Injeção de câmera, o ataque que não passa pela lente

A prova de vida responde a uma pergunta: o que está diante da câmera é uma pessoa viva? A injeção de câmera ataca a premissa escondida nessa pergunta: a de que existe uma câmera, e de que o vídeo analisado veio dela. Quando o fraudador consegue entregar um vídeo fabricado diretamente ao software, sem que nenhuma lente participe, toda a análise do conteúdo passa a examinar uma obra de ficção bem produzida.

Entender essa distinção deixou de ser tema de especialista. Ferramentas de câmera virtual são software comum e legítimo, populares para transmissões e videoconferência, e a geração de rostos sintéticos convincentes ficou acessível. A Europol, agência europeia de cooperação policial, alertou em relatório público de 2022, Facing reality? Law enforcement and the challenge of deepfakes, para o uso crescente de mídia sintética em fraudes, inclusive contra sistemas de verificação de identidade remota.

Apresentação e injeção são classes diferentes de ataque

A norma de referência em fraude biométrica, a ISO/IEC 30107-1, define o ataque de apresentação como a apresentação de um artefato ao sensor de captura biométrica. Foto impressa diante da lente, vídeo numa tela apontada para a câmera, máscara: tudo isso acontece no mundo físico, diante do sensor, e é o alvo da detecção de ataque de apresentação, o PAD.

A injeção acontece em outro lugar. O fraudador substitui ou intercepta a origem do vídeo: instala um driver de câmera virtual que entrega um arquivo como se fosse captura ao vivo, roda o aplicativo num emulador onde a câmera é simulada, ou manipula o tráfego entre o cliente e o servidor para trocar a mídia no caminho. O sensor nunca participa. Por definição, um mecanismo treinado para achar vestígios físicos de reapresentação, moiré de tela, borda de papel, reflexo de display, não tem o que achar num vídeo que nunca passou por uma tela nem por uma lente.

A consequência prática é direta: prova de vida, por melhor que seja, não é defesa contra injeção. São problemas distintos com defesas distintas, e um fornecedor que responde sobre um mostrando métricas do outro está confundindo o comprador, por desconhecimento ou por conveniência.

Como a defesa funciona

Sem poder confiar cegamente no conteúdo, a defesa contra injeção verifica a procedência da captura. As camadas usuais, combinadas:

• Integridade do ambiente de captura: o software examina onde está rodando. Emuladores, dispositivos com root ou jailbreak e APIs de captura adulteradas deixam sinais mensuráveis. No navegador, a origem do fluxo de vídeo e as características do dispositivo de captura são observáveis em parte, com limites que a plataforma impõe.
• Desafio imprevisível amarrado à sessão: se o sistema pede, agora, um movimento sorteado, um vídeo pré-fabricado não o contém. O desafio não elimina ataque em tempo real com geração ao vivo, mas elimina a biblioteca de vídeos prontos e encarece o restante.
• Coerência física do sinal: iluminação, ruído do sensor e resposta temporal de uma captura real têm assinaturas estatísticas. Vídeo sintético ou reencodado exibe padrões de compressão e de ruído distintos dos de uma câmera física capturando ao vivo.
• Procedência criptográfica do conteúdo: a especificação C2PA, da Coalition for Content Provenance and Authenticity, define um formato de credenciais de conteúdo em que a origem e as transformações da mídia são assinadas criptograficamente. A adoção em câmeras e plataformas ainda é parcial, mas a direção da indústria é registrar a cadeia de custódia da imagem desde o hardware.
• Sinais de risco agregados: repetição do mesmo dispositivo em muitas identidades, padrões de rede e horário, sequências de tentativa e erro. Injeção costuma vir em escala, e escala deixa rastro.

Uma armadilha de implementação: o rótulo do dispositivo

Uma lição de engenharia que vale registrar publicamente: o nome do dispositivo de câmera é um dado declarado pelo software local, não uma prova. Bloquear capturas porque o rótulo do driver contém o nome de um software de câmera virtual conhecido tem duas falhas simétricas. Pune o usuário legítimo que usa aquele software por razões legítimas, e não pune o atacante minimamente competente, que renomeia o driver em minutos. Rótulo é, no máximo, um sinal fraco para compor um escore de risco; tratá-lo como veredito produz falso bloqueio de gente real e falsa sensação de defesa. A regra geral por trás do caso: qualquer atributo que o lado atacante controla sem custo não pode carregar peso de decisão sozinho.

O que perguntar a um fornecedor

A avaliação madura de uma solução de verificação remota separa as duas superfícies e cobra respostas específicas para cada uma. Sobre apresentação: metodologia e métricas nos termos da ISO/IEC 30107-3. Sobre injeção: quais verificações de procedência e integridade existem, em quais plataformas, e o que acontece quando a checagem é inconclusiva, bloqueio, fricção adicional ou marcação para revisão? Também vale perguntar como o fornecedor acompanha a evolução do ataque, porque mídia sintética é um alvo que se move.

Na UNIFOKAL, tratamos a procedência da captura como um sinal que participa da decisão de risco ao lado da prova de vida, exatamente pela assimetria descrita acima: sinais fracos somam, e o peso que cada um carrega na decisão é política revisável da plataforma, não um veredito embutido no detector.

A fotografia honesta do estado da arte é esta: não existe defesa única e definitiva contra injeção, existe custo crescente imposto em camadas. O objetivo econômico é o mesmo de toda a antifraude: tornar o ataque caro, instável e detectável em escala, para que o fraudador racional procure alvo mais fácil.

Fontes citadas

• ISO/IEC 30107-1, Biometric presentation attack detection, Part 1: Framework, que delimita o ataque de apresentação como evento diante do sensor
• ISO/IEC 30107-3, Part 3: Testing and reporting, metodologia e métricas de avaliação de PAD
• Europol, Facing reality? Law enforcement and the challenge of deepfakes, relatório do Europol Innovation Lab, 2022
• C2PA, Coalition for Content Provenance and Authenticity, especificação técnica pública de credenciais de conteúdo: c2pa.org