Kwa nini matokeo ya kusisimua kutoka kwa simu hayatoshi
Charles Archibong, Mwanzilishi mwenza
Matokeo ya uhai yanayotolewa kwenye simu ni dai linalotolewa na kifaa ambacho mshambuliaji anaweza kudhibiti. Lichukulie kama pembejeo, weka ushahidi uliorekodiwa, na uangalie tena ushahidi huo kwenye seva kabla ya matokeo kuhesabiwa.
Mambo muhimu
- Chochote ambacho simu inaripoti, ikiwa ni pamoja na pasi ya utendakazi, kinaweza kughushiwa na mtu anayedhibiti kifaa hicho.
- Mashambulizi ya sindano hupita kamera, ili programu iweze kufanya kazi kikamilifu na bado ipewe video bandia.
- Weka ushahidi uliorekodiwa na upate tena uamuzi kwenye seva; chukulia matokeo ya mteja kama dai.
- Kutolingana kwa upande wa seva ni bora kutumika kama ishara ya hatari inayoelekezwa kwenye ukaguzi, si marufuku ya kiotomatiki.
Kwa sababu simu si yako. Matokeo ya uhalisia yaliyohesabiwa katika programu na kutumwa kwa seva yako kama "yaliyopitishwa" ni dai linalotolewa na kifaa ambacho, katika hali unazojali, kinadhibitiwa na mshambuliaji. Wanaweza kurekebisha programu, kuiendesha kwenye kiigaji, au kuisambaza video ambayo haijawahi kutoka kwa kamera. Seva inayokubali dai hilo imetuma ukaguzi wake muhimu zaidi kwa mtu anayeiangalia.
Marekebisho ni kanuni zaidi ya kipengele: simu hukusanya ushahidi, na seva huamua. Weka kile kilichonaswa, pata tena uamuzi kutoka kwake kuhusu miundombinu unayodhibiti, na uchukulie uamuzi wa kifaa kama mchango mmoja kati ya kadhaa.
Mshambuliaji anaweza kubadilisha nini kwenye kifaa?
Kwenye simu zao wenyewe, karibu kila kitu kinachotokea kabla data haijaondoka.
Matokeo yenyewe. Ikiwa programu itatuma
liveness: true, programu iliyorekebishwa au ombi lililokatizwa linaweza kutuma thamani sawa bila mtu yeyote kusimama mbele ya kamera.Mlisho wa kamera. Kamera pepe, kiigaji au kamera iliyounganishwa API inaweza kuwasilisha video iliyorekodiwa au iliyotengenezwa tayari kana kwamba iko moja kwa moja. Mantiki ya uhuishaji wa programu kisha huendeshwa ipasavyo, kwenye ingizo bandia.
Muda. Zana ya kurejesha inaweza kutuma tena kipindi halisi kilichonaswa mapema.
Taasisi ya Kitaifa ya Viwango na Teknolojia ya Marekani inaelezea kesi ya pili moja kwa moja. Mwongozo wake wa uthibitishaji wa utambulisho, SP 800-63A-4 (hufunguka kwenye kichupo kipya) (Julai 2025), unafafanua mashambulizi ya sindano kama kuingiza "vyombo vya habari vilivyobadilishwa au kughushiwa kati ya sehemu ya kunasa (km, kifaa) na kipengele kinachofanya ulinganisho", na inabainisha kuwa yanazidi kuunganishwa na zana za kuzalisha AI. Inaongeza kuwa utambuzi wa mashambulizi ya kunasa moja kwa moja na uwasilishaji hufanya hili kuwa gumu, lakini "haitoshi kushughulikia visa vyote vinavyowezekana vya aina hizi za mashambulizi".
Kwa nini ukaguzi mzuri wa utendakazi wa kifaa hausuluhishi hili?
Kwa sababu shambulio la utangulizi na shambulio la sindano ni matatizo tofauti.
Shambulio la uwasilishaji huweka kitu mbele ya kamera halisi: picha, skrini, barakoa. Uhai mzuri kwenye kifaa umejengwa ili kuvivutia, na NIST inatarajia ijaribiwe: SP 800-63A-4 inahitaji ugunduzi wa mashambulizi ya uwasilishaji kwa ajili ya ukusanyaji wa kibayometriki wa mbali na kiwango cha kukubalika kwa uwasilishaji wa shambulio bandia chini ya 0.07, kilichojaribiwa kwa mujibu wa ISO / IEC 30107-3:2023. NIST ni kiwango cha Marekani, lakini ni kipimo muhimu cha kumuuliza muuzaji kuhusu.
Shambulio la sindano halitoi chochote kwa kamera. Ukaguzi wa kifaa unaweza kuwa bora na bado ukafaulu, kwa sababu unachambua video iliyotolewa haswa. Sehemu pekee za kukamata ni ushahidi wenyewe na ishara kuhusu jinsi ilivyonaswa, ikichunguzwa mahali ambapo mshambuliaji hawezi kufikia.
Seva inapaswa kuangalia upya nini hasa?
Mazoezi manne, kwa mpangilio wa kiasi wanachoongeza.
1. Weka rekodi, si fremu pekee
Fremu moja ya selfie haithibitishi mengi kuhusu uchangamfu. Weka rekodi fupi ya changamoto. Inampa mhudumu kitu cha kuchanganua upya na kumpa mhakiki kitu cha kutazama. Katika Toden SDK, selfie hupigwa kiotomatiki mara tu changamoto zinapopita, na video fupi ya uchangamfu hurekodiwa kwa ajili ya ukaguzi wa upande wa seva, kama ilivyoelezwa katika SDK nyaraka (hufunguka kwenye kichupo kipya) .
