لماذا لا تكفي نتيجة التحقق من حيوية الهاتف؟

لأن الهاتف ليس ملكك. نتيجة التحقق من وجود الهاتف، التي يتم حسابها في التطبيق وإرسالها إلى خادمك على أنها "ناجحة"، هي مجرد ادعاء من جهاز، في الحالات التي تهمك، يكون تحت سيطرة المهاجم. بإمكانه تعديل التطبيق، أو تشغيله على محاكي، أو تزويده بفيديو لم يُلتقط أبدًا من كاميرا. الخادم الذي يقبل هذا الادعاء يكون قد أوكل أهم عملية تحقق له إلى الشخص الذي يتحقق منه.

الحل مبدأ أكثر منه ميزة: يجمع الهاتف الأدلة، ويتخذ الخادم القرار. احتفظ بما تم التقاطه، وأعد استخلاص الحكم منه على البنية التحتية التي تتحكم بها، واعتبر حكم الجهاز نفسه أحد المدخلات من بين عدة مدخلات.

ما الذي يمكن للمهاجم تغييره على الجهاز؟

على هواتفهم الخاصة، يحدث كل شيء تقريبًا قبل أن تغادر البيانات الهاتف.

• النتيجة نفسها. إذا أرسل التطبيقliveness: true، يمكن لتطبيق تم تعديله أو طلب تم اعتراضه إرسال نفس القيمة دون وجود أي شخص أمام الكاميرا.

• بث الكاميرا. كاميرا افتراضية، أو محاكي، أو كاميرا متصلة. API يمكن للتطبيق عرض فيديو مسجل مسبقًا أو مُنشأ كما لو كان بثًا مباشرًا. ثم تعمل آلية التحقق من البث المباشر في التطبيق بشكل صحيح، حتى مع المدخلات الوهمية.

• التوقيت. يمكن لأداة إعادة التشغيل إعادة إرسال جلسة أصلية تم التقاطها سابقًا.

يصف المعهد الوطني الأمريكي للمعايير والتكنولوجيا الحالة الثانية بشكل مباشر. إذ يُعرّف دليل التحقق من الهوية الخاص به، SP 800-63A-4 (يفتح في علامة تبويب جديدة) (يوليو 2025)، هجمات الحقن بأنها إدخال "وسائط مُعدّلة أو مُزوّرة بين نقطة الالتقاط (مثل جهاز) والعنصر الذي يُجري المقارنة"، ويشير إلى أنها تُستخدم بشكل متزايد مع أدوات الذكاء الاصطناعي التوليدي. ويضيف أن اكتشاف هجمات الالتقاط المباشر وهجمات العرض يجعل الأمر أكثر صعوبة، ولكنه "غير كافٍ لمعالجة جميع الحالات المُحتملة لهذا النوع من الهجمات".

لماذا لا يحل فحص جاهزية الجهاز الجيد هذه المشكلة؟

لأن هجوم العرض التقديمي وهجوم الحقن مشكلتان مختلفتان.

يُعرّض هجوم العرض المُزيّف شيئًا ما أمام الكاميرا الحقيقية: صورة، أو شاشة، أو قناع. صُممت أنظمة العرض المباشر الجيدة على الأجهزة لكشف هذه الأشياء، و NIST يتوقع اختباره: يتطلب معيار SP 800-63A-4 اكتشاف هجمات التزييف لجمع البيانات البيومترية عن بُعد، مع معدل قبول هجمات التزييف أقل من 0.07، وقد تم اختباره وفقًا لذلك. ISO / IEC 30107-3:2023. NIST هو معيار أمريكي، ولكنه معيار مفيد للاستفسار عنه من البائع.

لا يُظهر هجوم الحقن أي شيء للكاميرا. قد يكون فحص الجهاز ممتازًا ومع ذلك ينجح، لأنه يحلل الفيديو المُعطى له تحديدًا. المكانان الوحيدان لاكتشاف ذلك هما الدليل نفسه والإشارات المتعلقة بكيفية التقاطه، والتي تُفحص في مكان لا يستطيع المهاجم الوصول إليه.

ما الذي يجب على الخادم إعادة فحصه فعلياً؟

أربع ممارسات، مرتبة حسب مقدار ما تضيفه.

1. احتفظ بالتسجيل، وليس الإطار فقط

لا تُثبت صورة سيلفي واحدة الكثير عن كون الشخص على اتصال مباشر. احتفظ بتسجيل قصير للتحدي. فهذا يُعطي الخادم شيئًا لإعادة تحليله، ويُعطي المُراجع شيئًا لمشاهدته. Toden باستخدام حزم تطوير البرامج (SDKs)، يتم التقاط صورة السيلفي تلقائيًا بمجرد اجتياز التحديات، ويتم تسجيل فيديو قصير للتحقق من الحيوية لمراجعته على جانب الخادم، كما هو موضح في SDK الوثائق (يفتح في علامة تبويب جديدة) .

