Medición de la seguridad de desbloqueo biométrico

Para ser consideradas compatibles con Android, las implementaciones de dispositivos deben cumplir con los requisitos presentados en el Documento de definición de compatibilidad con Android (CDD) . El CDD de Android 10 evalúa la seguridad de una implementación biométrica mediante seguridad arquitectónica y suplantación de identidad.

• Seguridad arquitectónica : la resiliencia de una canalización biométrica contra el kernel o el compromiso de la plataforma. Una canalización se considera segura si los compromisos del kernel y la plataforma no confieren la capacidad de leer datos biométricos sin procesar o inyectar datos sintéticos en la canalización para influir en la decisión de autenticación.
• Desempeño de la seguridad biométrica: el desempeño de la seguridad biométrica se mide por la tasa de aceptación de suplantación de identidad (SAR) , la tasa de aceptación falsa (FAR) y, cuando corresponda, la tasa de aceptación de impostores (IAR) de la biométrica. SAR es una métrica introducida en Android 9 para medir qué tan resistente es una biométrica contra un ataque de presentación física. Al medir datos biométricos, debe seguir los protocolos que se describen a continuación.

Android utiliza tres tipos de métricas para medir el rendimiento de la seguridad biométrica.

• Tasa de aceptación de suplantación de identidad (SAR) : define la métrica de la probabilidad de que un modelo biométrico acepte una buena muestra previamente registrada. Por ejemplo, con el desbloqueo por voz, esto mediría las posibilidades de desbloquear el teléfono de un usuario usando una muestra grabada de ellos diciendo: "Ok, Google". Llamamos a estos ataques Spoof Attacks . También conocido como Tasa de coincidencia de presentación de ataque de impostor (IAPMR).
• Tasa de aceptación de impostores (IAR) : define la métrica de la posibilidad de que un modelo biométrico acepte una entrada que pretende imitar una buena muestra conocida. Por ejemplo, en el mecanismo de voz confiable (desbloqueo de voz) de Smart Lock , esto mediría la frecuencia con la que alguien que intenta imitar la voz de un usuario (usando un tono y acento similar) puede desbloquear su dispositivo. Llamamos a tales ataques ataques de impostores .
• Tasa de falsa aceptación (FAR) : define las métricas de la frecuencia con la que un modelo acepta por error una entrada incorrecta elegida al azar. Si bien esta es una medida útil, no brinda suficiente información para evaluar qué tan bien el modelo resiste los ataques dirigidos.

Agentes de confianza

Android 10 cambia el comportamiento de los Trust Agents. Los Trust Agents no pueden desbloquear un dispositivo, solo pueden extender la duración del desbloqueo de un dispositivo que ya está desbloqueado. La cara de confianza está obsoleta en Android 10.

Clases Biométricas

La seguridad biométrica se clasifica utilizando los resultados de las pruebas de seguridad arquitectónica y falsificación. Una implementación biométrica se puede clasificar como Clase 3 (antes Fuerte) , Clase 2 (antes Débil) o Clase 1 (antes Conveniencia) . La siguiente tabla describe cada clase para los nuevos dispositivos Android 11.

Modalidades Clase 3 vs. Clase 2 vs. Clase 1

Las clases de seguridad biométrica se asignan en función de la presencia de una tubería segura y las tres tasas de aceptación: FAR, IAR y SAR. En los casos en que no exista un ataque impostor, consideramos solo el FAR y el SAR.

Consulte el Documento de definición de compatibilidad de Android (CDD) para conocer las medidas que se deben tomar para todas las modalidades de desbloqueo.

Autenticación de rostro e iris

Proceso de evaluación

El proceso de evaluación se compone de dos fases. La fase de calibración determina el ataque de presentación óptimo para una solución de autenticación dada (esa es la posición calibrada). La fase de prueba utiliza la posición calibrada para realizar múltiples ataques y evalúa la cantidad de veces que el ataque tuvo éxito. Los fabricantes de dispositivos Android y sistemas biométricos deben comunicarse con Android para obtener la guía de prueba más actualizada al enviar este formulario .

Es importante determinar primero la posición calibrada porque el SAR solo debe medirse usando ataques contra el punto más débil del sistema.

Fase de calibración

Hay tres parámetros para la autenticación de rostro e iris que deben optimizarse durante la fase de calibración para garantizar valores óptimos para la fase de prueba: instrumento de ataque de presentación (PAI), formato de presentación y rendimiento en la diversidad de sujetos.

