Medindo a segurança de desbloqueio biométrico 1

Para ser considerado compatível com Android, implementações de dispositivos devem cumprir os requisitos apresentados no Definição de Compatibilidade Android Document (CDD) . O Android 10 CDD avalia a segurança de uma aplicação biométrica usando a segurança de arquitetura e spoofability.

• Segurança arquitetônica: A resiliência de um gasoduto biométrica contra kernel ou plataforma de compromisso. Um pipeline é considerado seguro se os comprometimentos do kernel e da plataforma não conferem a capacidade de ler dados biométricos brutos ou injetar dados sintéticos no pipeline para influenciar a decisão de autenticação.
• Biometric desempenho de segurança: o desempenho de segurança biométrica é medido pela paródia Acceptance Rate (SAR) , False Acceptance Rate (FAR), e, quando aplicável, Imposter Acceptance Rate (IAR) da biométrica. SAR é uma métrica introduzida no Android 9 para medir o quão resiliente uma biométrica é contra um ataque de apresentação física. Ao medir a biometria, você precisa seguir os protocolos descritos a seguir.

O Android usa três tipos de métricas para medir o desempenho da segurança biométrica.

• Paródia Acceptance Rate (SAR): define a métrica de A chance de que um modelo biométrico aceita uma previamente gravada, boa amostra conhecida. Por exemplo, com desbloqueio voz isso iria medir as chances de desbloquear o telefone de um usuário usando uma amostra gravada deles dizendo: "Ok, Google" Chamamos esses ataques Paródia ataques. Também conhecido como Impostor Attack Presentation Match Rate (IAPMR).
• Imposter Acceptance Rate (IAR): define a métrica da chance de que um modelo biométrico aceita entrada que se destina a um mímico conhecida boa amostra. Por exemplo, no bloqueio inteligente mecanismo de voz (desbloqueio voz) confiável, isso medir quantas vezes alguém tentando voz do usuário um mímico (usando tom semelhante e sotaque) pode desbloquear seu dispositivo. Chamamos esses ataques Imposter ataques.
• False Acceptance Rate (FAR): Define as métricas de quantas vezes um modelo aceita erroneamente uma entrada incorreta escolhido aleatoriamente. Embora seja uma medida útil, ela não fornece informações suficientes para avaliar como o modelo resiste a ataques direcionados.

Agentes de confiança

O Android 10 muda o comportamento dos Agentes de confiança. Agentes de confiança não podem desbloquear um dispositivo, eles só podem estender a duração do desbloqueio para um dispositivo que já está desbloqueado. O rosto confiável está obsoleto no Android 10.

Aulas Biométricas

A segurança biométrica é classificada usando os resultados dos testes de segurança arquitetônica e falsificação. Uma implementação biométrica pode ser classificada como classe 3 (anteriormente forte), classe 2, (anteriormente fraco), ou Classe 1 (anteriormente de conveniência). A tabela abaixo descreve cada classe para novos dispositivos Android 11.

Modalidades de Classe 3 vs. Classe 2 vs. Classe 1

As classes de segurança biométrica são atribuídas com base na presença de um duto seguro e nas três taxas de aceitação - FAR, IAR e SAR. Nos casos em que não existe um ataque de impostor, consideramos apenas o FAR e o SAR.

Veja o documento Definição de Compatibilidade Android (CDD) para as medidas a tomar para todas as modalidades de desbloqueio.

Autenticação de rosto e íris

Processo de avaliação

O processo de avaliação é composto por duas fases. A fase de calibração determina o ataque apresentação óptima para uma dada solução de autenticação (que é a posição calibrada). A fase de teste utiliza a posição calibrada para executar múltiplos ataques e avalia o número de vezes que o ataque foi bem sucedido. Os fabricantes de dispositivos Android e sistemas biométricos deverão contactar Android para a orientação teste mais up-to-date, submetendo este formulário .

É importante determinar primeiro a posição calibrada porque o SAR só deve ser medido usando ataques contra o maior ponto de fraqueza do sistema.

Fase de calibração

Existem três parâmetros para autenticação de face e íris que precisam ser otimizados durante a fase de calibração para garantir os valores ideais para a fase de teste: instrumento de ataque de apresentação (PAI), formato de apresentação e desempenho em diversidade de assuntos.