2. استخلاص الحكم من التسجيل

بالنسبة للتحديات التي تظهر إجابتها في الفيديو، تحقق من الإجابة على الخادم. يُعد تحدي وميض الشاشة أوضح مثال على ذلك: يجب أن تظهر الألوان التي عرضتها الشاشة، بالترتيب، كانعكاسات على الوجه. Toden يقوم نظام التحقق من الهوية بإعادة تحليل الفيديو المسجل على الخادم للتأكد من ظهور تسلسل الوميض على الوجه.

3. سجل كيفية جمع الأدلة

تترك بعض أدوات الحقن آثارًا: اسم جهاز كاميرا ينتمي إلى برنامج كاميرا افتراضية معروف، أو كاميرا بقدرات غير معقولة، أو علامات على وجود برنامج محاكاة. لا يُعد أي منها دليلًا بحد ذاته، ولكنها مجتمعة تُشير إلى مدى موثوقية البيانات. Toden تغذي إشارات سلامة الالتقاط حقل القرار،verification.cameraSuspectوهذا صحيح عندما يتم رصد احتمالية حقن البيانات، بحيث يمكن لسير العمل توجيه تلك الجلسات للمراجعة. وتُدرج وثائق اتخاذ القرار (يفتح في علامة تبويب جديدة) هذا الأمر إلى جانب الحقول الأخرى.

4. حيثما أمكن، اجعل التحدي يأتي من الخادم

يُعدّ النمط الأقوى تحديًا يُصدره الخادم ويخضع لعمليات التحقق اللاحقة. تُعتبر رقائق جواز السفر مثالًا مرجعيًا: في NFC في عملية التحقق من الشريحة (يفتح في علامة تبويب جديدة) ، يُجري الخادم مصادقة سلبية على بيانات الشريحة نفسها ("لا يُحدد العميل صحة الشريحة مطلقًا")، بينما تطلب المصادقة النشطة من الشريحة توقيع تحدٍّ لمرة واحدة، وهو ما لا تستطيع نسخة الشريحة الأصلية القيام به. وينطبق المبدأ نفسه على أي عملية تحقق: فكلما قلّت خيارات العميل، قلّت إمكانية تزويره.

ماذا ينبغي أن يحدث عندما لا يتفق الخادم مع الهاتف؟

هنا يكمن الخطأ في العديد من التصاميم. يُعدّ عدم التوافق من جانب الخادم دليلاً قوياً على وجود خلل ما، ولكنه ليس بالضرورة دليلاً على الاحتيال. قد يُخفي الضوء الانعكاس، وقد تُشوّش الكاميرا الأمامية الرخيصة الإيماءة، وقد ينتمي اسم الكاميرا الافتراضية إلى أداة شرعية لتسهيل الوصول أو البث المباشر.

لذا تعامل مع عدم التوافق كإشارة خطر، وليس كحكم نهائي. Toden يُسجّل عدم تطابق تسلسل الفلاش كإشارة خطر بدلاً من أن يؤدي إلى فشل عملية التحقق بحد ذاته. ويُحدّد سير العمل الخاص بك ما يعنيه ذلك بالنسبة لمنتجك.

مثال على مسار معقول:

زوّد المراجعين بالتسجيل بالإضافة إلى العلم. فمشاهدة المقطع غالباً ما تكون أسرع طريقة للتمييز بين الوجه الحقيقي والوجه المُعاد عرضه.

أسئلة يجب طرحها على أي بائع لخدمات التحقق من الحيوية

سواء كنت تستخدم أم لا Toden هذه الأسئلة تميز بين تصميم يعتمد على ثقة الهاتف وتصميم يعتمد على التحقق من الخادم:

1. هل يتم حساب قرار التحقق من وجود اتصال حي على الجهاز، أم على الخادم، أم على كليهما؟ إذا كان كلاهما، فأيهما يقوم بالقرار؟

2. ما هي الأدلة التي يتم الاحتفاظ بها، وهل يمكن للمراجع الاطلاع عليها؟

3. كيف يمكنك اكتشاف الفيديو الذي لم يتم تصويره بكاميرا حقيقية؟

4. كيف تم اختبار اكتشاف هجمات التزييف، وما هو المعيار الذي تم اعتماده؟

5. ماذا يحدث عندما يختلف الخادم مع الجهاز: هل يحدث عطل كارثي، أم إشارة يمكنني توجيهها؟

القاعدة التي يجب إزالتها

ينبع بناء الثقة في عملية التحقق من أقل نقطة موثوقية تمر بها. إذا صدر القرار الحاسم على هاتف لا تتحكم به، فإن هذا الهاتف يحدد سقف صلاحياتك. انقل القرار إلى الخادم، واحتفظ بالأدلة التي استند إليها، واستخدم الهاتف فيما يُجيده: توجيه شخص حقيقي خلال عملية الالتقاط بسرعة.