الإيماءات أم حيوية الشاشة: اختيار التحدي المناسب

اختر تحديات الإيماءات عندما تخدم شريحة واسعة من المستهلكين على هواتف متنوعة، ويكون شاغلك الرئيسي هو الصور والأقنعة والفيديوهات المسجلة مسبقًا. اختر تحدي وميض الشاشة عندما يكون شاغلك الرئيسي هو إعادة تشغيل الفيديو أو إدخاله، لأن تسلسل الألوان يُنشأ خصيصًا لتلك الجلسة ولا يمكن أن يكون موجودًا في تسجيل سابق. اختر كلا الخيارين عندما يكون الحساب ذا قيمة كافية بحيث تكون بضع ثوانٍ إضافية من التسجيل زهيدة مقارنةً بالخسارة الناتجة عن انتحال شخصية ناجح واحد.

الخيار هو مقايضة بين الهجمات التي تتوقعها والظروف التي يتحقق منها المستخدمون. لا توجد طريقة أفضل بشكل عام، ولكل منها نقطة ضعف تستحق التصميم حولها.

ما الذي تطلبه كل طريقة من المستخدم؟

تتطلب تحديات الإيماءات من المستخدم القيام بحركات وجهية بناءً على طلب. Toden تتضمن مجموعة SDKs الافتراضية الإيماءة، والالتفاف، والرمش، والابتسام؛ يتم اختيار اثنين منها عشوائيًا لكل جلسة، ويستغرق كل منهما 8 ثوانٍ لإكماله، وفقًا لـ Flutter SDK إعدادات الحيوية (يفتح في علامة تبويب جديدة) . يقوم رمز متحرك بعرض كل حركة، ويقرأ التوجيه الصوتي الاختياري التعليمات بصوت عالٍ (إخراج النص إلى الكلام فقط، بدون إمكانية الوصول إلى الميكروفون).

تتطلب تحديات وميض الشاشة من المستخدم الثبات أثناء عرض الشاشة لسلسلة قصيرة وعشوائية من الألوان. يعكس وجه حقيقي أمام الشاشة هذه الألوان، وتقوم الكاميرا بتسجيل الانعكاس. يتحقق الاختبار من ظهور الألوان الصحيحة على الوجه بالترتيب الصحيح.

في كلتا الحالتين، يتم التقاط صورة السيلفي تلقائيًا بمجرد اجتياز التحديات، بدلاً من قيام المستخدم بالضغط على زر، ويتم تسجيل فيديو قصير حتى يمكن مراجعة الجلسة على الخادم.

ما هي الهجمات التي يقاومها كل واحد؟

تستخدم هجمات العرض شيئًا ما أمام الكاميرا: صورة مطبوعة، أو هاتف يعرض فيديو، أو قناع. أما هجمات الحقن فتتجاوز الكاميرا تمامًا وتُدخل فيديو اصطناعيًا أو مسجلًا إلى التطبيق، غالبًا باستخدام كاميرا افتراضية أو جهاز مُعدّل. NIST إن دليل إثبات الهوية لعام 2025، SP 800-63A-4 (يفتح في علامة تبويب جديدة) ، يتعامل مع الاثنين بشكل منفصل لهذا السبب، ويشير إلى أن هجمات الحقن تقترن بشكل متزايد بالأدوات التوليدية.

اقرأ الجدول على أنه نسبي وليس مطلقًا. لا توجد طريقة فعالة بمفردها لإيقاف كل هجوم، وينبغي التعامل مع الادعاءات التي تفيد بوجود طريقة فعالة بحذر.

أين تكمن صعوبة كل منها مع المستخدمين الحقيقيين؟

الهجمات مهمة، لكن الشخص الذي يظهر على شاشة متصدعة في محطة الحافلات مهم أيضاً.

تُشكّل الإيماءات تحديًا لبعض المستخدمين: كالأشخاص ذوي القدرة المحدودة على تحريك الرقبة، وبعض كبار السن، والأشخاص الذين يجدون التعليمات المحددة بوقت مُرهقة. كما أن الإضاءة الخافتة للوجوه تُصعّب تتبّع الحركات. بالإضافة إلى ذلك، فإن الترتيب العشوائي يعني عدم قدرة المستخدم على التدرب.

