Conform Descopera: Verificarea identității digitale: O cursă contra cronometru între tehnologie și fraudă
Procesul de deschidere a unui cont bancar prin intermediul telefonului mobil, care implică adesea mișcarea capului în fața camerei, ascunde o complexitate mult mai mare decât pare la prima vedere. Sistemul nu se rezumă la a compara o fotografie cu imaginea facială. Prioritatea sa este de a confirma că în fața dispozitivului se află o persoană reală, prezentă în acel moment. Această provocare fundamentală în domeniul biometriei, cunoscută sub numele de detecție de vivacitate, vizează diferențierea dintre o persoană și o reprezentare a acesteia, fie că este vorba de o fotografie, un ecran de telefon sau o mască.
Cum detectează sistemul autenticitatea unei persoane
Metodele de detecție de vivacitate se divid în două mari categorii. Prima, cea pasivă, nu necesită nicio acțiune specială din partea utilizatorului. Sistemul analizează proprietăți subtile ale imaginii care diferă între o față umană și o reproducere. Pielea, de exemplu, reflectă lumina diferit față de hârtie sau sticlă, datorită unei dispersii luminoase sub suprafață, un efect pe care suprafețele plane nu îl pot replica fidel. De asemenea, ecranele de telefon pot genera un tipar de interferență numit moare, nedetectabil ochiului uman, dar recognoscibil algoritmic. Lipsa reliefului unei fețe în cazul unei suprafețe plane determină, la mișcarea capului, o diferență în deplasarea punctelor apropiate față de cele îndepărtate, un efect de paralaxă absent la o fotografie. Unele sisteme avansate monitorizează chiar și variațiile periodice minuscule ale culorii pielii, cauzate de circulația sanguină, cunoscute sub denumirea de fotopletismografie de la distanță.
Cea de-a doua categorie, detecția activă, solicită utilizatorului să efectueze anumite acțiuni, precum clipitul, privirea în diverse direcții sau citirea unui număr afișat pe ecran. O variantă mai sofisticată utilizează ecranul telefonului ca sursă de lumină, proiectând o secvență de culori și analizând modul în care acestea se reflectă pe față, pentru a distinge o suprafață plană de un volum tridimensional. Cu toate acestea, aceste metode se bazează pe presupunerea că semnalul provine de la camera fizică a dispozitivului.
Vulnerabilitățile crescânde ale sistemelor biometrice
Această presupunere este din ce în ce mai greu de menținut. Modelele generative de inteligență artificială au atins un nivel de sofisticare care le permite să imite mișcări umane precum clipitul sau rotirea capului, transformând barierele active în provocări ce pot fi depășite. Mai grav este faptul că un atacator poate eluda complet analiza fizică a scenei prin injectarea unui flux video fabricat direct în aplicație, utilizând camere virtuale sau manipulând intrările dispozitivului. Astfel, problema se mută de la „este imaginea umană și vie?” la „provine semnalul de la sursa pretinsă?”.
Răspunsul la această nouă provocare implică măsuri de securitate suplimentare, precum verificarea integrității aplicației și a dispozitivului, detectarea camerelor virtuale și analiza coerenței temporale a fluxului. Standardele internaționale, precum ISO/IEC 30107-3, au fost actualizate pentru a include testarea împotriva materialelor generate artificial și a injecțiilor de flux.
Noul buletin electronic: securitate robustă, dar acces restrictiv
În contrast, cartea electronică de identitate emisă în România reprezintă o evoluție semnificativă în materie de securitate. Formatul de card bancar integrează un cip conform standardelor internaționale ISO/IEC 7816, ISO/IEC 14443 și ICAO 9303, acesta din urmă fiind utilizat anterior pentru pașapoartele biometrice. Cipul dispune de o certificare EAL6+ în cadrul Common Criteria.
Accesul la informațiile de pe cip nu se poate face de la distanță și necesită consimțământul titularului. Pentru inițierea unei sesiuni, terminalul are nevoie de o cheie derivată din datele tipărite pe document, fie prin citirea zonei MRZ (Machine Readable Zone), fie prin introducerea manuală a unui cod. Ulterior, se stabilește un canal criptat securizat. Datele stocate pe cip sunt semnate digital de statul emitent, permițând terminalului să verifice integritatea informațiilor și autenticitatea sursei. Un mecanism secundar, autentificarea cipului, confirmă că microcipul este original printr-un schimb criptografic specific. Datele biometrice, precum imaginea facială și amprentele, sunt protejate suplimentar printr-un protocol Extended Access Control, accesibil doar autorităților desemnate. O aplicație bancară, de exemplu, nu poate accesa amprentele de pe cipul identității electronice.
O distincție esențială: documentul dovedește documentul, persoana rămâne de dovedit
Această asimetrie subliniază stadiul actual al domeniului: documentul electronic oferă certitudine matematică a autenticității sale, semnătura statului emitent fiind infailibilă. În schimb, verificarea identității unei persoane în fața camerei rămâne o problemă de probabilitate, bazată pe analiza semnalelor fizice și a provenienței acestora. Documentul dovedește autenticitatea sa, dar persoana necesită o dovadă separată, cele două aspecte nefiind interschimbabile.
Sursa: Descopera
