Pour être considérées comme compatibles avec Android, les implémentations d'appareils doivent respecter les exigences présentées dans le document de définition de compatibilité Android (CDD). La CDD Android évalue la sécurité d'une implémentation biométrique à l'aide de la sécurité architecturale et de la faculté de falsification.
- Sécurité architecturale:la résilience d'une empreinte biométrique le pipeline contre la compromission du noyau ou de la plate-forme. Un pipeline est considéré comme sécurisé si les compromis du noyau et de la plate-forme ne permettent pas de lire des données biométriques brutes ni d'injecter des données synthétiques dans le pipeline pour influencer la décision d'authentification.
- Performances de la sécurité biométrique : les performances de la sécurité biométrique sont mesurées par le taux d'acceptation des faux, le taux de faux rejet (FAR) et, le cas échéant, le taux d'acceptation des imposteurs (IAR) de la biométrie. Le DAS est une mesure introduite dans Android 9. pour mesurer la résilience d'une biométrie face à une attaque de présentation physique. Pour mesurer la biométrie, vous devez respecter les protocoles décrits ci-dessous.
Android utilise trois types de métriques pour mesurer les performances de la sécurité biométrique.
- Taux d'acceptation des faux : définit la métrique de la probabilité qu'un modèle biométrique accepte un échantillon précédemment enregistré et connu comme valide. Par exemple, avec le déverrouillage par commande vocale, cela mesure les chances de déverrouiller le téléphone d'un utilisateur à l'aide d'un échantillon enregistré de la personne disant "Ok, Google". Nous appelons ces attaques des attaques par spoofing. Également appelé "attaque par imposteur" Taux de correspondance de présentation (IAPMR).
- Imposter Acceptance Rate (IAR) : définit la métrique du taux d'acceptation de l'imposteur. de probabilité qu'un modèle biométrique accepte une entrée destinée à imiter un produit connu échantillon. Par exemple, dans les paramètres Smart Lock (déverrouillage vocal), cette option permet de mesurer la fréquence à laquelle imiter la voix d'un utilisateur (en utilisant un ton et un accent similaires) peuvent déverrouiller son appareil. Mer Ces attaques sont appelées attaques par imposteur.
- Taux d'acceptation erronée (FAR) : définit les métriques de la façon dont Souvent, un modèle accepte à tort une entrée incorrecte choisie de manière aléatoire. Bien que cette est une mesure utile, mais elle ne fournit pas suffisamment d'informations pour évaluer le modèle résiste aux attaques ciblées.
Agents de confiance
Android 10 modifie le comportement des agents de confiance. Les agents de confiance ne peuvent pas déverrouiller un appareil. Ils ne peuvent que prolonger la durée de déverrouillage d'un appareil déjà déverrouillé. Le service Visage vérifié est obsolète dans Android 10.
Classes biométriques
La sécurité biométrique est classée à l'aide des résultats de l'architecture de sécurité et de spoofability. Une implémentation biométrique peut être classée comme classe 3 (anciennement forte), classe 2 (anciennement faible) ou classe 1 (anciennement pratique). Le tableau ci-dessous décrit des exigences générales pour chaque classe biométrique.
Pour en savoir plus, consultez la version actuelle de l'Android CDD.
| Classe biométrique | Métriques | Pipeline biométrique | Contraintes |
|---|---|---|---|
| Classe 3 (anciennement "Forte") |
DAS de toutes les espèces PAI: 0-7% DAS des espèces PAI de niveau A: <=7% DAS des espèces PAI de niveau B: <=20% DAS de toute espèce PAI <= 40% (fortement recommandé) <= 7%) FAR: 1/50 000 FRR: 10% |
Sécurisé |
|
| Classe 2 (anciennement "Faible") |
DAS de toutes les espèces PAI: 7-20% DAS des espèces PAI de niveau A: <=20% DAS des espèces PAI de niveau B: <=30% DAS de toute espèce PAI <= 40% (fortement recommandé) <= 20%) FAR: 1/50 000 FRR: 10% |
Sécurisé |
|
| Classe 1 (anciennement "Facilité d'utilisation") |
DAS de toutes les espèces de PAI : 20 à 30 % DAS des espèces de PAI de niveau A : <= 30 % DAS des espèces de PAI de niveau B : <= 40 % DAS de toute espèce de PAI individuelle : <= 40 % (recommandé : <= 30 %) FAR : 1/50 000 FRR : 10 % |
Non sécurisé ou sécurisé |
|
Modalités de classe 3, de classe 2 et de classe 1
Les classes de sécurité biométrique sont attribuées en fonction de la présence d'un objet pipeline et les trois taux d'acceptation : FAR, IAR et DAS. En l'absence d'attaque par usurpation d'identité, nous ne prenons en compte que les FAR et SAR.
