Escrito por Andrew Bud, CEO e fundador
Quando lançamos o iProov em 2013, parecia óbvio para nós que os "ataques de repetição" estariam entre as ameaças mais perigosas para a verificação facial. Eles ocorrem quando um aplicativo, dispositivo, link de comunicação ou loja é comprometido e as imagens de vídeo de uma vítima são roubadas; as imagens roubadas são usadas posteriormente para se passar por uma vítima. Desde o início, projetamos nosso sistema para ser altamente resistente a esse risco. Entretanto, somente agora o mercado está começando a entender o perigo dos ataques de repetição.
O que é um ataque de repetição e como é possível resistir a ele?
Um número cada vez menor de pessoas ainda acredita que o reconhecimento facial é a chave para a segurança da verificação facial. Mas não é. Em termos práticos, seria tolice um criminoso tentar se passar por uma vítima tentando se parecer com ela - isso é incrivelmente difícil de fazer e tão improvável de ser bem-sucedido que é quase inútil. Como nossos rostos são todos públicos e fáceis de copiar, é muito mais eficaz apresentar imagens da vítima. A maioria dos protagonistas do setor ainda se concentra em cópias de artefatos - fotos, imagens de tela (fotos ou vídeos) ou máscaras. Muita energia é gasta com máscaras. A Real-f Co., sediada no Japão, cria algumas das máscaras mais realistas disponíveis - a textura dos poros da pele é perfeita e até mesmo os canais lacrimais brilham. Embora sejam visualmente atraentes, essas obras de arte podem custar US$ 10.000. As máscaras não são uma forma escalonável de atacar economicamente um grande número de vítimas. Obviamente, a detecção robusta de máscaras é essencial, mas há perigos maiores.
Se um invasor puder implantar um malware em um dispositivo de usuário, por exemplo, fazendo com que os usuários cliquem em um link não autorizado, esse malware poderá obter acesso às imagens capturadas pelos aplicativos no dispositivo. Isso se aplica a todos os aplicativos, independentemente do grau de blindagem que tenham recebido. As medidas de proteção de aplicativos não bloqueiam os ataques, elas simplesmente aumentam o esforço que o invasor deve investir para ter sucesso. E se o prêmio for o acesso a milhões de dispositivos, os motivadores comerciais para isso são convincentes. É por isso que, na iProov, nunca confiamos na integridade do dispositivo. Uma vez roubado, o vídeo será reproduzido digitalmente em um dispositivo mal-intencionado, ignorando a câmera e nunca aparecendo em uma tela.
É por isso que nossa principal tecnologia Flashmark torna cada vídeo de verificação único. A Flashmark ilumina o rosto do usuário com uma sequência única de cores da tela do dispositivo. O rosto iluminado é o que chamamos de "biometria de uso único". Como uma senha de uso único, o número enviado por mensagem de texto para autenticação em muitos serviços seguros, ela se torna obsoleta assim que é usada e não tem valor se for roubada.
Qualquer malware ou ataque que tente roubar um vídeo de rosto marcado com flash descobre que ele é totalmente inútil - com a sequência de cores errada no rosto, ele é imediatamente detectado e rejeitado. Essa mesma tecnologia também oferece a única defesa forte do setor contra fotos animadas, vídeos sintéticos e Deepfakes, uma ameaça que o iProov vem destacando há vários anos.
A grande vantagem dessa tecnologia é que ela é extremamente fácil de usar. Outros métodos de defesa de repetição destroem a usabilidade ao bombardear o usuário com instruções cada vez mais desconcertantes para que ele mova a cabeça para um lado, depois o telefone para outro, recite números etc. Muitas vezes, eles falham porque os usuários não fazem o que é pedido ou porque simplesmente é impossível entender as instruções. O iProov Flashmark é totalmente passivo - nenhuma ação é exigida do usuário, portanto, as taxas de sucesso das transações são excepcionalmente altas.
A sugestão de que os dispositivos dos usuários são impermeáveis ou que os aplicativos móveis podem se tornar incorruptíveis é enganosa e perigosa. Acreditamos que no centro de uma boa segurança biométrica está a capacidade de detectar e desviar ataques baseados em gravações roubadas reproduzidas e outras imagens digitais, diretamente injetadas no fluxo de dados. Qualquer coisa menos que isso prejudica as empresas e seus usuários.
