Reautenticação biométrica depois do cadastro: contra o que você compara

No cadastro, a comparação biométrica tem uma referência óbvia: o retrato do documento que a pessoa acabou de fotografar. Meses depois, quando o mesmo cliente pede para elevar um limite ou trocar o aparelho cadastrado, muita gente quer repetir a biometria e descobre que a pergunta mudou de forma.

Comparar com o documento outra vez é possível, e quase sempre é a escolha errada. O documento pode ter vencido, a foto dele pode ter anos, e refazer a captura a cada operação sensível é atrito caro para reprovar algo já provado. O que se quer agora não é "esta pessoa é a titular do documento", é "esta pessoa é a mesma que passou pelo cadastro".

São perguntas diferentes, com referências e limiares diferentes. Este texto trata da segunda: o que serve de referência, quanto tempo ela vale, quantas tentativas conceder e por que a falta de referência não pode virar recusa.

A referência muda, e o limiar tem de ser recalibrado

A comparação do cadastro é entre uma selfie ao vivo e um retrato impresso, fotografado de um plástico, com reflexo, desgaste e anos de diferença. É difícil, e o limiar é escolhido sabendo disso.

A reautenticação compara duas capturas ao vivo. Com isso sobe a distribuição genuína, a das comparações entre imagens da mesma pessoa. A distribuição impostora, que é a que governa a taxa de falsa correspondência num limiar fixo, não melhora só porque a captura ficou boa. O efeito prático de herdar o limiar do cadastro não é ficar inseguro: é deixar margem na mesa, operando num ponto que ninguém escolheu, quando daria para subir o corte e derrubar a falsa correspondência pagando pouco em falsa rejeição. Calibração de reautenticação se faz no par selfie contra selfie, com os dados dela.

As diretrizes de autenticação da NIST SP 800-63B, revisão 4, são escritas para o acesso a sistemas de governo dos Estados Unidos, e o que se aproveita fora dali são os limites de engenharia. Elas exigem que o sistema biométrico seja configurado com limiar fixo, o que só faz sentido se alguém decidiu qual, e fixam réguas que raramente aparecem em proposta: taxa de falsa correspondência de um em dez mil ou melhor para todos os grupos demográficos, com sexo e tom de pele entre as categorias a considerar, e taxa de falsa não correspondência abaixo de cinco por cento.

Junto vem a condição de medida, que muda o sentido do número: esse um em dez mil vale sob tentativa de impostor de esforço zero, não sob ataque. Contra ataque, a mesma seção torna obrigatória a detecção de ataque de apresentação para reconhecimento facial. Prova de vida não é camada opcional ao lado da comparação, como detalha o artigo sobre prova de vida. E há a exigência que reorganiza o desenho inteiro: biometria deve ser usada apenas como parte de autenticação multifator, junto a um autenticador físico, ou seja, algo que a pessoa tem. Um portão biométrico é um fator, não a porta.

A matrícula é um artefato, e artefato tem validade

Chame de matrícula a referência guardada para reautenticação. Ela merece decisões próprias, porque não é um subproduto do cadastro.

O que se guarda é o vetor derivado do rosto, com a versão do modelo que o produziu, e não a imagem. Descartar a imagem encolhe a superfície de vazamento, e é preciso dizer o que isso não faz: o vetor continua sendo dado biométrico. A própria SP 800-63B manda tratar e proteger dado biométrico como informação pessoal sensível, e na Lei 13.709/2018, a Lei Geral de Proteção de Dados, o dado biométrico é sensível pelo artigo 5º, inciso II, com ou sem imagem ao lado.

Qual captura pode virar matrícula é a segunda decisão, e a mais fácil de errar. Só serve uma sessão aprovada automaticamente, com o rosto conferido e a prova de vida aprovada. Sessão aprovada por decisão manual de um operador não pode virar referência: se virar, o julgamento daquela pessoa passa a ser a verdade biométrica de todas as autenticações futuras daquele cliente, e um erro de operação vira porta permanente.

Quanto tempo ela vale é a terceira. Rosto muda, e uma referência antiga não produz a mesma distribuição de similaridade que uma recente. Dois relógios funcionam melhor do que um: um teto absoluto contado do dia em que a matrícula nasceu, e uma janela rolante contada do último uso bem-sucedido, valendo o que vencer primeiro. O teto impede que uma referência antiga sobreviva por uso frequente; a janela apaga sozinha a matrícula de quem parou de usar o produto. Quem renova a janela é a autenticação aprovada, nunca a tentativa que falhou, e vale antecipar o efeito colateral: quem está bloqueado deixa de renovar, e a matrícula dele expira em silêncio.