Consultez la présentation d'Android un document de définition de compatibilité (CDD, Compatibility Definition Document) sur les mesures à prendre déverrouiller les modalités.
Authentification faciale et iris
Processus d'évaluation
Le processus d'évaluation comporte deux phases. La de calibration détermine la configuration optimale une attaque par présentation pour une solution d'authentification donnée (c'est-à-dire moy.). La phase de test utilise la position calibrée pour effectuer plusieurs attaques et évalue le nombre de fois où l'attaque a réussi. Les fabricants d'appareils Android et de systèmes biométriques doivent contacter Android pour obtenir les dernières recommandations de test en remplissant ce formulaire.
Il est important de déterminer d'abord la position calibrée, car le SAR ne doit être mesuré qu'à l'aide d'attaques contre le point de faiblesse le plus important du système.
Phase de calibrage
Il y a trois paramètres pour l'authentification face et iris qui doivent être sont optimisées pendant la phase d'étalonnage pour garantir des valeurs optimales pour les tests. présentation: instrument d'attaque de présentation (PAI), format de présentation et dans la diversité des sujets.
FACE
|
IRIS
|
Tester la diversité
Il est possible que les modèles de visage et d'iris fonctionnent différemment selon le genre, les tranches d'âge et les origines ethniques. Calibrez les attaques par présentation sur différents visages pour maximiser vos chances de détecter des écarts de performances.
Phase de test
La phase de test est celle où les performances de la sécurité biométrique sont mesurées à l'aide du de présentation optimisée de la phase précédente.
Compter les tentatives pendant la phase de test
Une seule tentative est comptabilisée comme la période entre la présentation d'un visage (réel ou falsifié) et la réception de commentaires du téléphone (un événement de déverrouillage ou un message visible par l'utilisateur). Les tentatives pour lesquelles le téléphone ne parvient pas à obtenir suffisamment de données pour tenter une mise en correspondance ne doivent pas être incluses dans le nombre total de tentatives utilisées pour calculer le DAS.
Protocole d'évaluation
Inscription
Avant de commencer la phase de calibrage pour l'authentification par reconnaissance faciale ou de l'iris, accédez aux paramètres de l'appareil et supprimez tous les profils biométriques existants. Une fois tous les profils existants supprimés, enregistrez un nouveau profil avec l'iris ou le visage cible qui sera utilisé pour le calibrage et les tests. Il est important d'être dans un environnement bien éclairé pour ajouter un nouveau visage ou un iris et que l'appareil est correctement positionné directement en face de la cible. votre visage à une distance de 20 à 80 cm.
Phase de calibrage
Effectuer la phase d'étalonnage pour chacune des espèces PAI car différentes espèces ont des tailles différentes et d'autres caractéristiques susceptibles d'affecter les conditions optimales à des fins de test. Préparer l'API
FACE
|
IRIS
|
Effectuer la phase d'étalonnage
Positions de référence
- Position de référence : la position de référence est déterminée en plaçant le PAI à une distance appropriée (20 à 80 cm) devant l'appareil de sorte que le PAI soit clairement visible dans le champ de vision de l'appareil, mais que tout autre élément utilisé (comme un support pour le PAI) ne soit pas visible.
- Plan de référence horizontal : lorsque le PAI est en position de référence, le plan horizontal entre l'appareil et le PAI est le plan de référence horizontal.
- Plan de référence vertical : lorsque le PAI est en position de référence, le plan vertical entre l'appareil et le PAI est le plan de référence vertical.
Figure 1 : Plans de référence.
Arc vertical
Déterminez la position de référence, puis testez le PAI dans un arc vertical en maintenant la même distance par rapport à l'appareil que la position de référence. Élevez l'appareil dans le même plan vertical, créant un angle de 10 degrés entre l'appareil et le plan de référence horizontal, puis testez le déverrouillage par reconnaissance faciale.
