CEN/TS 18099: Standar yang Membuktikan Ketahanan terhadap Serangan Injeksi

Dalam posting sebelumnya, kami membahas bagaimana Pedoman Identitas Digital NIST SP 800-63-4 yang diperbarui meningkatkan standar verifikasi biometrik. iProov adalah vendor pertama yang menunjukkan ketahanan terhadap deepfake berdasarkan pedoman baru tersebut.

Salah satu persyaratan yang menonjol dalam pedoman NIST: organisasi kini harus membuktikan ketahanan terhadap serangan presentasi dan deepfake serangan injeksi. Kategori terakhir inilah yang membuat banyak vendor diam.

NIST, Badan Keamanan Siber Uni Eropa (ENISA), Prancis’ ANSSI, dan BSI Jerman semuanya telah memperingatkan tentang risiko serangan injeksi. Data intelijen ancaman kami menunjukkan bahwa serangan tersebut meningkat sebesar 740% di iOS pada tahun 2025. Berbeda dengan serangan presentasi yang memerlukan kehadiran fisik, serangan injeksi dapat diotomatisasi dan diskalakan untuk ribuan upaya secara bersamaan.

CEN/TS 18099 akhirnya menyediakan kerangka kerja validasi independen untuk membuktikan ketahanan terhadap serangan injeksi deepfake, melampaui klaim yang dipimpin oleh vendor.

Mengapa Standar Baru Diperlukan

Deteksi Serangan Presentasi (PAD) memiliki kerangka kerja pengujian yang telah teruji. ISO/IEC 30107 mendefinisikan cara mengevaluasi apakah sistem biometrik dapat mendeteksi foto, topeng, dan rekaman video yang ditampilkan di depan kamera. 

Sertifikasi PAD kini menjadi hal yang wajib; serangan injeksi semakin canggih. Sebuah vendor dapat memiliki sertifikasi PAD namun tetap tidak memiliki ketahanan terhadap serangan injeksi. Kedua vektor serangan ini memerlukan metodologi pengujian yang secara fundamental berbeda. ISO 30107 tidak dirancang untuk menangani kategori ancaman ini.

Ketika kita menganalisis seberapa banyak vendor yang menangani serangan injeksi, respons umumnya terbagi menjadi tiga kategori: dokumentasi pengujian internal, diagram arsitektur dengan panah yang menenangkan, atau program "spoof bounty" di lingkungan non-produksi. Evaluasi ini sering kali bergantung pada kerangka kerja proprietary yang tidak dikembangkan oleh badan standar yang diakui, artinya hasilnya tidak dapat dibandingkan antar solusi.

Hal ini penting karena serangan injeksi dirancang untuk menghindari deteksi. Serangan ini tidak memicu peringatan yang sama seperti serangan presentasi. Organisasi dapat mengalami pelanggaran sistemik tanpa menyadarinya. Onboarding masih berfungsi, metrik konversi terlihat sehat, dan penipuan berkembang secara diam-diam hingga seseorang meminta bukti.

Serangan injeksi bersifat canggih karena beroperasi di dua front secara bersamaan: mekanisme pengiriman dirancang agar tidak terdeteksi oleh aplikasi, sementara konten yang disisipkan dirancang untuk menipu sistem pemeriksaan yang ada di ujung lain — melindungi salah satu tanpa yang lain akan membuat organisasi rentan.

The Komite Standarisasi Eropa (CEN) menyadari kesenjangan ini dan mengembangkan CEN/TS 18099: spesifikasi teknis formal pertama yang didedikasikan untuk pengujian sistem biometrik terhadap serangan injeksi. 

Bagaimana CEN/TS 18099 Berfungsi

Standar ini membedakan antara dua komponen serangan injeksi:

• Metode Serangan Injeksi (IAM): Bagaimana serangan tersebut dilakukan. Hal ini meliputi eksploitasi perpustakaan perangkat lunak, manipulasi lalu lintas jaringan, dan penggunaan emulator, atau mengakses fungsi sistem untuk menyadap dan mengganti data biometrik.
• Alat Serangan Injeksi (IAI): Apa yang dikirimkan. Wajah sintetis, video deepfake, atau urutan gambar yang dimanipulasi yang ingin penyerang agar sistem menerima sebagai asli.

Penilai berusaha untuk mengidentifikasi berbagai metode serangan terhadap sistem target. Jika metode serangan berhasil, mereka kemudian menerapkan berbagai alat serangan untuk mengevaluasi kemampuan deteksi sistem.

Pendekatan dua tahap ini mengungkapkan di mana sistem pertahanan sebenarnya beroperasi. Beberapa sistem mungkin memungkinkan metode serangan untuk ditetapkan, tetapi mendeteksi alat-alat berbahaya. Sistem lain mungkin memblokir jalur serangan itu sendiri, mencegah pengiriman alat-alat berbahaya secara keseluruhan. Perbedaan ini penting untuk memahami tingkat perlindungan yang diberikan.

