گواهینامه فناوری تشخیص زنده بودن و راه حل های تایید شده تشخیص زنده بودن که به عنوان تشخیص حمله نمایش (PAD: Presentation Attack Detection) نیز شناخته می‌شود، این روزها به موضوع داغ کل صنعت بیومتریک تبدیل شده است. در ادامه، این مقاله مهمترین عناصر گواهی تشخیص زنده بودن، از جمله ارزیابی های PAD و گواهینامه‌های FIDO و همچنین محدودیت‌های آنها را توضیح می‌دهیم. با ما همراه باشید.
تا ۳ سال پیش، گواهینامه فناوری تشخیص زنده بودن، موضوعی غیرقابل استفاده در صنعت تشخیص چهره تجاری بود. حتی اگر صحبت از مبارزه با جعل هویت بیومتریک می شد، هیچ اصطلاحی به طور عمومی تعریف نشده بود. در آن زمان، در غیاب راه حل‌های جامع برای ایمن‌سازی تشخیص چهره در برابر حملات، اصلاً بحث عمومی در مورد مبارزه با جعل بیومتریک وجود نداشت. در نتیجه، هیچ گواهی یا ارزیابی تشخیص زنده بودن عینی و قابل مقایسه در دسترس نبود. این موضوع به تازگی تغییر کرده است و جا افتاده است.
بخش‌های زیر به این منظور طراحی شده‌اند که شرکت‌های نیازمند به راه‌حل PAD را قادر می‌سازند تا ارزش اطلاعاتی گواهینامه فناوری تشخیص زنده بودن را تخمین بزنند.
در این مطلب قرار است به موارد زیر بپردازیم:
- زمینه و تاریخچه گواهینامه‌های تشخیص زنده بودن؛
- فرآیند دریافت تشخیص زنده بودن تایید شده؛
- سطوح مختلف حملات ارائه؛
- اندازه‌گیری عملکرد بیومتریک ضد جعل؛
- محدودیت های صدور گواهینامه فناوری تشخیص زنده بودن.
تشخیص حمله نمایش و تشخیص زنده بودن مطابق با گواهی ISO
دانش این مقاله بر اساس تجربه BioID با دو نوع مختلف گواهینامه تشخیص زنده بودن است: BioID یک ارزیابی PAD را با آزمایشگاه آلمانی TÜV Informationstechnik GmbH (TÜViT) انجام داده است. ممیزی مطابقت ISO 30107-3 با فناوری تشخیص حمله نمایش BioID را تأیید می‌کند. آزمایشگاه بیومتریک معتبر FIDO TÜViT بر اساس معیارهای مبتنی بر الزامات گواهینامه بیومتریک FIDO v1.1 (FIDO1.1) و ISO/IEC 30107-3:2017 (ISO/IEC30107-3) آزمایش کرد. معیارهای اعمال شده توسط TÜViT سختگیرانه‌تر از FIDO1.1 در نظر گرفته شده است، بنابراین با موفقیت آزمون، معیارهای FIDO نیز برآورده شده است. علاوه بر این، ARIADNEXT، یک مشتری بلندمدت BioID، راه حلی برای تأیید هویت ارائه می‌دهد که با گواهینامه مؤلفه بیومتریک FIDO در نوامبر ۲۰۲۰ تأیید شده است. این راه حل شامل تشخیص زنده بودن BioID برای جلوگیری از تقلب است. قابلیت اطمینان آن در طول مراحل آزمایش FIDO در سال ۲۰۲۰ به طور کامل مورد آزمایش قرار گرفت.
استاندارد ISO/IEC 30107-3 برای تشخیص حمله نمایش در سپتامبر ۲۰۱۷ معرفی شد. این استاندارد در فرآیند رسمی صدور گواهینامه FIDO گنجانده شده است. همچنین، منجر به ایجاد آزمایشگاه‌های مستقلی شده است که ارزیابی‌های PAD را بر اساس این استاندارد ISO ارائه می‌دهند. اگر تشخیص زنده بودن تصویر تایید شده بر اساس این استاندارد ISO/IEC 30107-3 باشد، عنصر خاصی از مقایسه بین ارزیابی‌های مختلف وجود دارد. با این حال، مهم است که نگاه دقیق‌تری به پروتکل‌ها و نتایج آزمایش بیندازیم زیرا آزمایشگاه‌ها یا مراکز آزمایش مختلف در نحوه انجام ارزیابی عملکرد متفاوت هستند. این امر می‌تواند منجر به اختلاف ارزش اطلاعاتی گواهی‌های تشخیص زنده بودن شود. به دلیل سناریوهای آزمایشی محدود، ممکن است نتایج به سناریوهای واقعی قابل انتقال نباشد. از این رو، ممکن است همیشه انجام ارزیابی عملکرد فردی قبل از تصمیم‌گیری برای راه حل ضد جعل توصیه شود.