Continuez à augmenter et à tester la PAI par incréments de 10 degrés jusqu'à ce qu'elle soit n'est plus visible dans le champ de vision de l'appareil. Enregistrez toutes les positions qui ont permis de déverrouiller l'appareil. Répétez ce processus, mais déplacez la PAI dans un vers le bas, sous le plan de référence horizontal. Reportez-vous à la figure 3 ci-dessous pour voir exemple de tests d'arc.
Arc horizontal
Remettez le PAI dans la position de référence, puis déplacez-le le long du plan horizontal pour créer un angle de 10 degrés avec le plan de référence vertical. Effectuez la un arc vertical avec PAI dans cette nouvelle position. Déplacez le PAI le long sur un plan horizontal par incréments de 10 degrés et effectuer le test de l'arc vertical chaque nouveau poste.
Figure 1 : Test le long des arcs vertical et horizontal.
Les tests d'arc doivent être répétés par incréments de 10 degrés pour le côté gauche et le côté droit de l’appareil, ainsi qu’au-dessus et en dessous de l’appareil.
La position qui génère les résultats de déverrouillage les plus fiables est la position calibrée pour le type d'espèce de PAI (par exemple, des espèces de PAI 2D ou 3D).
Phase de test
À la fin de la phase de calibrage, il doit y avoir une position calibrée par espèce de PAI. Si aucune position calibrée ne peut être établie, la position de référence doit être utilisée. La méthodologie de test est courante pour tester les espèces de PAI 2D et 3D.
- Sur tous les visages enregistrés, où E>= 10 et inclut au moins 10 visages uniques
visages.
- Enregistrer le visage/l'iris
- En utilisant la position calibrée de la phase précédente, effectuer U tentatives de déverrouillage, en comptant les tentatives comme décrit dans section précédente, et où U >= 10. Enregistrez le nombre de déverrouillages réussis. S.
- Le DAS peut alors être mesuré comme suit:
Où :
- E = nombre d'inscriptions
- U = nombre de tentatives de déverrouillage par enregistrement
- Si = nombre de déverrouillages réussis pour l'inscription i
Itérations requises pour obtenir des échantillons de taux d'erreur statistiquement valides: 95% hypothèse de confiance pour toutes les valeurs ci-dessous, les grands N
| Marge d'erreur | Itérations de test requises par sujet |
|---|---|
| 1 % | 9595 |
| 2 % | 2401 |
| 3 % | 1067 |
| 5 % | 385 |
| 10 % | 97 |
Temps nécessaire (30 s par tentative, 10 sujets)
| Marge d'erreur | Durée totale |
|---|---|
| 1 % | 799,6 heures |
| 2 % | 200,1 heures |
| 3 % | 88,9 heures |
| 5 % | 32,1 heures |
| 10 % | 8,1 heures |
Nous vous recommandons de cibler une marge d'erreur de 5 %, ce qui donne un véritable taux d'erreur dans avec une population de 2% à 12%.
Champ d'application
La phase de test mesure la résilience de l'authentification faciale principalement contre les fac-similés du visage de l'utilisateur cible. Il ne s'attaque pas aux attaques non basées sur le télécopieur, telles que l'utilisation de LED ou de motifs qui servent d'impressions principales. Alors que Leur efficacité contre les empreintes faciales basées sur la profondeur n'a pas encore été prouvée des systèmes d'authentification, rien n'empêche conceptuellement vrai. Il est à la fois possible et plausible que de futures recherches montreront que ce soit le cas. À ce stade, ce protocole sera révisé pour inclure en mesurant la résilience face à ces attaques.
Authentification empreinte digitale
Dans Android 9, la barre a été fixée à une résilience minimale aux attaques par falsification d'identité, mesurée par un taux d'acceptation des falsifications (SAR) inférieur ou égal à 7 %. Pour en savoir plus sur le choix de 7 %, consultez cet article de blog.
Processus d'évaluation
Le processus d'évaluation comporte deux phases. La phase de calibration détermine l'attaque par présentation optimale pour une solution d'authentification par empreinte digitale donnée (c'est-à-dire la position calibrée). La phase de test utilise la position calibrée pour effectuer plusieurs attaques et évalue le nombre fois où l'attaque a réussi. Fabricants d'appareils Android et données biométriques doivent contacter Android pour obtenir les conseils les plus récents en matière de tests en envoyant cette formulaire.
