Gestos ou visibilidade instantânea na tela: escolhendo o desafio certo

Escolha desafios por gestos quando você atende a uma ampla base de consumidores com diversos celulares e sua principal preocupação são fotos, máscaras e vídeos pré-gravados. Escolha um desafio com flash na tela quando sua principal preocupação for vídeos reproduzidos ou inseridos, pois a sequência de cores é gerada para aquela sessão e não pode existir em uma gravação anterior. Escolha ambos quando a conta for valiosa o suficiente para que alguns segundos extras de captura sejam insignificantes em comparação com a perda decorrente de uma falsificação bem-sucedida.

A escolha envolve um equilíbrio entre os ataques que você espera e as condições em que seus usuários verificam. Nenhum dos métodos é universalmente melhor, e cada um possui uma vulnerabilidade que vale a pena considerar no projeto.

O que cada método pede ao usuário para fazer?

Os desafios de gestos pedem ao usuário que execute movimentos faciais quando solicitado. TodenDe acordo com o Flutter (abre num novo separador) , o conjunto padrão de gestos para ativar/desativar os SDKs é: acenar com a cabeça, virar, piscar e sorrir; dois desses gestos são sorteados aleatoriamente a cada sessão, e cada um tem 8 segundos para ser concluído.SDK Configuração de interação ao vivo (abre num novo separador) . Um avatar animado demonstra cada movimento e, opcionalmente, a orientação por voz lê as instruções em voz alta (somente saída de texto para fala, sem acesso ao microfone).

Os desafios de flash na tela pedem ao usuário que fique imóvel enquanto a tela exibe uma breve sequência aleatória de cores. Um rosto real em frente à tela reflete essas cores; a câmera registra o reflexo. O teste verifica se as cores corretas apareceram no rosto na ordem correta.

Em ambos os casos, a selfie é capturada automaticamente assim que os desafios são concluídos, em vez de o usuário pressionar um botão, e um pequeno vídeo é gravado para que a sessão possa ser revisada no servidor.

A quais ataques cada um resiste?

Os ataques de apresentação colocam algo na frente da câmera: uma foto impressa, um celular reproduzindo um vídeo, uma máscara. Os ataques de injeção ignoram completamente a câmera e inserem vídeo sintético ou gravado no aplicativo, geralmente com uma câmera virtual ou um dispositivo adulterado. NIST A diretriz de comprovação de identidade de 2025, SP 800-63A-4 (abre num novo separador) , trata os dois separadamente por esse motivo e observa que os ataques de injeção são cada vez mais combinados com ferramentas generativas.

Leia a tabela como relativa, não absoluta. Nenhum método de detecção de ataques, por si só, impede todos os ataques, e as afirmações de que algum o faz devem ser encaradas com ceticismo.

Onde cada um deles encontra dificuldades com usuários reais?

Os ataques são importantes, mas a pessoa que aparece na tela quebrada de um ônibus também é.

Os gestos podem ser exigentes para alguns usuários: pessoas com mobilidade cervical limitada, alguns usuários idosos e pessoas que se sentem estressadas por instruções cronometradas. Rostos mal iluminados dificultam o acompanhamento dos movimentos. A ordem aleatória também impede que o usuário pratique.

O flash da tela depende da luz. O reflexo vem da tela do telefone, então compete com todas as outras fontes de luz que iluminam o rosto. Ao ar livre, sob sol forte ou com o brilho da tela baixo, o reflexo pode ser muito fraco para permitir uma leitura precisa. Um teste de flash bem projetado considera isso inconclusivo, e não uma falha, porque um usuário em plena luz do dia não é prova de fraude. As cores piscantes também levantam uma questão de acessibilidade: W3C 's WCAG A orientação 2.3.1 (abre num novo separador) afirma que o conteúdo não deve piscar mais de três vezes em um período de um segundo, ou deve permanecer abaixo dos limites de intermitência. Pergunte a qualquer fornecedor com que frequência sua sequência muda e informe aos usuários o que está prestes a acontecer antes que comece.

Uma comparação prática, para grupos de usuários ilustrativos:

Quando vale a pena usar ambos?

Utilizando ambas as técnicas, primeiro os desafios de gestos e depois a sequência de flashes. As duas complementam-se: os gestos são indiferentes à luz ambiente, enquanto a sequência de flashes é difícil de reproduzir em vídeos pré-gravados ou com marionetes.

O custo é tempo e alguma perda adicional. Essa troca geralmente vale a pena quando uma falsificação bem-sucedida é cara, como na liberação de um empréstimo, no acesso a uma carteira com limite alto ou a uma conta de criptomoedas que permite saques. Raramente vale a pena para uma conta com limite baixo que você pode restringir posteriormente.

Em Toden Esta é uma configuração. Um fluxo de trabalho (abre num novo separador) escolhe desafios de gestos, a sequência de flash da tela ou ambos, e cada elemento incorporado SDK e o link hospedado herda isso; olivenessModeprop (gestures,flashouboth(gestos por padrão) é o equivalente no código. O modelo biométrico de alta segurança combina gestos e detecção de vivacidade com a leitura do chip do passaporte.

O que acontece depois que o desafio for superado?

O desafio no telefone representa apenas metade da verificação. Um veredito de atividade gerado pelo aplicativo pode ser falsificado por um invasor que controle o dispositivo, e é por isso que o vídeo gravado é importante.

Em Toden Na verificação de identidade , o vídeo gravado da visualização ao vivo é reanalisado no servidor para confirmar se a sequência de flash realmente aparece no rosto. Uma discrepância é registrada como um sinal de risco para suas regras e revisores, em vez de resultar em falha na verificação por si só. SDK O desafio também é pausado se mais de um rosto aparecer no quadro, e retomado quando restar apenas um.

Como decidir

Responda às quatro perguntas, nesta ordem:

1. Qual o custo de uma imitação bem-sucedida? Se for um custo pequeno e facilmente reversível, gestos por si só costumam ser proporcionais.

2. Onde seus usuários realizam a verificação? Em ambientes internos, o Flash é o método preferido; em ambientes externos, os gestos são mais comuns.

3. Quem são seus usuários? Se muitos tiverem mobilidade reduzida, prefira o recurso Flash ou configure gestos com orientação por voz.

4. Trata-se de uma primeira integração ou de uma resposta a uma suspeita? A re-verificação após um sinal de risco justifica ambas as situações.

Em seguida, teste com usuários reais em telefones reais antes de implementar. Meça a taxa de conclusão e a taxa de repetição por método e revise manualmente uma amostra de falhas para verificar se elas ocorreram devido a um ataque, à iluminação ou às instruções.