گواهی تشخیص زنده بودن چگونه کار می‌کند؟
یک فروشنده بیومتریک (biometric vendor) که تلاش می‌کند گواهینامه فناوری تشخیص زنده بودن تصویر تایید شده ارائه دهد، باید با یکی از آزمایشگاه های معتبر تعامل داشته باشد و یک راه حل نرم افزاری یا سخت افزاری برای ارزیابی ارائه دهد. تعداد کمی از آزمایشگاه‌های معتبر گواهینامه فناوری تشخیص زنده بودن تصویرارائه می‌دهند که عبارتند از:
- TÜV IT آلمان؛
- مرکز تحقیقات و آزمایش بیومتریک سوئیس (موسسه تحقیقاتی Idiap)؛
- ELITT/Leti CEA فرانسه.
برای ارائه گواهینامه فناوری تشخیص زنده بودن تصویر تایید شده، فروشندگان بیومتریک می توانند گواهی FIDO را انجام دهند یا صرفاً ارزیابی PAD را انجام دهند. علاوه بر عملکرد PAD، گواهینامه FIDO همچنین شامل عملکرد تأیید بیومتریک (تشخیص چهره بیومتریک) است. در طول هر دو تست عملکرد، سیستم‌های ضد جعل بیومتریک با تشخیص حمله نمایش مانند عکس‌های چاپ شده، ماسک‌های کاغذی یا فیلم‌ها به چالش کشیده می‌شوند. در صورت موفقیت آمیز بودن آزمایش بر اساس ISO/IEC 30107-3، فروشنده بیومتریک یک گزارش آزمایش (در مورد ارزیابی PAD) یا گواهیFIDO (در صورت انجام گواهینامه کامل FIDO) دریافت می‌کند.
کدام حمله‌های نمایش آزمایش می‌شوند؟
با توجه به الزامات بیومتریک FIDO منتشر شده در تاریخ ۰۶/۲۰۱۹، سه سطح سناریوهای حمله نمایش وجود دارد که می‌توان آنها را آزمایش کرد. این موارد عمدتاً در مورد فاکتورهای زمان، تخصص و تجهیزات مورد نیاز برای ایجاد حمله متفاوت هستند (جدول ۱ را ببینید). سطح A شامل چاپ‌های ساده عکس یا عکسی است که روی نمایشگر گوشی هوشمند ارائه می‌شود، در حالی که سطح B علاوه بر این شامل ماسک های کاغذی یا فیلم های یک شخص است. برای مثال، سطح C نشان‌دهنده ماسک‌های سیلیکونی و همچنین ویدیوهای باکیفیت از یک فرد است که روی یک صفحه نمایش با وضوح بالا ارائه می‌شود. هر یک از این نمونه های حمله، ابزار حمله نمایش (presentation attack instrument (PAI)) نامیده می‌شود. این آزمایش با کلاس‌هایی از حملات، به اصطلاح گونه‌های PAI انجام می‌شود. چنین گونه PAI می‌تواند نمایشگر آیفون ۸ باشد که عکس افراد مختلف را ارائه می‌دهد. نمونه دیگری از گونه‌های PAI، عکس‌های افراد مختلف است که روی یک کاغذ با چاپگر یکسان چاپ شده‌اند. ارزیابی PAD می تواند برای هر یک از سطوح A-C به طور جداگانه انجام شود. برای صدور گواهینامه FIDO، یک الگوریتم به طور پیش‌فرض باید تلاش‌های جعلی را در سطوح A و B شناسایی کند.
چگونه عملکرد زنده بودن تشخیص چهره تایید شده سنجیده می‌شود؟
برای تشخیص و تایید گواهینامه فناوری تشخیص زنده بودن تصویر، مقادیر مشخصی برای ارزیابی عملکرد محاسبه می‌شوند: APCER (نرخ خطای طبقه‌بندی حمله نمایش) و BPCER (نرخ خطای طبقه‌بندی نمایش‌های خوب).
APCER نسبت حملاتی که به اشتباه به عنوان افراد زنده طبقه‌بندی می شوند را محاسبه می‌کند. BPCER نشان‌دهنده نسبت افراد زنده (که Bona-fide نیز نامیده می شود) به افرادی را طبقه بندی می‌کند که به عنوان تقلبی شناخته می‌شوند. برای ارزیابی PAD صرف، هیچ عملکرد تأییدی انجام نمی‌شود. فقط آزمایش می‌شود که آیا چهره ارائه شده از یک شخص زنده است یا خیر. برای یک گواهینامه کامل FIDO، مقدار محاسبه‌شده شامل نتیجه تأیید (تشخیص چهره) نیز می‌شود که منجر به IAPMR (میزان تطابق نمایش حمله مغایر) می‌شود. این عدد نشان دهنده نسبت حملاتی است که توسط فریبکارانی انجام شده که به اشتباه به عنوان شخص واقعی پذیرفته شده‌اند.