Apa yang Terungkap dari Evaluasi Solusi iProov?

iProov telah menyerahkan Dynamic Liveness untuk dievaluasi secara independen oleh Ingenium Biometric Laboratories, sebuah fasilitas yang diakreditasi ISO/IEC 17025 dan bertindak sebagai laboratorium biometrik independen Inggris untuk Otoritas Keamanan Protektif Nasional. Pengujian dilakukan sesuai dengan persyaratan Deteksi Serangan Injeksi Level 4 Ingenium, yang melampaui tingkat tertinggi CEN/TS 18099 (CEN High) dalam cakupan dan ketatnya.

Ingenium Level 4 berdasarkan persyaratan yang tercantum dalam CEN/TS 18099, memberikan jaminan yang lebih tinggi melalui pengujian yang diperluas dan jenis serangan yang kompleks. Evaluasi selama 40 hari mencakup setidaknya tiga metode serangan injeksi yang berbeda dan lima belas alat serangan. 

Selama pengujian, tidak ada metode serangan injeksi yang berhasil diterapkan. Karena jalur serangan diblokir, laboratorium tidak pernah melanjutkan ke tahap penyediaan alat serangan. Wajah sintetis dan video deepfake tidak memiliki tempat untuk digunakan.

Ini mewakili postur keamanan yang secara fundamental berbeda. Alih-alih mencoba mendeteksi konten berbahaya setelah masuk ke sistem, Dynamic Liveness mencegah jalur injeksi terbentuk sejak awal.

Secara kritis, tingkat perlindungan ini dicapai tanpa mengorbankan pengalaman pengguna. Tingkat Kesalahan Klasifikasi Presentasi Bona Fide (BPCER) – tingkat di mana pengguna yang sah ditolak secara salah – hanya 1,3%, jauh di bawah ambang batas 15% yang required oleh standar.

Dynamic Liveness adalah solusi pertama dan satu-satunya yang mampu mencapai penilaian Ingenium Level 4.

Melampaui CEN: Gambaran Validasi yang Lebih Luas

CEN/TS 18099 secara khusus menangani serangan injeksi, tetapi jaminan identitas yang komprehensif memerlukan validasi di berbagai kategori ancaman. Bagi organisasi yang mengembangkan kriteria pengadaan berdasarkan NIST 800-63-4, gambaran lengkapnya mencakup:

• Validasi PAD: Kepatuhan terhadap ISO/IEC 30107-3 melalui pengujian yang diakreditasi (seperti iBeta Level 1 & 2) dan Sertifikasi Verifikasi Wajah FIDO untuk serangan presentasi, termasuk deepfake yang disajikan.
• Validasi IAD: Evaluasi CEN/TS 18099 untuk ketahanan terhadap serangan injeksi.
• Keamanan operasional: Sertifikasi ISO 27001, SOC 2, dan CSA STAR untuk perlindungan data dan proses keamanan.
• Inklusi: Kepatuhan terhadap WCAG 2.2 AA dan Bagian 508, standar praktik terbaik untuk aksesibilitas di seluruh pengalaman digital.

Bersama-sama, hal ini menyediakan dasar bukti yang diperlukan oleh NIST: bukan klaim dari vendor, tetapi validasi oleh pihak ketiga di seluruh lanskap ancaman yang dihadapi oleh organisasi.

Pikiran Penutup tentang CEN/TS 18099 dan "Kesenjangan Validasi" 

CEN/TS 18099 merupakan standar acuan untuk pengujian serangan injeksi, namun arah regulasi bersifat global. ISO 25456, yang saat ini sedang dikembangkan, akan memperluas persyaratan deteksi serangan injeksi secara internasional. Organisasi yang menyesuaikan diri sekarang akan berada di posisi yang lebih unggul dibandingkan dengan yang terburu-buru menyesuaikan diri ketika persyaratan menjadi lebih ketat.

Bagi arsitek keamanan, tim pengadaan, dan pemimpin kepatuhan, pertanyaan telah berubah: tidak cukup lagi hanya menanyakan apakah penyedia layanan memiliki kemampuan deteksi deepfake. Pertanyaannya adalah apakah mereka dapat membuktikan, melalui pengujian independen yang sesuai dengan standar, bahwa solusi mereka dapat mengalahkan serangan injeksi deepfake yang kini ditekankan dalam Pedoman Identitas Digital NIST.

Pertanyaan yang menembus klaim vendor sangat sederhana: laboratorium independen mana yang menguji kemampuan tersebut, berdasarkan standar apa, dan pada tingkat apa? Jika tidak ada jawaban yang dipublikasikan, kemampuan tersebut tidak terverifikasi. Itu hanya diasumsikan.

Dengan iProov, bukti-bukti dipublikasikan, metodologi transparan, dan hasilnya tersedia untuk ditinjau. 

Apakah penyedia layanan Anda saat ini dapat mengatakan hal yang sama?

• Untuk mengetahui lebih lanjut tentang evaluasi iProov sesuai dengan CEN/TS 18099 atau meminta laporan independen Ingenium, hubungi kami.
• Pelajari lebih lanjut tentang sertifikasi biometrik dan identitas serta mengapa hal ini penting.