Diversidade de teste

É possível que os modelos de rosto e íris tenham um desempenho diferente entre gêneros, grupos de idade e raças / etnias. Calibre os ataques de apresentação em uma variedade de faces para maximizar as chances de descobrir lacunas no desempenho.

Fase de Teste

A fase de teste é quando o desempenho da segurança biométrica é medido usando o ataque de apresentação otimizado da fase anterior.

Tentativas de contagem na fase de teste

Uma única tentativa é contada como a janela entre apresentar um rosto (real ou falsificado) e receber algum feedback do telefone (um evento de desbloqueio ou uma mensagem visível para o usuário). Todas as tentativas em que o telefone não consegue obter dados suficientes para tentar uma correspondência não devem ser incluídas no número total de tentativas usadas para calcular o SAR.

Protocolo de avaliação

Inscrição

Antes de iniciar a fase de calibração para autenticação de face ou íris, navegue até as configurações do dispositivo e remova todos os perfis biométricos existentes. Depois que todos os perfis existentes forem removidos, registre um novo perfil com a face ou íris alvo que será usada para calibração e teste. É importante estar em um ambiente bem iluminado ao adicionar uma nova face ou perfil de íris e que o dispositivo esteja corretamente situado diretamente em frente à face alvo, a uma distância de 20 cm a 80 cm.

Fase de calibração

Realize a fase de calibração pelo menos duas vezes: pelo menos uma vez para espécies 2D PAI e pelo menos uma vez para espécies 3D PAI. Esta fase determina, no mínimo, a posição calibrada para espécies de PAI 2D e a posição calibrada para espécies de PAI 3D. A calibração para cada espécie é recomendada, embora não seja obrigatória. Prepare o PAI.

Conduzindo a fase de calibração

Posições de referência

• Posição de referência: A posição de referência é determinada colocando o PAI a uma distância adequada (20-80cm) na frente do dispositivo de tal maneira que um, onde o PAI é claramente visível na vista do dispositivo, mas qualquer outra coisa que está sendo usado (tal como um carrinho para o PAI) não é visível.
• Plano de referência horizontal: Enquanto o PAI está na posição de referência o plano horizontal entre o dispositivo e o PAI é o plano de referência horizontal.
• Plano vertical de referência: Enquanto o PAI está na posição de referência do plano vertical entre o dispositivo e o PAI é o plano vertical de referência.

Arco vertical

Determine a posição de referência e teste o PAI em um arco vertical mantendo a mesma distância do dispositivo que a posição de referência. Eleve o PAI no mesmo plano vertical, criando um ângulo de 10 graus entre o dispositivo e o plano de referência horizontal e teste o desbloqueio facial.

Continue a aumentar e testar o PAI em incrementos de 10 graus até que o PAI não esteja mais visível no campo de visão dos dispositivos. Registre todas as posições que desbloquearam o dispositivo com sucesso. Repita este processo, mas movendo o PAI em um arco para baixo, abaixo do plano de referência horizontal. Veja a figura 3 abaixo para um exemplo dos testes de arco.

Arco horizontal

Retorne o PAI à posição de referência e mova-o ao longo do plano horizontal para criar um ângulo de 10 graus com o plano de referência vertical. Execute o teste de arco vertical com o PAI nesta nova posição. Mova o PAI ao longo do plano horizontal em incrementos de 10 graus e execute o teste de arco vertical em cada nova posição.

Os testes de arco precisam ser repetidos em incrementos de 10 graus para os lados esquerdo e direito do dispositivo, bem como acima e abaixo do dispositivo.

A posição que produz os resultados mais fiáveis desbloqueio é a posição calibrada para o tipo de espécies PAI (por exemplo, em 2D ou 3D) PAI espécies.

Fase de teste

No final da fase de calibração deve haver duas posições calibrados, uma para espécies 2D PAI e um para espécies 3D PAI. Se uma posição calibrada não puder ser estabelecida, a posição de referência deve ser usada. A metodologia de teste é comum para testar espécies de PAI 2D e 3D.