Probando la diversidad

Es posible que los modelos de rostro e iris se desempeñen de manera diferente según el género, el grupo de edad y la raza o etnia. Calibre los ataques de presentación en una variedad de caras para maximizar las posibilidades de descubrir brechas en el rendimiento.

Fase de prueba

La fase de prueba es cuando se mide el rendimiento de la seguridad biométrica utilizando el ataque de presentación optimizado de la fase anterior.

Conteo de intentos en la fase de prueba

Un solo intento se cuenta como la ventana entre la presentación de una cara (real o falsa) y la recepción de algunos comentarios del teléfono (ya sea un evento de desbloqueo o un mensaje visible del usuario). Cualquier intento en el que el teléfono no pueda obtener suficientes datos para intentar una coincidencia no debe incluirse en el número total de intentos utilizados para calcular el SAR.

Protocolo de evaluación

Inscripción

Antes de comenzar la fase de calibración para la autenticación de rostro o iris, vaya a la configuración del dispositivo y elimine todos los perfiles biométricos existentes. Una vez que se hayan eliminado todos los perfiles existentes, registre un nuevo perfil con la cara objetivo o el iris que se usará para la calibración y la prueba. Es importante estar en un entorno bien iluminado al agregar una nueva cara o perfil de iris y que el dispositivo esté correctamente situado directamente frente a la cara objetivo a una distancia de 20 cm a 80 cm.

Fase de calibración

Realice la fase de calibración al menos dos veces: al menos una vez para especies PAI 2D y al menos una vez para especies PAI 3D. Esta fase determina, como mínimo, la posición calibrada para especies PAI 2D y la posición calibrada para especies PAI 3D. Se recomienda calibrar para cada especie, aunque no es obligatorio. Preparar el PAI.

Realización de la fase de calibración

Posiciones de referencia

• Posición de referencia : la posición de referencia se determina colocando el PAI a una distancia adecuada (20-80 cm) frente al dispositivo de tal manera que el PAI sea claramente visible a la vista del dispositivo, pero cualquier otra cosa que se esté utilizando (como un soporte para el PAI) no es visible.
• Plano de referencia horizontal : mientras el PAI está en la posición de referencia, el plano horizontal entre el dispositivo y el PAI es el plano de referencia horizontal.
• Plano de referencia vertical : mientras el PAI está en la posición de referencia, el plano vertical entre el dispositivo y el PAI es el plano de referencia vertical.

Arco vertical

Determine la posición de referencia y luego pruebe el PAI en un arco vertical manteniendo la misma distancia desde el dispositivo que la posición de referencia. Eleve el PAI en el mismo plano vertical, creando un ángulo de 10 grados entre el dispositivo y el plano de referencia horizontal y pruebe el desbloqueo facial.

Continúe elevando y probando el PAI en incrementos de 10 grados hasta que el PAI ya no sea visible en el campo de visión de los dispositivos. Registre cualquier posición que haya desbloqueado con éxito el dispositivo. Repita este proceso pero moviendo el PAI en un arco hacia abajo, por debajo del plano de referencia horizontal. Consulte la figura 3 a continuación para ver un ejemplo de las pruebas de arco.

Arco horizontal

Regrese el PAI a la posición de referencia y luego muévalo a lo largo del plano horizontal para crear un ángulo de 10 grados con el plano de referencia vertical. Realice la prueba de arco vertical con el PAI en esta nueva posición. Mueva el PAI a lo largo del plano horizontal en incrementos de 10 grados y realice la prueba de arco vertical en cada nueva posición.

Las pruebas de arco deben repetirse en incrementos de 10 grados tanto para el lado izquierdo como para el derecho del dispositivo, así como para la parte superior e inferior del dispositivo.

La posición que produce los resultados de desbloqueo más fiables es la posición calibrada para el tipo de especie PAI (por ejemplo, especie PAI 2D o 3D).

Fase de prueba

Al final de la fase de calibración debe haber dos posiciones calibradas , una para especies PAI 2D y otra para especies PAI 3D. Si no se puede establecer una posición calibrada, se debe utilizar la posición de referencia. La metodología de prueba es común para probar especies PAI 2D y 3D.