Phase d'étalonnage
Trois paramètres de l'authentification par empreinte digitale doivent être optimisés pour garantir des valeurs optimales pour la phase de test : l'instrument d'attaque par présentation (PAI), le format de présentation et les performances en fonction de la diversité des sujets.
- Le PAI est la falsification physique, comme les empreintes digitales imprimées ou une réplique moulée, qui sont tous des exemples de supports de présentation. La
les matériaux de spoofing suivants sont fortement recommandés
- Lecteurs d'empreinte digitale optiques (FPS)
- Papier texte/Transparent avec encre non conductrice
- Knox Gelatin
- Peinture latex
- La colle d'Elmer
- FPS capacitifs
- Knox Gelatin
- Colle à bois intérieure pour menuisier Elmer's
- Colle tout-usage Elmer's
- Peinture latex
- FPS à ultrasons
- Knox Gelatin
- Colle à bois intérieure pour menuisier Elmer's
- Colle tout-usage Elmer's
- Peinture latex
- Lecteurs d'empreinte digitale optiques (FPS)
- Le format de présentation concerne la manipulation supplémentaire de l'API ou de l'environnement, de manière à faciliter le spoofing. Par exemple, retoucher ou modifier une image haute résolution d'une empreinte digitale avant de créer la réplique 3D.
- Les performances dans la diversité des sujets sont particulièrement pertinentes. au réglage de l'algorithme. Tester le flux d'étalonnage selon le genre des sujets les groupes d'âge et les origines ethniques peuvent souvent révéler des résultats nettement inférieurs des performances pour des segments de la population mondiale et constitue un paramètre important à calibrer lors de cette phase.
Tester la diversité
Il est possible que les lecteurs d'empreintes digitales fonctionnent différemment selon le genre, les tranches d'âge et les races/ethnies. Un petit pourcentage de la population a des empreintes digitales difficiles à reconnaître. Il est donc recommandé d'utiliser différentes empreintes digitales pour déterminer les paramètres optimaux de reconnaissance et lors des tests de falsification.
Phase de test
C'est lors de la phase de test que les performances de la sécurité biométrique sont mesurées. À minima, les tests doivent être effectués de manière non coopérative, ce qui signifie que les empreintes digitales collectées sont obtenues en les soulevant d'une autre surface plutôt que de demander à la cible de participer activement à la collecte de son empreinte digitale, par exemple en réalisant un moulage coopératif du doigt de la personne concernée. La la deuxième est autorisée, mais pas obligatoire.
Compter les tentatives pendant la phase de test
Une seule tentative est comptabilisée comme la période entre la présentation d'une empreinte digitale (réelle ou falsifiée) au capteur et la réception de commentaires du téléphone (un événement de déverrouillage ou un message visible par l'utilisateur).
Les tentatives pour lesquelles le téléphone ne parvient pas à obtenir suffisamment de données pour tenter une mise en correspondance ne doivent pas être incluses dans le nombre total de tentatives utilisées pour calculer le DAS.
Protocole d'évaluation
Inscription
Avant de commencer la phase de calibrage de l'authentification par empreinte digitale, accédez aux paramètres de l'appareil et supprimez tous les profils biométriques existants. Une fois tous les profils existants supprimés, enregistrez un nouveau profil avec l'empreinte cible qui sera utilisée pour le calibrage et les tests. Suivez toutes les instructions à l'écran jusqu'à ce que le profil soit correctement enregistré.
Phase d'étalonnage
FPS optique
Cela est semblable aux phases de calibrage des technologies ultrasoniques et capacitives, mais avec les espèces PAI 2D et 2,5D de l'empreinte digitale de l'utilisateur cible.
- Soulevez une copie latente de l'empreinte digitale d'une surface.
- Tester avec des espèces de PAI 2D
- Placer l'empreinte digitale relevée sur le lecteur
- Testez avec des espèces de PAI 2,5D.