• Entre faces registradas, onde E> = 10, e inclui pelo menos 10 faces únicas.
  • Inscrever rosto / íris
  • Usando a posição calibrada a partir da fase anterior, executar L tentativas de desbloqueio, contando tentativas como descrito na secção anterior, e onde L> = 10. ficha o número de desbloqueia sucesso S.
  • O SAR pode então ser medido como:

Onde:

• E = o número de matrículas
• U = o número de tentativas de desbloqueio por inscrição
• Si = o número de desbloqueios bem-sucedidos para inscrição i

Iterações necessárias para obter amostras estatisticamente válidas de taxas de erro: suposição de confiança de 95% para todos abaixo, N grande

Tempo necessário (30 segundos por tentativa, 10 disciplinas)

Recomendamos almejar uma margem de erro de 5%, o que dá uma taxa de erro real na população de 2% a 12%.

Alcance

A fase de teste mede a resiliência da autenticação facial principalmente em relação aos fac-símiles do rosto do usuário-alvo. Ele não aborda ataques não baseados em fac-símile, como o uso de LEDs ou padrões que atuam como impressões mestras. Embora ainda não tenham se mostrado eficazes contra os sistemas de autenticação facial baseados em profundidade, não há nada que conceitualmente impeça que isso seja verdade. É possível e plausível que pesquisas futuras mostrem ser esse o caso. Neste ponto, este protocolo será revisado para incluir a medição da resiliência contra esses ataques.

Autenticação de impressão digital

No Android 9, a barra foi fixado em um mínimo de resistência ao PAI como medido por um imite Taxa de aceitação (SAR) que é menor do que ou igual a 7%. Uma breve justificativa do porquê de 7% especificamente podem ser encontrados em este post .

Processo de avaliação

O processo de avaliação é composto por duas fases. A fase de calibração determina o ataque apresentação óptima para uma solução de autenticação de impressão digital dado (que é, a posição calibrada). A fase de teste utiliza a posição calibrada para executar múltiplos ataques e avalia o número de vezes que o ataque foi bem sucedido. Os fabricantes de dispositivos Android e sistemas biométricos deverão contactar Android para a orientação teste mais up-to-date, submetendo este formulário .

Fase de calibração

Existem três parâmetros para autenticação de impressão digital que precisam ser otimizados para garantir valores ideais para a fase de teste: o instrumento de ataque de apresentação (PAI), formato de apresentação e desempenho em diversidade de assuntos

• O PAI é o paródia física, tais como impressões digitais impressas ou uma réplica moldados são todos exemplos de meios de apresentação. Os seguintes materiais falsificados são fortemente recomendados
  • Sensores ópticos de impressão digital (FPS)
    • Copie papel / transparência com tinta não condutora
    • Knox Gelatina
    • Tinta látex
    • Elmer's Glue All
  • FPS capacitivo
    • Knox Gelatina
    • Cola de madeira para interiores de carpinteiro de Elmer
    • Elmer's Glue All
    • Tinta látex
  • Ultrasonic FPS
    • Knox Gelatina
    • Cola de madeira para interiores de carpinteiro de Elmer
    • Elmer's Glue All
    • Tinta látex
• O formato de apresentação refere-se a manipulação adicional do PAI ou o ambiente, de forma que os auxílios falsificação. Por exemplo, retocar ou editar uma imagem de alta resolução de uma impressão digital antes de criar a réplica 3D.
• Desempenho em toda a diversidade assunto é especialmente relevante para o ajuste do algoritmo. Testar o fluxo de calibração entre os gêneros, grupos de idade e raças / etnias dos sujeitos pode muitas vezes revelar um desempenho substancialmente pior para segmentos da população global e é um parâmetro importante para calibrar nesta fase.

Diversidade de teste

É possível que os leitores de impressão digital tenham um desempenho diferente em gênero, faixa etária e raça / etnia. Uma pequena porcentagem da população tem impressões digitais que são difíceis de reconhecer, portanto, uma variedade de impressões digitais deve ser usada para determinar os parâmetros ideais para reconhecimento e testes de falsificação.

Fase de teste

A fase de teste é quando o desempenho da segurança biométrica é medido. No mínimo, o teste deve ser feito de uma maneira não cooperativa, o que significa que quaisquer impressões digitais coletadas são feitas levantando-as de outra superfície em vez de ter o alvo participando ativamente da coleta de suas impressões digitais, como fazer um molde cooperativo do dedo do assunto. O último é permitido, mas não obrigatório.