• Entre caras inscritas, donde E>= 10, e incluye al menos 10 caras únicas.
  • Registrar rostro/iris
  • Usando la posición calibrada de la fase anterior, realice U intentos de desbloqueo, contando los intentos como se describe en la sección anterior, y donde U >= 10. Registre el número de desbloqueos exitosos S .
  • El SAR se puede medir entonces como:

Dónde:

• E = el número de inscripciones
• U = el número de intentos de desbloqueo por inscripción
• Si = el número de desbloqueos exitosos para la inscripción i

Iteraciones necesarias para obtener muestras estadísticamente válidas de tasas de error: suposición de confianza del 95 % para todo lo siguiente, N grande

Tiempo requerido (30 segundos por intento, 10 sujetos)

Recomendamos apuntar a un margen de error del 5 %, lo que da una tasa de error real en la población del 2 % al 12 %.

Alcance

La fase de prueba mide la resiliencia de la autenticación facial principalmente frente a facsímiles del rostro del usuario objetivo. No aborda los ataques no basados ​​en fax, como el uso de LED o patrones que actúan como impresiones maestras. Si bien aún no se ha demostrado que estos sean efectivos contra los sistemas de autenticación facial basados ​​en profundidad, no hay nada que impida conceptualmente que esto sea cierto. Es posible y plausible que investigaciones futuras muestren que este es el caso. En este punto, este protocolo se revisará para incluir la medición de la resiliencia frente a estos ataques.

Autenticación de huellas dactilares

En Android 9, el listón se fijó en una resistencia mínima a los PAI según lo medido por una Tasa de aceptación de suplantación de identidad (SAR) que es inferior o igual al 7 %. En esta publicación de blog se puede encontrar una breve justificación de por qué el 7 % específicamente.

Proceso de evaluación

El proceso de evaluación se compone de dos fases. La fase de calibración determina el ataque de presentación óptimo para una determinada solución de autenticación de huellas dactilares (es decir, la posición calibrada). La fase de prueba utiliza la posición calibrada para realizar múltiples ataques y evalúa la cantidad de veces que el ataque tuvo éxito. Los fabricantes de dispositivos Android y sistemas biométricos deben comunicarse con Android para obtener la guía de prueba más actualizada al enviar este formulario .

Fase de calibración

Hay tres parámetros para la autenticación de huellas dactilares que deben optimizarse para garantizar valores óptimos para la fase de prueba: el instrumento de ataque de presentación (PAI), el formato de presentación y el rendimiento en la diversidad de sujetos.

• El PAI es la falsificación física, como las huellas dactilares impresas o una réplica moldeada son ejemplos de medios de presentación. Se recomienda encarecidamente los siguientes materiales falsos
  • Sensores ópticos de huellas dactilares (FPS)
    • Papel de copia/Transparencia con tinta no conductora
    • Gelatina Knox
    • Pintura latex
    • Pegamento de Elmer Todo
  • FPS capacitivo
    • Gelatina Knox
    • Pegamento interior para madera de carpintero de Elmer
    • Pegamento de Elmer Todo
    • Pintura latex
  • FPS ultrasónico
    • Gelatina Knox
    • Pegamento interior para madera de carpintero de Elmer
    • Pegamento de Elmer Todo
    • Pintura latex
• El formato de presentación se relaciona con una mayor manipulación del PAI o del entorno, de una manera que ayuda a la suplantación de identidad. Por ejemplo, retocar o editar una imagen de alta resolución de una huella digital antes de crear la réplica en 3D.
• El rendimiento en la diversidad de sujetos es especialmente relevante para ajustar el algoritmo. Probar el flujo de calibración entre los géneros, grupos de edad y razas/etnias de los sujetos a menudo puede revelar un rendimiento sustancialmente peor para los segmentos de la población mundial y es un parámetro importante para calibrar en esta fase.

Probando la diversidad

Es posible que los lectores de huellas dactilares funcionen de manera diferente según el género, los grupos de edad y las razas/etnias. Un pequeño porcentaje de la población tiene huellas dactilares que son difíciles de reconocer, por lo que se debe utilizar una variedad de huellas dactilares para determinar los parámetros óptimos para el reconocimiento y las pruebas falsas.

Fase de prueba

La fase de prueba es cuando se mide el rendimiento de la seguridad biométrica. Como mínimo, las pruebas deben realizarse de manera no cooperativa, lo que significa que las huellas dactilares recolectadas se toman levantándolas de otra superficie en lugar de que el objetivo participe activamente en la recolección de su huella digital, como hacer un molde cooperativo de la dedo del sujeto. Esto último está permitido pero no es obligatorio.

Conteo de intentos en la fase de prueba

Un solo intento se cuenta como la ventana entre la presentación de una huella digital (real o falsificada) al sensor y la recepción de algunos comentarios del teléfono (ya sea un evento de desbloqueo o un mensaje visible del usuario).