يعتمد وميض الشاشة على الإضاءة. ينعكس الضوء من شاشة الهاتف، لذا فهو يتداخل مع جميع مصادر الإضاءة الأخرى. في ضوء الشمس الساطع، أو مع سطوع شاشة منخفض، قد يكون الانعكاس خافتًا جدًا بحيث يصعب قراءته بثقة. يتعامل نظام فحص الوميض المصمم جيدًا مع هذا الأمر على أنه غير حاسم وليس فشلًا، لأن وقوف المستخدم في ضوء النهار ليس دليلًا على الاحتيال. كما أن الألوان الوامضة تثير مسألة سهولة الوصول: W3C 's WCAG تنصّ إرشادات البند 2.3.1 (يفتح في علامة تبويب جديدة) على أنه لا ينبغي أن يومض المحتوى أكثر من ثلاث مرات في أي ثانية واحدة، أو أن يبقى ضمن حدود الوميض المحددة. اسأل أي مزوّد عن سرعة تغيير التسلسل، وأخبر المستخدمين بما سيحدث قبل بدء العرض.

مقارنة عملية، لتوضيح مجموعات المستخدمين:

متى يكون من المفيد استخدام كليهما؟

باستخدام كليهما، يتم تشغيل تحديات الإيماءات ثم تسلسل الوميض. يكمل كل منهما الآخر: فالإيماءات لا تتأثر بالإضاءة المحيطة، بينما يصعب على الفيديو المسجل مسبقًا أو فيديو الدمى محاكاة تسلسل الوميض.

التكلفة هي الوقت وبعض الخسائر الإضافية. عادةً ما يكون هذا التبادل مجديًا عندما تكون عملية انتحال الهوية الناجحة مكلفة، مثل صرف قرض، أو محفظة ذات حد ائتماني عالٍ، أو حساب عملات رقمية يسمح بالسحب. نادرًا ما يكون مجديًا لحساب ذي حد ائتماني منخفض يمكنك تقييده لاحقًا.

في Toden هذا أحد الإعدادات. يختار سير العمل (يفتح في علامة تبويب جديدة) تحديات الإيماءات، أو تسلسل وميض الشاشة، أو كليهما، وكل عنصر مضمن. SDK ويرث الرابط المستضاف هذه الخاصية؛livenessModeخاصية (gestures،flashأوboth(الإيماءات افتراضياً) هو المكافئ البرمجي. يجمع قالب القياسات الحيوية عالي الموثوقية بين الإيماءات والتحقق من الحيوية عبر الفلاش مع قراءة شريحة جواز السفر.

ماذا يحدث بعد انتهاء التحدي؟

لا يمثل التحقق عبر الهاتف سوى نصف العملية. فقرار التحقق من حيوية الجهاز الذي يصدره التطبيق نفسه يمكن تزويره من قبل مهاجم يتحكم بالجهاز، ولهذا السبب يُعد الفيديو المسجل بالغ الأهمية.

في Toden في عملية التحقق من الهوية ، يُعاد تحليل فيديو التحقق المباشر المسجل على الخادم للتأكد من ظهور تسلسل الوميض على الوجه فعلاً. ويُسجل أي عدم تطابق كإشارة خطر لقواعدك وللمراجعين، بدلاً من أن يُعتبر فشلاً في التحقق بحد ذاته. SDK كما يقوم بإيقاف التحدي مؤقتًا إذا ظهر أكثر من وجه واحد في الإطار، ويستأنفه عندما يبقى وجه واحد فقط.

كيفية اتخاذ القرار

أجب عن الأسئلة الأربعة بالترتيب التالي:

1. ما هي تكلفة انتحال شخصية ناجح واحد؟ إذا كان الأمر بسيطًا ويمكن تداركه، فإن الإيماءات وحدها عادة ما تكون متناسبة.

2. أين يتحقق المستخدمون من هويتهم؟ في الغالب داخل المباني يفضلون الفلاش؛ وفي الغالب في الهواء الطلق يفضلون الإيماءات.

3. من هم مستخدموك؟ إذا كان لدى الكثير منهم قدرة محدودة على الحركة، ففضل استخدام الفلاش أو قم بضبط الإيماءات مع التوجيه الصوتي.

4. هل هذه عملية تسجيل أولية أم استجابة لشكوك؟ إعادة التحقق بعد ظهور إشارة خطر تبرر كلا الاحتمالين.

ثم اختبره مع مستخدمين حقيقيين على هواتف حقيقية قبل اعتماده. قِس معدل الإنجاز ومعدل إعادة المحاولة لكل طريقة، وراجع عينة من حالات الفشل يدويًا لمعرفة ما إذا كان سبب الفشل هجومًا أو خللًا في الإضاءة أو التعليمات.