深度伪造和注入式摄像头画面：身份验证如何遭到攻击
Charles Archibong, 联合创始人
攻击者要么向真实摄像头展示伪造的视频素材（展示攻击），要么直接将其注入数据流（注入攻击）。每种攻击都需要相应的防御措施，而最有效的防御手段是提供摄像头无法提供的证据。
要点
- 呈现型攻击会欺骗摄像头；注入型攻击则会绕过摄像头。它们需要不同的防御措施。
- NIST SP 800-63A-4（2025 年 7 月）要求采取措施检测虚拟摄像头、模拟器和越狱设备。
- 活体检测挑战会增加攻击成本，但其本身并不能作为证据。
- 相机无法伪造的证据，例如带有签名的护照芯片或政府记录照片，是最有力的反驳证据。
攻击者通常通过两种方式绕过远程身份验证。在演示攻击中，他们会在真实的摄像头前展示伪造的物品：例如打印的照片、在第二屏幕上播放的视频、面具，或者在手机上播放的深度伪造视频。在注入攻击中，他们则完全绕过摄像头，直接将伪造的图像或视频注入到应用程序或网络请求中，通常是通过虚拟摄像头、模拟器或修改后的应用程序来实现的。
防御措施源于分裂。呈现攻击检测（ PAD 它判断摄像头看到了什么。注入攻击检测则询问摄像头是否看到了任何内容。两者都不完善，因此最可靠的程序还会依赖摄像头无法提供的证据：例如经过加密签名的护照芯片，或者与签发国政府持有的照片进行比对。
深度伪造技术对验证流程的危害体现在哪些方面？
深度伪造是一种制作以假乱真的虚假媒体内容的方法。它本身必须以某种方式到达验证者那里。 NIST 2025 年 7 月的身份指南直接描述了这种组合：攻击者“将数字注入攻击与日益有效和可用的生成式人工智能工具相结合”，以创建图像或视频，“以绕过自动文档验证流程、生物识别操作和视觉比较”。 NIST SP 800-63A-4，第 3.14 节 （在新标签页中打开））。
NIST 的词汇表将注入攻击定义为“向程序或进程中提供不受信任的生物特征信息或媒体”，例如伪造的身份证明图像、伪造的用户视频或变形的图像。
因此，需要防御的目标有两个：自拍和活体检测环节，以及文档采集环节。将深度伪造的人脸与篡改过的文档照片结合使用，两者叠加，就能同时攻击这两个环节。
这两种攻击方式有何异同？
演讲攻击 | 注射攻击 | |
|---|---|---|
假货是如何出现的 | 在真正的摄像机前 | 在捕获点和服务器之间 |
典型仪器 | 打印照片、屏幕回放、面具、在第二台设备上进行深度伪造 | 虚拟摄像头软件、模拟器、已root或越狱的手机、修改过的应用程序、拦截的请求 |
摄像机记录的内容 | 假物体 | 一切都是虚幻的；这条溪流已被取代。 |
检验防御的标准 | ISO / IEC 30107-3:2023 （在新标签页中打开） ( PAD 测试和报告） | CEN /TS 18099:2024（生物特征数据注入攻击检测） |
第一道防线 | 活体挑战和被动 PAD | 传感器和设备完整性检查、介质取证 |
这两个标准是刻意分开的。 ISO / IEC 30107-3:2023 规定了如何评估 PAD 它建立了相应的机制并报告结果，但将“整体系统级安全或漏洞评估”排除在其范围之外。 CEN /TS 18099，在英国以PD形式 发布。CEN /TS 18099:2024 于 2024 年 11 月 30 日发布 （在新标签页中打开），涵盖了注入攻击工具以及如何构建和测试注入攻击检测，但将呈现攻击测试排除在其范围之外。供应商引用其中一项标准，并不意味着他们了解其他攻击。
什么 NIST 指南要求是什么？
对于远程身份验证， NIST SP 800-63A-4 （在新标签页中打开）（2025 年 7 月发布）指出，证书服务提供商“ SHALL 实施技术控制措施，以提高人们对数字媒体是由真正的传感器生成的信心”，例如“检测虚拟摄像头、设备模拟器或越狱设备的存在”。 SHALL 分析所有提交的媒体文件，检查是否存在修改或伪造的迹象，并 SHOULD 分析媒体内容，寻找生成式人工智能工具的特征。 NIST 还指出实时文档捕获和 PAD “确实能提供一些保护”，防止注射，但“不足以应对所有可能的情况”。