Cualquier intento en el que el teléfono no pueda obtener suficientes datos para intentar una coincidencia no debe incluirse en el número total de intentos utilizados para calcular el SAR.

Protocolo de evaluación

Inscripción

Antes de comenzar la fase de calibración para la autenticación de huellas dactilares, navegue a la configuración del dispositivo y elimine todos los perfiles biométricos existentes. Una vez que se hayan eliminado todos los perfiles existentes, registre un nuevo perfil con la huella digital de destino que se utilizará para la calibración y las pruebas. Siga todas las instrucciones en pantalla hasta que el perfil se haya registrado correctamente.

Fase de calibración

FPS óptico

Esto es similar a las fases de calibración ultrasónica y capacitiva, pero con especies PAI 2D y 2.5D de la huella dactilar del usuario objetivo.

• Levante una copia latente de la huella dactilar de una superficie.
• Prueba con especies PAI 2D
  • Coloque la huella digital levantada en el sensor
• Prueba con especies PAI 2.5D.
  • Crear un PAI de la huella
  • Coloque el PAI en el sensor

FPS ultrasónico

La calibración para ultrasonido implica levantar una copia latente de la huella dactilar objetivo. Por ejemplo, esto se puede hacer utilizando huellas dactilares extraídas con polvo para huellas dactilares o copias impresas de una huella dactilar y puede incluir el retoque manual de la imagen de la huella dactilar para lograr una mejor falsificación.

Después de obtener la copia latente de la huella dactilar objetivo, se realiza un PAI.

FPS capacitivo

La calibración para capacitiva implica los mismos pasos descritos anteriormente para la calibración ultrasónica.

Fase de prueba

• Logre que al menos 10 personas únicas se inscriban usando los mismos parámetros que se usaron al calcular el FRR/FAR
• Crear PAI para cada persona
• El SAR se puede medir entonces como:

Iteraciones necesarias para obtener muestras estadísticamente válidas de tasas de error: suposición de confianza del 95 % para todo lo siguiente, N grande

Tiempo requerido (30 segundos por intento, 10 sujetos)

Recomendamos apuntar a un margen de error del 5 %, lo que da una tasa de error real en la población del 2 % al 12 %.

Alcance

Este proceso está configurado para probar la resiliencia de la autenticación de huellas dactilares principalmente contra facsímiles de la huella dactilar del usuario objetivo. La metodología de prueba se basa en los costos actuales de materiales, disponibilidad y tecnología. Este protocolo se revisará para incluir la medición de la resiliencia frente a nuevos materiales y técnicas a medida que se vuelven prácticos de ejecutar.

Consideraciones comunes

Si bien cada modalidad requiere una configuración de prueba diferente, hay algunos aspectos comunes que se aplican a todos ellos.

Probar el hardware real

Las métricas SAR/IAR recopiladas pueden ser inexactas cuando los modelos biométricos se prueban en condiciones ideales y en un hardware diferente al que realmente aparecería en un dispositivo móvil. Por ejemplo, los modelos de desbloqueo por voz que se calibran en una cámara anecoica con una configuración de múltiples micrófonos se comportan de manera muy diferente cuando se usan en un solo dispositivo de micrófono en un entorno ruidoso. Para capturar métricas precisas, las pruebas deben realizarse en un dispositivo real con el hardware instalado y, en su defecto, con el hardware tal como aparecería en el dispositivo.

Usar ataques conocidos

La mayoría de las modalidades biométricas que se utilizan hoy en día se han falsificado con éxito y existe documentación pública de la metodología de ataque. A continuación, proporcionamos una breve descripción general de alto nivel de las configuraciones de prueba para modalidades con ataques conocidos. Recomendamos usar la configuración descrita aquí siempre que sea posible.

Anticiparse a nuevos ataques

Para las modalidades en las que se han realizado nuevas mejoras significativas, es posible que el documento de configuración de prueba no contenga una configuración adecuada y que no exista ningún ataque público conocido. Las modalidades existentes también pueden necesitar que se ajuste su configuración de prueba a raíz de un ataque recién descubierto. En ambos casos, deberá crear una configuración de prueba razonable. Utilice el enlace Comentarios sobre el sitio en la parte inferior de esta página para informarnos si ha configurado un mecanismo razonable que se pueda agregar.

Configuraciones para diferentes modalidades

Huella dactilar

cara e iris

Voz