- Créer une empreinte de l'empreinte
- Placer le PAI sur le lecteur
Lecteur d'empreinte digitale par ultrasons
Le calibrage pour les ultrasons consiste à extraire une copie latente de l'empreinte digitale cible. Par exemple, cela peut être fait à l'aide d'empreintes digitales relevées à l'aide de poudre à empreintes digitales ou de copies imprimées d'une empreinte digitale, et peut inclure une retouche manuelle de l'image de l'empreinte digitale pour obtenir une meilleure simulation.
Une fois la copie latente de l'empreinte cible obtenue, une PAI est
FPS capacitifs
L'étalonnage capacitif implique les mêmes étapes que celles décrites ci-dessus pour un étalonnage par ultrasons.
Phase de test
- Incitez au moins 10 utilisateurs uniques à s'inscrire en utilisant les mêmes paramètres que ceux utilisés lors du calcul du TAEG et du FAR
- Créer des PAI pour chaque personne
- Le DAS peut ensuite être mesuré comme suit :
Itérations requises pour obtenir des échantillons statistiquement valides des taux d'erreur : hypothèse de confiance de 95 % pour tous les éléments ci-dessous, grand N
| Marge d'erreur | Itérations de test requises par sujet |
|---|---|
| 1 % | 9595 |
| 2 % | 2401 |
| 3 % | 1067 |
| 5 % | 385 |
| 10 % | 97 |
Durée requise (30 secondes par tentative, 10 sujets)
| Marge d'erreur | Durée totale |
|---|---|
| 1 % | 799,6 heures |
| 2 % | 200,1 heures |
| 3 % | 88,9 heures |
| 5 % | 32,1 heures |
| 10 % | 8,1 heures |
Nous vous recommandons de cibler une marge d'erreur de 5 %, ce qui donne un véritable taux d'erreur dans avec une population de 2% à 12%.
Champ d'application
Ce processus est configuré pour tester la résilience de l'authentification par empreinte digitale, principalement contre les fac-similés de l'empreinte de l'utilisateur cible. La méthodologie de test est basée sur les coûts, la disponibilité et la technologie des matériaux actuels. Ce protocole sera révisé pour inclure la mesure de la résilience face aux nouveaux matériaux et techniques à mesure qu'ils deviendront pratiques.
Remarques courantes
Bien que chaque modalité nécessite une configuration de test différente, certains aspects communs s'appliquent à toutes.
Tester le matériel réel
Les métriques de DAS/IAR collectées peuvent être inexactes lors du test des modèles biométriques dans des conditions idéalisées et sur un matériel différent de sur un appareil mobile. Par exemple, les modèles de déverrouillage par commande vocale calibrés dans une chambre anéchoïque à l'aide d'une configuration multimicro se comportent très différemment lorsqu'ils sont utilisés sur un seul appareil à micro dans un environnement bruyant. Afin de capturer des métriques précises, les tests doivent être effectués sur un appareil réel le matériel installé et, en cas d'échec, avec le matériel tel qu'il apparaîtrait sur l'appareil.
Utiliser des attaques connues
La plupart des modalités biométriques utilisées aujourd'hui ont été falsifiées avec succès et une documentation publique sur la méthodologie d’attaque existe. Vous trouverez ci-dessous un récapitulatif de haut niveau des configurations de test pour les modalités avec des attaques connues. Dans la mesure du possible, nous vous recommandons d'utiliser la configuration décrite ici.
Anticiper de nouvelles attaques
Pour les modalités pour lesquelles de nouvelles améliorations importantes ont été apportées, le document de configuration des tests peut ne pas contenir de configuration appropriée, et aucune attaque publique connue ne peut exister. Il est également possible que la configuration de test des modalités existantes doive être ajustée à la suite d'une attaque nouvellement découverte. Dans les deux cas, vous devez élaborer une configuration de test raisonnable. Veuillez utiliser le lien Commentaires sur le site en bas de cette page pour nous indiquer si vous avez configuré un mécanisme raisonnable qui peut être ajouté.
Configuration pour différentes modalités
Empreinte digitale
| IAR | Non requis. |
| DAS |
|
Visage et iris
| Rapport sur la disponibilité de l'inventaire | La limite inférieure étant capturée par le DAS, vous ne devez pas mesurer séparément nécessaires. |
| DAS |
|
Voix
| Rapport sur la disponibilité de l'inventaire |
|
| DAS |
|