Prova de vida, por que foto de foto engana sistema fraco

Todo sistema de verificação por selfie enfrenta a mesma pergunta incômoda: como saber se a câmera está vendo uma pessoa viva, e não uma foto impressa, a tela de outro celular ou uma máscara? Essa checagem tem nome, prova de vida, ou liveness, e a diferença entre fazê-la bem e fazê-la de enfeite é a diferença entre um controle de segurança e um ritual.

O ataque mais barato do mundo contra biometria facial é a foto de foto: o fraudador consegue uma imagem do rosto da vítima, foto de perfil em rede social serve, exibe essa imagem para a câmera e o sistema fraco aceita. Não exige conhecimento técnico, não exige equipamento, e escala. Por isso a prova de vida não é um recurso premium de verificação de identidade: é o piso.

O vocabulário da norma: ISO/IEC 30107

A referência internacional do assunto é a família de normas ISO/IEC 30107, sobre detecção de ataque de apresentação em sistemas biométricos. A parte 1, ISO/IEC 30107-1, define o vocabulário e o enquadramento: um ataque de apresentação, presentation attack, é a apresentação de um artefato ao sensor biométrico com o objetivo de interferir na decisão do sistema. O artefato usado, foto impressa, tela, máscara, recebe o nome de instrumento de ataque de apresentação, e o mecanismo que tenta detectá-lo é o PAD, presentation attack detection.

A parte 3, ISO/IEC 30107-3, define como se testa um mecanismo desses, e é a parte que interessa a quem compra. Ela estabelece as métricas de erro: a taxa de ataques aceitos como genuínos, chamada APCER, e a taxa de apresentações genuínas rejeitadas como ataque, chamada BPCER. Um sistema que bloqueia todos os ataques mas rejeita um em cada cinco usuários legítimos é inútil na prática, e é exatamente esse equilíbrio que as duas métricas medem juntas. O NIST, o instituto de padrões dos Estados Unidos, mantém avaliações públicas de detecção de ataque de apresentação no programa FATE, Face Analysis Technology Evaluation, medindo algoritmos passivos sobre imagens de instrumentos de ataque variados.

Como uma foto entrega que é foto

A detecção passiva de prova de vida analisa a própria imagem capturada em busca dos vestígios físicos que separam um rosto tridimensional vivo de uma reprodução. Alguns dos sinais clássicos, descritos em ampla literatura acadêmica de PAD:

• Textura e microestrutura: papel e telas têm padrões de superfície que não existem em pele. A impressão tem granulação; a tela tem grade de pixels que produz o padrão de interferência conhecido como moiré quando fotografada por outra câmera.
• Reflexo e iluminação: uma tela emite luz própria e reflete o ambiente de um jeito diferente de um rosto iluminado; bordas do dispositivo e brilho especular denunciam o replay.
• Geometria e volume: um rosto real tem profundidade. Uma foto plana, mesmo em alta resolução, se comporta como um plano quando a perspectiva muda.
• Sinais temporais: em vídeo, um rosto vivo tem micromovimentos involuntários, piscadas e variações sutis que uma foto estática não reproduz.

A detecção ativa acrescenta um desafio: o sistema pede uma ação, virar o rosto, aproximar a câmera, e verifica a resposta. O desafio aumenta o custo do ataque, mas também aumenta o atrito para o usuário legítimo, e por isso o desenho moderno costuma combinar uma camada passiva forte com desafios apenas quando o risco pede.

O que a prova de vida não cobre

Aqui mora uma distinção que muita avaliação de fornecedor ignora. A ISO/IEC 30107-1 define o ataque de apresentação como algo que acontece diante do sensor. Existe outra família de ataque que não passa pelo sensor: a injeção, em que o fraudador entrega o vídeo falso diretamente ao software, por câmera virtual ou manipulação do fluxo de captura, sem nunca mostrar nada a uma lente. Prova de vida, por definição, não é a defesa para isso; a defesa é a verificação de procedência da captura, assunto que tratamos em artigo separado sobre injeção de câmera. Um fornecedor honesto explica essa fronteira em vez de vender uma coisa como se cobrisse a outra.

Também não cobre o caso em que o rosto é real e vivo, mas pertence a um fraudador usando documento de terceiro. Essa fraude é derrotada pela comparação facial entre a selfie e a foto do documento, combinada com a validação do próprio documento, camadas distintas do mesmo fluxo.

Perguntas que valem a pena fazer a um fornecedor

Quem avalia uma solução de prova de vida consegue separar substância de marketing com poucas perguntas objetivas. Em que metodologia o mecanismo foi testado, e a taxa divulgada informa APCER e BPCER, conforme a ISO/IEC 30107-3, ou é um número solto de precisão? Sobre qual conjunto de dados as taxas foram medidas, e ele inclui os tipos de artefato relevantes, impressão, tela, máscara? O que acontece com o usuário legítimo rejeitado por engano: existe caminho de recaptura com orientação, ou a pessoa cai num beco sem saída?

Essa última pergunta importa mais do que parece. No agregado, a maioria das capturas de um produto real é de gente legítima; um ponto percentual a mais de rejeição indevida custa conversão todos os dias. No fluxo da UNIFOKAL, por exemplo, a captura só acontece depois que um detector no próprio aparelho confirma que há um rosto no enquadramento, o que elimina boa parte das rejeições por foto vazia ou mal enquadrada antes de qualquer análise. Esse detector local resolve enquadramento, não prova de vida: quem decide se o rosto está vivo é a análise no servidor, com as métricas da seção anterior, e a rejeição por qualidade vira pedido de recaptura orientado, não reprovação silenciosa.

Prova de vida bem feita é invisível para quem é real e cara para quem ataca. O contrário, atrito para os legítimos e porta aberta para foto de foto, é o pior dos dois mundos, e é o que um teste com as métricas certas revela antes da assinatura do contrato.

Fontes citadas

• ISO/IEC 30107-1, Information technology, Biometric presentation attack detection, Part 1: Framework, que define ataque de apresentação e PAD
• ISO/IEC 30107-3, Part 3: Testing and reporting, que define as métricas APCER e BPCER
• NIST, avaliações públicas de detecção de ataque de apresentação no programa FATE (Face Analysis Technology Evaluation): pages.nist.gov