures pour des segments de la population mondiale et constitue un paramètre important à calibrer au cours de cette phase.
Tester la diversité
Il est possible que les lecteurs d'empreintes digitales fonctionnent différemment selon le sexe, les groupes d'âge et les races/ethnies. Un petit pourcentage de la population possède des empreintes digitales difficiles à reconnaître. Il convient donc d'utiliser diverses empreintes digitales pour déterminer les paramètres optimaux de reconnaissance et de test d'usurpation d'identité.
Phase de test
La phase de test est celle où les performances de sécurité biométrique sont mesurées. Au minimum, les tests doivent être effectués de manière non coopérative, ce qui signifie que toutes les empreintes digitales collectées le sont en les soulevant d'une autre surface, au lieu de demander à la cible de participer activement à la collecte de ses empreintes digitales, par exemple en créant un moule coopératif de l'empreinte digitale. le doigt du sujet. Ce dernier est autorisé mais pas obligatoire.
Comptage des tentatives en phase de test
Une seule tentative est considérée comme la fenêtre entre la présentation d'une empreinte digitale (réelle ou usurpée) au capteur et la réception d'un retour du téléphone (soit un événement de déverrouillage, soit un message visible par l'utilisateur).
Toute tentative au cours de laquelle le téléphone ne parvient pas à obtenir suffisamment de données pour tenter une correspondance ne doit pas être incluse dans le nombre total de tentatives utilisées pour calculer le SAR.
Protocole d'évaluation
Inscription
Avant de commencer la phase d'étalonnage pour l'authentification par empreinte digitale, accédez aux paramètres de l'appareil et supprimez tous les profils biométriques existants. Une fois tous les profils existants supprimés, enregistrez un nouveau profil avec l'empreinte digitale cible qui sera utilisée pour l'étalonnage et les tests. Suivez toutes les instructions à l'écran jusqu'à ce que le profil ait été inscrit avec succès.
Phase d'étalonnage
FPS optique
Ceci est similaire aux phases d'étalonnage par ultrasons et capacitif, mais avec des espèces PAI 2D et 2,5D de l'empreinte digitale de l'utilisateur cible.
- Soulevez une copie latente de l’empreinte digitale d’une surface.
- Test avec des espèces PAI 2D
- Placez l'empreinte digitale relevée sur le capteur
- Testez avec des espèces PAI 2,5D.
- Créer un PAI de l'empreinte digitale
- Placer le PAI sur le capteur
FPS ultrasonique
L'étalonnage pour les ultrasons implique de lever une copie latente de l'empreinte digitale cible. Par exemple, cela peut être fait en utilisant des empreintes digitales relevées via de la poudre d'empreinte digitale, ou des copies imprimées d'une empreinte digitale et peut inclure une retouche manuelle de l'image de l'empreinte digitale pour obtenir une meilleure usurpation d'empreinte digitale.
Une fois la copie latente de l’empreinte digitale cible obtenue, un PAI est réalisé.
FPS capacitifs
L'étalonnage capacitif implique les mêmes étapes décrites ci-dessus pour l'étalonnage ultrasonique.
Phase de test
- Obtenez au moins 10 personnes uniques à s'inscrire en utilisant les mêmes paramètres que ceux utilisés lors du calcul du FRR/FAR
- Créer des PAI pour chaque personne
- Le DAS peut alors être mesuré comme suit :
Itérations nécessaires pour obtenir des échantillons statistiquement valides de taux d'erreur : hypothèse de confiance de 95 % pour tout ce qui suit, grand N
Marge d'erreur | Itérations de test requises par sujet |
---|---|
1% | 9595 |
2% | 2401 |
3% | 1067 |
5% | 385 |
dix% | 97 |
Temps requis (30 secondes par tentative, 10 sujets)
Marge d'erreur | Temps total |
---|---|
1% | 799,6 heures |
2% | 200,1 heures |
3% | 88,9 heures |
5% | 32,1 heures |
dix% | 8,1 heures |
Nous recommandons de cibler une marge d'erreur de 5 %, ce qui donne un taux d'erreur réel dans la population de 2 % à 12 %.
Portée
Ce processus est configuré pour tester la résilience de l'authentification par empreinte digitale, principalement par rapport aux fac-similés de l'empreinte digitale de l'utilisateur cible. La méthodologie de test est basée sur les coûts actuels des matériaux, la disponibilité et la technologie. Ce protocole sera révisé pour inclure la mesure de la résilience par rapport aux nouveaux matériaux et techniques à mesure qu'ils deviennent pratiques à exécuter.
Considérations courantes
Bien que chaque modalité nécessite une configuration de test différente, quelques aspects communs s’appliquent à toutes.
Testez le matériel réel
Les mesures SAR/IAR collectées peuvent être inexactes lorsque les modèles biométriques sont testés dans des conditions idéalisées et sur un matériel différent de celui qu'ils apparaîtraient réellement sur un appareil mobile. Par exemple, les modèles de déverrouillage vocal calibrés dans une chambre anéchoïque à l’aide d’une configuration multi-microphones se comportent très différemment lorsqu’ils sont utilisés sur un seul microphone dans un environnement bruyant. Afin d'obtenir des mesures précises, les tests doivent être effectués sur un appareil réel avec le matériel installé, et à défaut avec le matériel tel qu'il apparaîtrait sur l'appareil.
Utiliser des attaques connues
La plupart des modalités biométriques utilisées aujourd’hui ont été usurpées avec succès et il existe une documentation publique sur la méthodologie d’attaque. Nous fournissons ci-dessous un bref aperçu de haut niveau des configurations de test pour les modalités avec des attaques connues. Nous vous recommandons d'utiliser la configuration décrite ici dans la mesure du possible.
Anticiper les nouvelles attaques
Pour les modalités pour lesquelles de nouvelles améliorations significatives ont été apportées, le document de configuration du test peut ne pas contenir de configuration appropriée et aucune attaque publique connue ne peut exister. Les modalités existantes peuvent également nécessiter une configuration de test adaptée à la suite d'une attaque nouvellement découverte. Dans les deux cas, vous devrez proposer une configuration de test raisonnable. Veuillez utiliser le lien Commentaires sur le site au bas de cette page pour nous faire savoir si vous avez mis en place un mécanisme raisonnable qui peut être ajouté.
Configurations pour différentes modalités
Empreinte digitale
RAI | Pas besoin. |
DAS |
|
Visage et Iris
RAI | La limite inférieure sera capturée par SAR, il n'est donc pas nécessaire de la mesurer séparément. |
DAS |
|
Voix
RAI |
|
DAS |
|