برای دریافت تشخیص زنده بودن تایید شده که در گواهینامه FIDO گنجانده شده است، به ۱۰ گونه مهاجم ارائه شده (۶ گونه از سطح A و ۴ از سطح B، طبق جدول ۱) و همچنین ۱۰ نفر (موضوع) نیاز است. این امر منجر به ۱۰۰ PAI می شود. هر کدام حداکثر ۵ تلاش برای جعل تشخیص زنده بودن دارند. به عبارت دیگر، ۵۰ تلاش برای هر گونه، یا ۵۰۰ تلاش برای جعل در مجموع استفاده می‌شود. برای تکمیل موفقیت‌آمیز این بخش از آزمایش عملکرد، IAPMR باید کمتر از ۲۰ درصد در هر گونه PAI باشد، به این معنی که کمتر از ۱۰ مورد از ۵۰ تلاش برای هر گونه ممکن است به اشتباه به عنوان یک فرد زنده طبقه‌بندی شود. به منظور ارائه اندازه‌گیری عملکرد هدف مورد نظر، گواهینامه‌های تشخیص زنده بودن که بخشی از فرآیند صدور گواهینامه FIDO نیستند، باید به طور مشابه طراحی شوند.
محدودیت‌های گواهینامه‌های تشخیص زنده بودن
به طور دقیق، هیچ گواهینامه ای برای تشخیص حمله نمایش در بازار موجود نیست، زیرا استاندارد بین المللی PAD، ISO/IEC 30107-3، پروتکل تست استاندارد شده‌ای را ارائه نمی دهد که بتوان از آن برای انجام تست و گواهی مشابه استفاده کرد. در نتیجه، هیچ راه حل تایید شده تشخیص زنده بودن در بازار نیز وجود ندارد. اما آزمایشگاه‌های تست بیومتریک مانند TÜViT از آلمان یا Idiap از سوئیس می‌توانند ارزیابی‌هایی را بر اساس استاندارد ISO انجام دهند و در نتیجه انطباق فناوری با ISO را تأیید کنند. با این حال، اصطلاح “گواهینامه فناوری تشخیص زنده بودن تصویر” یا “تشخیص زنده بودن تایید شده” به طور گسترده مورد استفاده قرار گرفته است.
محدودیت‌های خاصی در گواهی‌های تشخیص زنده بودن وجود دارد که باید هنگام استفاده از آنها به عنوان معیار تصمیم‌گیری در نظر داشت. به عنوان مثال، برای ارزیابی PAD که مستقل از FIDO است، خود فروشنده می‌تواند سطح PAI، تعداد حملات و تعداد سوژه‌ها را انتخاب کند و تصمیم بگیرد. حتی برای یک گواهینامه FIDO که تنظیم سختگیرانه‌ای داشته است، تعداد دستگاه‌ها و سناریوهای جعل آزمایش شده محدود است. این موضوع را باید در نظر داشت زیرا مبارزه با جعل بیومتریک می‌تواند در حملات ارائه نادیده عملکرد متفاوتی داشته باشد. همچنین، هنگام بررسی گزارش‌های آزمایش راه‌حل‌های ارزیابی‌شده/گواهی‌شده، جزئیاتی وجود دارد که باید به دقت بررسی شود، به عنوان مثال، رد کاذب و اشتباه افراد زنده و واقعی (BPCER). این محاسبه اغلب به صورت ذکر نشده، نگه داشته می‌شود زیرا ارتباط مستقیمی بین APCER و BPCER وجود دارد: اگر راه حل به گونه‌ای طراحی شده باشد که عملکرد بسیار خوبی در APCER داشته باشد (به درستی افراد جعلی و هویت‌های تقلبی را رد کند)، می‌تواند منجر به BPCER بالاتر (رد کردن نادرست افراد زنده) شود. در یک سناریوی دنیای واقعی، البته، این باید متعادل باشد تا همزمان امنیت و قابلیت استفاده ایجاد شود.
یکی از پلتفرم‌های ایرانی که در زمینه احراز هویت و فناوری تشخیص زنده بودن تصویر بسیار دقیق و ظریف عمل کرده است، یوآیدی است. یوآیدی اولین سرویس احراز هویت دیجیتال در کشور است که فرایند احراز هویت کاربران را با الگوریتم های هوش مصنوعی و یادگیری ماشین نظیر تشخیص چهره و تشخیص زنده بودن چهره کاربر انجام می دهد. فرایند احراز هویت غیرحضوری با یوآیدی به صورت آنی و با دقت بالای ۹۸ درصد انجام می پذیرد. برای دریافت مشاوره رایگان جهت احراز هویت کاربران خود و شناخت مشتری خود با یوآیدی تماس بگیرید.