对于生物特征认证， NIST SP 800-63B-4 （在新标签页中打开）（同样适用于 2025 年 7 月）指出，生物识别系统“ SHALL 实施 PAD 用于面部识别”和 SHOULD 证明冒名顶替攻击演示接受率低于 0.07，根据第 13 条进行测试 ISO / IEC 30107-3. 它还要求验证人员检查传感器及其端点，并指出这“增加了检测到由于端点受损、传感器模拟器和类似威胁而导致的注入攻击的可能性”。
这些是美国联邦指导方针，并非所有地区都适用，但它们是对远程验证流程应具备的控制措施最清晰的公开描述。您所在市场的具体要求可能有所不同，本文仅提供一般信息，不构成法律建议。
哪些防御措施会使每次进攻更加困难？
单一的控制措施无法阻止意志坚定的攻击者。分层设计会提高每个环节的攻击成本。
抵御演示攻击
通过随机挑战来增强实时性。要求被攻击者以攻击者无法预测的顺序点头、转身、眨眼或微笑，会大大降低预先录制的视频片段的有效性。
屏幕发出轻微的光线挑战。屏幕会闪烁随机的颜色序列，并按顺序检查颜色是否反射到脸上，以此来测试玩家在玩游戏时脸部是否真的在设备前面。
自动拍摄。如果用户无法选择自拍的时机，就无法在合适的瞬间拍摄到静止图像。
针对注射攻击
设备和传感器完整性。检查虚拟摄像头名称、模拟器指纹以及已root或越狱的设备。 NIST 问。
仅对文档进行实时采集。移除文档的“从图库上传”选项后，系统将强制使用摄像头扫描，而存储的篡改图像未经任何修改就无法通过扫描验证。
服务器端对录制内容进行分析。服务器端运行的检查无法通过修改后的应用程序关闭。
针对两者
这是相机无法伪造的证据。电子护照的芯片存储着数据和由签发国签署的肖像。通过服务器端读取和验证芯片，并在芯片支持的情况下启用主动认证，可以证明该文件是真品而非副本。将自拍照与政府记录中的照片进行比对，意味着攻击者必须匹配一张他们无法控制的面孔。
如何 Toden 应用这些层
身份验证采用临场智能（自拍和活体检测），工作流程 （在新标签页中打开）可以选择三种模式：随机手势挑战（点头、转身、眨眼、微笑）、屏幕闪烁颜色序列或两者结合。挑战通过后，系统会自动拍摄自拍；如果画面中出现多张人脸，则挑战暂停；同时，系统还会录制一段简短的活体检测视频，供服务器端审核。 SDK （文档 （在新标签页中打开））。服务器会对录制的视频进行重新分析，以查找闪回序列；不匹配会被记录为风险信号，而不是直接导致检查失败，因此您可以决定其重要性。
决策规则可以阅读verification.cameraSuspect当捕获完整性信号标志注入时，情况确实如此；device.emulator（决策字段 （在新标签页中打开））。合理的初始规则会将任一情况提交人工审核。可以通过关闭文档上传功能，将文档采集设置为仅使用相机扫描。
在支持的市场中，自拍照会与政府记录照片进行比对。在移动设备上，React Native 和 Flutter SDK 可以读取电子护照或芯片身份证；芯片会在服务器端进行检查，只有当其签名者链接到受信任的签发国证书时，芯片才被视为有效。 NFC 芯片文档 （在新标签页中打开））。浏览器无法读取芯片，因此 Web 流程依赖于其他层。
但这并不能使验证过程完全免受深度伪造技术的攻击。它只是表明，一次成功的攻击需要多个环节同时满足。
一份用于检查您自身流程的清单
用户能否上传文档照片而非扫描？如果可以，请决定该方式是否应降低安全级别或提交审核。
自拍是在用户无法预料的挑战发生后自动拍摄的吗？
你们是否会录制并保存实时会话，以便日后重新检查？
您的规则是会对设备完整性信号（模拟器、虚拟摄像头）进行操作，而不仅仅是记录它们吗？
对于风险最高的产品，您是否需要相机以外的证据：例如芯片读取或政府记录匹配？
评估供应商时，请询问每项测试涵盖了哪些攻击： ISO / IEC 30107-3 用于呈现攻击， CEN /TS 18099 注射剂。
参考来源
