手势或屏幕闪光实时显示：选择合适的挑战
Charles Archibong, 联合创始人
手势挑战适合广大消费者，并且优于照片和预录视频。屏幕闪光挑战会添加随机的颜色序列，这是回放或插入的视频无法实现的。如果账号价值足够高，值得花费额外的几秒钟，那么可以同时使用这两种挑战方式。
要点
- 手势挑战要求用户点头、转身、眨眼或微笑，顺序随机，攻击者无法预测。
- 屏幕闪光挑战会将随机颜色序列反射到脸上，而重放的视频无法包含这些序列。
- 闪光灯的效果取决于光线：明亮的环境会使反射光太弱而无法辨认。
- 将两者结合起来只需几秒钟，就能弥补每种方法单独使用时存在的不足。
如果您面向使用各种手机的广泛用户群体，并且主要担心照片、面具和预录视频，请选择手势挑战。如果您主要担心视频重播或插入，请选择屏幕闪光挑战，因为颜色序列是为当前会话生成的，不会出现在之前的录制内容中。如果账号价值很高，多花几秒钟进行录制与一次成功冒充造成的损失相比微不足道，那么请同时选择这两种挑战。
选择哪种方法，需要在预期攻击和用户验证条件之间进行权衡。两种方法没有绝对的优劣之分，每种方法都有其潜在的故障模式，值得针对这些故障模式进行设计。
每种方法要求用户做什么？
手势挑战要求用户根据指令做出面部动作。 Toden根据Flutter 的 （在新标签页中打开） 说明，SDK 的默认动作池包含点头、转身、眨眼和微笑四个动作；每次会话随机抽取其中两个，每个动作的执行时间为 8 秒。SDK 实时性配置 （在新标签页中打开）。动画头像演示每个动作，并可选语音指导朗读指令（仅限文本转语音输出，无麦克风访问权限）。
屏幕闪光挑战要求用户在屏幕上显示一串随机颜色时保持静止。屏幕前的人脸会反射这些颜色；摄像头会记录下反射的色彩。测试会询问人脸上是否按正确的顺序出现了正确的颜色。
在这两种情况下，挑战结束后都会自动拍摄自拍照，而不是由用户按下按钮拍摄，并且还会录制一段短视频，以便在服务器上查看会话。
它们各自能抵抗哪些攻击？
呈现攻击会在摄像头前放置一些东西：打印的照片、播放视频的手机或面具。注入攻击则完全绕过摄像头，直接将合成或录制的视频输入到应用程序中，通常使用虚拟摄像头或篡改过的设备。 NIST 2025 年身份验证指南SP 800-63A-4 （在新标签页中打开）出于这个原因将两者分开处理，并指出注入攻击越来越多地与生成工具结合使用。
攻击 | 手势 | 屏幕闪光灯 |
|---|---|---|
打印照片或剪纸 | 强：照片不会闪烁或应要求切换 | 强：照片与皮肤的反射效果不同，而且不会移动 |
预先录制的真人视频 | 中等难度：顺序随机，但可以拼接包含多个动作的录音。 | 强项：录像中不能包含录制后生成的颜色序列。 |
重播上一场比赛 | 缓和 | 出于同样的原因，它也很强。 |
实时换脸或动画木偶 | 较弱的一点：现代工具可以按指令点头微笑 | 适中：这种交换还必须能够合理地反映出它事先并不知道的颜色。 |
注入的视频流 | 取决于能否检测到注射本身。 | 关键在于将序列与录制的视频进行比对。 |
请将表格视为相对信息，而非绝对信息。没有任何一种检测活体的方法能够单独阻止所有攻击，任何声称某种方法可以做到这一点的说法都应该受到质疑。
它们在实际用户使用中分别存在哪些不足？
袭击固然重要，但公交车站屏幕上那个人的存在也同样重要。
对于某些用户来说，手势操作颇具挑战性：例如颈部活动受限者、部分老年用户以及对定时指令感到压力的用户。光线不足时，面部动作也难以追踪。此外，随机顺序也意味着用户无法进行练习。
屏幕闪光灯的亮度取决于光线。反射光来自手机屏幕，因此会与其他照亮面部的光线相互干扰。在户外强光下或屏幕亮度较低时，反射光可能太弱而无法清晰辨认。设计良好的闪光灯检查会将这种情况视为不确定而非失败，因为用户在日光下无法辨认屏幕并不代表存在欺诈行为。闪烁的颜色也引发了一个可访问性问题： W3C 的 WCAG 2.3.1 （在新标签页中打开）指南指出，内容在任何一秒钟内闪烁次数不应超过三次，或应低于其闪烁阈值。询问任何供应商其内容变化的速率，并在内容开始前告知用户即将发生的情况。
针对典型用户群体，进行实际对比：
情况 | 更合身 |
|---|---|
大众市场钱包注册，许多用户在户外 | 手势 |
用户可能在室内、办公桌前或家中进行验证。 | 闪光灯效果很好 |
老年用户或行动不便的用户 | 闪光灯，或者配合适时的手势和语音提示 |
高价值账户、借贷、加密货币提现 | 两个都 |
可疑登录后的重新验证 | 两者兼而有之，因为攻击者已经表现出了意图。 |
什么情况下值得同时使用这两种方法？
同时使用这两种方法可以先进行手势挑战，然后再进行闪光序列测试。这两种方法可以弥补彼此的不足：手势不受环境光线的影响，而闪光序列则很难用预先录制的视频或木偶视频来重现。
代价是时间和额外的损失。如果一次成功的冒名顶替代价高昂，例如贷款发放、高额度钱包或可提现的加密货币账户，那么这种交易通常是值得的。但对于可以稍后限制的低额度账户来说，这种交易就很少划算了。
在 Toden 这是其中一种设置。工作流程 （在新标签页中打开）可以选择手势挑战、屏幕闪烁序列或两者兼有，以及每个嵌入式 SDK 托管链接继承了它；livenessMode属性（gestures，flash或者both（默认情况下使用手势）是代码端的等效项。高可靠性生物识别模板结合了手势和闪光灯活体检测以及护照芯片读取。
挑战结束后会发生什么？
手机上的验证只是检测的一半。应用程序生成的活体检测结果本身也可能被控制设备的攻击者伪造，这就是为什么录制的视频至关重要。
在 Toden 身份验证过程中，服务器会对录制的活体检测视频进行重新分析，以确认闪光序列是否确实出现在面部。如果验证结果不匹配，系统会将其记录为风险信号，供您的规则和审核人员参考，而不是直接判定验证失败。 SDK 如果画面中出现多张人脸，挑战也会暂停；当只剩一张人脸时，挑战才会恢复。
如何决定
请按顺序回答以下四个问题：
一次成功的冒充会给你造成多大的损失？如果损失很小且可以弥补，那么仅仅是肢体语言上的冒犯通常就足以弥补损失。
您的用户在哪里进行验证？室内用户大多倾向于使用闪光灯；室外用户大多倾向于使用手势验证。
您的用户群体是谁？如果许多用户行动不便，则应优先选择闪光灯操作或配置带有语音指导的手势控制。
这是首次入职培训还是对可疑情况的回应？在出现风险信号后进行重新验证，这两种情况都说得通。
在正式发布前，务必使用真实用户和真实手机进行测试。测量不同方法的完成率和重试率，并手动检查部分失败案例，以确定失败原因：攻击、指示灯或指令错误。
参考来源