Trocar o modelo é o evento que essa conta esquece. Vetores de modelos diferentes não se comparam, então a troca invalida a base inteira de matrículas de uma vez, e todo mundo cai no caminho de quem não tem referência. Isso é um pico de fila na carteira toda, que entra no plano antes da migração, não depois. A SP 800-63B abre uma alternativa ao envelhecimento, que é adaptar o gabarito com as amostras da própria autenticação, exigindo que essas amostras sejam apagadas imediatamente após a adaptação.

Como o dado é sensível, a LGPD exige hipótese específica do artigo 11. Para reautenticação antifraude a hipótese natural é a alínea "g" do inciso II, a garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos do artigo 9º. A alínea "a", cumprimento de obrigação legal ou regulatória, entra quando é a regulação setorial que impõe o controle.

O limite de tentativas já está escrito

A regra geral da SP 800-63B é de no máximo cem tentativas consecutivas malsucedidas de um mesmo autenticador numa conta, desativando aquele autenticador. Ela abre, porém, com uma condicional que se lê rápido demais: vale a menos que a descrição de um autenticador específico diga outra coisa. Para biometria, a norma diz outra coisa, e o regime é bem mais apertado.

No máximo cinco tentativas consecutivas malsucedidas, ou dez quando há detecção de ataque de apresentação conforme. Atingido esse limite, atraso de pelo menos trinta segundos antes de cada tentativa seguinte. E um teto global de cinquenta tentativas consecutivas malsucedidas, ou cem com detecção de ataque; atingido esse teto, o sistema desabilita a autenticação biométrica e oferece outro fator. São limites superiores, e a norma admite adotar limites menores.

Repare no que o desenho faz: o cinco não bloqueia, atrasa. O atraso inviabiliza a força bruta sem transformar iluminação ruim em porta fechada, e o bloqueio duro só chega no teto global. Quem implementa "cinco erros e trava" ficou mais severo que a norma sem ficar mais seguro.

E a porta de saída está escrita: outro fator. A mesma seção exige que uma opção alternativa de autenticação não biométrica esteja sempre disponível ao usuário. Isso derruba a resposta que soa mais rigorosa, "biometria ou nada, refaça o cadastro". A rematrícula segue valendo como caminho paralelo, nunca como porta única.

Quem não tem matrícula não pode ser recusado

Nem todo pedido sem referência vem de um impostor, e em produção ele costuma vir do cliente legítimo: cadastrou-se antes de o recurso existir, a matrícula venceu, foi apagada pela política de retenção, ou o modelo mudou ontem.

Ausência de referência não é evidência contra ninguém. O desfecho correto é revisão, com o motivo explícito para quem opera, nunca recusa. Tratar como recusa transforma a política de retenção da própria empresa em motivo para negar serviço.

A resposta pública, por outro lado, precisa ser a mesma nos quatro casos: sem matrícula, matrícula vencida, matrícula bloqueada e rosto que não bateu. Um motivo público que distingue esses estados entrega ao atacante um consultor gratuito sobre a conta alheia, e é a mesma disciplina que evita transformar o falso positivo em verificação num oráculo.

Por fim, uma recusa decidida unicamente com base em tratamento automatizado atrai o artigo 20 da LGPD, que assegura ao titular pedir revisão. Responder a esse pedido exige ter guardado a similaridade medida, o limiar vigente, a versão do modelo e a data da matrícula usada. Guardar o veredito sem os números é ter que dizer que a máquina decidiu e ninguém sabe explicar.

Fontes citadas

• NIST SP 800-63B, revisão 4, do National Institute of Standards and Technology, seções de limitação de tentativas e de autenticadores biométricos: pages.nist.gov.
• ISO/IEC 30107-1, framework de detecção de ataque de apresentação, e ISO/IEC 2382-37, vocabulário de biometria, de onde vem a sigla FMR, citadas por nome no texto.
• ISO/IEC 19795-1, sobre medição e relato de desempenho biométrico, citada por nome no texto.
• Lei 13.709/2018 (LGPD), artigo 5º, inciso II, artigo 11, inciso II, alíneas "a" e "g", e artigo 20: Presidência da República.