2. Pata tena uamuzi kutoka kwa rekodi
Kwa changamoto ambayo jibu lake linaonekana kwenye video, angalia jibu kwenye seva. Changamoto ya kuwasha skrini ndiyo kesi iliyo wazi zaidi: rangi ambazo skrini ilionyesha zinapaswa kuonekana, kwa mpangilio, kama kiakisi usoni. Toden Uthibitishaji wa Utambulisho huchanganua upya video iliyorekodiwa kwenye seva ili kuthibitisha mfuatano wa flash unaoonekana kwenye uso.
3. Andika jinsi ushahidi ulivyokamatwa
Baadhi ya vifaa vya kuingiza huacha alama: jina la kifaa cha kamera linalomilikiwa na programu inayojulikana ya kamera pepe, kamera yenye uwezo usiowezekana, ishara za kiigaji. Hakuna uthibitisho peke yake, lakini kwa pamoja vinakuambia ni kiasi gani cha kuamini pikseli. Toden , ishara za ukamilifu wa kunasa hulisha uwanja wa uamuzi,verification.cameraSuspect, ambayo ni kweli wanapoashiria uwezekano wa kuingiza, ili mtiririko wa kazi uweze kuelekeza vipindi hivyo kukaguliwa. Nyaraka za uamuzi (hufunguka kwenye kichupo kipya) zinaorodhesha pamoja na sehemu zingine.
4. Pale unapoweza, fanya changamoto itoke kwa seva
Muundo imara zaidi ni changamoto ambayo seva hutoa na kuiangalia baadaye. Chipu za pasipoti ni mfano wa marejeleo: katika NFC uthibitishaji wa chipu (hufunguka kwenye kichupo kipya) , seva huendesha uthibitishaji tulivu kwenye data ya chipu yenyewe ("mteja haamui kamwe uhalisi"), na Uthibitishaji Amilifu huuliza chipu kutia saini changamoto ya mara moja, ambayo nakala ya chipu halisi haiwezi kufanya. Wazo hilo hilo linatumika kwa hundi yoyote: kadiri mteja anavyochagua kidogo, ndivyo mteja anavyoweza kuiga kidogo.
Ni nini kifanyike wakati seva haikubaliani na simu?
Hapa ndipo miundo mingi inapozidi. Kutolingana kwa seva ni ushahidi thabiti kwamba kuna kitu kibaya, lakini si mara zote ushahidi wa ulaghai. Mwanga unaweza kuondoa mwangaza. Kamera ya mbele ya bei nafuu inaweza kufifisha kichwa. Jina la kamera pepe linaweza kuwa la zana halali ya ufikiaji au utiririshaji.
Kwa hivyo chukulia kutolingana kama ishara ya hatari, si uamuzi. Toden , kutolingana kwa mfuatano wa flash hurekodiwa kama ishara ya hatari badala ya kushindwa kuthibitisha yenyewe. Mtiririko wako wa kazi huamua maana yake kwa bidhaa yako.
Kwa mfano, njia inayofaa:
Kile ambacho seva ilipata | Ushughulikiaji uliopendekezwa |
|---|---|
Kurekodi kunathibitisha changamoto, hakuna alama za ukamilifu wa kunasa | Endelea na ukaguzi mwingine |
Mfuatano wa mweko haukuweza kusomwa (kwa mfano, mwangaza mwingi) | Endelea, au omba urudiaji wa ndani kwa mtiririko wa bei ya juu |
Mfuatano wa Flash unapingana na kile simu ilichoripoti | Tuma kwa ukaguzi; kushuka kwa bidhaa zenye hatari kubwa |
| Tuma ili kukagua, na uangalie shughuli nyingine ya kifaa |
Zote mbili za mwisho | Kataa na uchunguze kifaa na akaunti zozote zilizounganishwa |
Wape wakaguzi rekodi pamoja na bendera. Kutazama klipu mara nyingi ndiyo njia ya haraka zaidi ya kutofautisha uso unaong'aa na uso unaorudiwa.
Maswali ya kuuliza kwa muuzaji yeyote wa bidhaa za urembo
Iwe unatumia au la Toden , maswali haya hutenganisha muundo unaoamini simu kutoka kwa ule unaothibitisha seva:
Je, uamuzi wa uhalisia wa utendaji kazi huhesabiwa kwenye kifaa, kwenye seva, au vyote viwili? Ikiwa vyote viwili, ni kipi kinachoamua?
Ni ushahidi gani unaohifadhiwa, na mhakiki anaweza kuutazama?
Unawezaje kugundua video ambayo haikutoka kwenye kamera halisi?
Ugunduzi wa mashambulizi ya uwasilishaji umejaribiwaje, na kwa kiwango gani?
Ni nini hutokea seva inapotofautiana na kifaa: hitilafu ngumu, au ishara ninayoweza kuelekeza?
Sheria ya kuondoa
Imani katika uthibitishaji hutoka mahali pasipoaminika sana inapopitia. Ikiwa uamuzi wa uamuzi utatokea kwenye simu ambayo huidhibiti, simu hiyo itakuweka katika hali ya juu. Hamisha uamuzi huo kwenye seva, weka ushahidi uliotegemea, na utumie simu kwa kile inachofanya vizuri: kumwongoza mtu halisi kupitia upigaji picha haraka.
Vyanzo
Charles Archibong
Mwanzilishi mwenza
Charles Archibong ndiye mwanzilishi mwenza wa Toden. Anaandika kuhusu uthibitishaji wa utambulisho, teknolojia ya kifedha, na kazi ya vitendo ya kujenga huduma za kidijitali zinazoaminika.