Tentativas de contagem na fase de teste

Uma única tentativa é contada como a janela entre a apresentação de uma impressão digital (real ou falsificada) ao sensor e o recebimento de algum feedback do telefone (um evento de desbloqueio ou uma mensagem visível ao usuário).

Todas as tentativas em que o telefone não consegue obter dados suficientes para tentar uma correspondência não devem ser incluídas no número total de tentativas usadas para calcular o SAR.

Protocolo de avaliação

Inscrição

Antes de iniciar a fase de calibração para autenticação de impressão digital, navegue até as configurações do dispositivo e remova todos os perfis biométricos existentes. Depois que todos os perfis existentes forem removidos, registre um novo perfil com a impressão digital alvo que será usada para calibração e teste. Siga todas as instruções na tela até que o perfil seja inscrito com sucesso.

Fase de calibração

FPS óptico

Isso é semelhante às fases de calibração de ultrassom e capacitivo, mas com espécies 2D e 2,5D PAI da impressão digital do usuário alvo.

• Retire uma cópia latente da impressão digital de uma superfície.
• Teste com espécies 2D PAI
  • Coloque a impressão digital levantada no sensor
• Teste com espécies 2,5D PAI.
  • Crie um PAI da impressão digital
  • Coloque o PAI no sensor

Ultrasonic FPS

A calibração para ultrassom envolve o levantamento de uma cópia latente da impressão digital alvo. Por exemplo, isso pode ser feito usando impressões digitais levantadas por meio de pó de impressão digital ou cópias impressas de uma impressão digital e pode incluir um novo toque manual da imagem da impressão digital para obter uma melhor falsificação.

Após a obtenção da cópia latente da impressão digital alvo, é feito um PAI.

FPS capacitivo

A calibração para capacitivo envolve as mesmas etapas descritas acima para calibração ultrassônica.

Fase de teste

• Faça com que pelo menos 10 pessoas únicas se inscrevam usando os mesmos parâmetros usados ​​para calcular o FRR / FAR
• Crie PAIs para cada pessoa
• O SAR pode então ser medido como:

Iterações necessárias para obter amostras estatisticamente válidas de taxas de erro: suposição de confiança de 95% para todos abaixo, N grande

Tempo necessário (30 segundos por tentativa, 10 disciplinas)

Recomendamos almejar uma margem de erro de 5%, o que dá uma taxa de erro real na população de 2% a 12%.

Alcance

Este processo é configurado para testar a resiliência da autenticação da impressão digital principalmente em relação aos fac-símiles da impressão digital do usuário alvo. A metodologia de teste é baseada nos custos atuais de material, disponibilidade e tecnologia. Este protocolo será revisado para incluir a medição da resiliência em relação a novos materiais e técnicas à medida que se tornam práticos de execução.

Considerações comuns

Embora cada modalidade exija uma configuração de teste diferente, existem alguns aspectos comuns que se aplicam a todos eles.

Teste o hardware real

As métricas de SAR / IAR coletadas podem ser imprecisas quando os modelos biométricos são testados em condições idealizadas e em hardware diferente do que seria realmente exibido em um dispositivo móvel. Por exemplo, os modelos de desbloqueio por voz calibrados em uma câmara anecóica usando uma configuração de multi-microfone se comportam de maneira muito diferente quando usados ​​em um único dispositivo de microfone em um ambiente barulhento. Para capturar métricas precisas, os testes devem ser realizados em um dispositivo real com o hardware instalado e, em caso de falha, com o hardware como apareceria no dispositivo.

Use ataques conhecidos

A maioria das modalidades biométricas em uso hoje foi falsificada com sucesso e existe documentação pública da metodologia de ataque. Abaixo, fornecemos uma breve visão geral de alto nível das configurações de teste para modalidades com ataques conhecidos. Recomendamos usar a configuração descrita aqui sempre que possível.

Antecipe novos ataques

Para modalidades onde novas melhorias significativas foram feitas, o documento de configuração de teste pode não conter uma configuração adequada e nenhum ataque público conhecido pode existir. As modalidades existentes também podem precisar de sua configuração de teste ajustada na sequência de um ataque recém-descoberto. Em ambos os casos, você precisará definir uma configuração de teste razoável. Por favor use o website link na parte inferior desta página para deixar-nos saber se você tiver configurado um mecanismo razoável que pode ser adicionado.

Configurações para diferentes modalidades

Impressão digital

Rosto e íris

Voz