ПНСТ 552-2021 Информационные технологии. Биометрия. Обнаружение атаки на биометрическое предъявление. Часть 4. Профиль для испытания мобильных устройств

Раздел, подраздел, пункт ГОСТ Р 58624.3-2019

Требование

Испытания ОАБП на мобильных устройствах

6

Оценки методов ОАБП и протоколы испытаний должны указывать тип злоумышленника (самозванец или укрыватель личности), учитываемый в оценке

Самозванец

Оценки методов ОАБП и протоколы испытаний должны описывать тип проводимой оценки, а также типы атак, подлежащие испытаниям

Экспериментатор должен указать один из следующих типов:

- оценки методов ОАБП для конкретных приложений, когда определен набор/диапазон типов потенциальных атак в соответствии с разделом 11 ГОСТ Р 58624.3-2019;

- оценки методов ОАБП для конкретных продуктов для испытаний эксплуатационных характеристик, заявленных разработчиком, на определенные категории типов атак

7.1

Оценки ОАБП и протоколы испытаний должны полностью описывать ОИ, включая все конфигурации, настройки и информацию о методах ОАБП, доступную для экспериментатора

Экспериментатор должен представить описание, включающее следующее:

- модель мобильного устройства, операционную систему и ее версию;

- положение биометрического сканера (например, спереди, сзади, сбоку), включая положение относительно экрана(ов) мобильного устройства;

- способ взаимодействия испытуемого субъекта с биометрическим датчиком (например, прикоснуться левым указательным пальцем, провести пальцем вправо или влево, посмотреть на фронтальную камеру, произнести парольную фразу), если применимо

Оценки методов ОАБП и протоколы испытаний должны определять применяемый уровень оценки, а именно: подсистема ОАБП, подсистема сбора биометрических данных или полнокомплектная биометрическая система

Полнокомплектная биометрическая система

7.2

Оценки методов ОАБП должны охватить определенное множество типов атак с использованием репрезентативного набора ИАБП и репрезентативного набора подлинных испытуемых субъектов

Экспериментатор должен определить подходящий диапазон ИАБП и состав подлинных испытуемых субъектов

Экспериментатор должен определить параметры предъявления атаки, для того чтобы полностью охарактеризовать диапазон взаимодействий предъявителя ИАБП с ОИ, и включить временные границы предъявления

Экспериментатор должен представить основные понятия и описания

При оценке методов ОАБП экспериментатор должен:

- определить подлинные биометрические предъявления и репрезентативные испытуемые субъекты для целевого приложения и популяции;

- дать обоснование этих определений

10.2

В оценках методов ОАБП и протоколах испытаний должны быть описаны создание и подготовка артефактов, включая:

- процессы создания и подготовки;

- усилия, необходимые для создания и подготовки артефактов (например, технические знания, время создания, сложности приобретения материалов для артефактов, инструменты создания и инструменты подготовки);

- возможность регулярного создания и подготовки артефактов с предполагаемыми свойствами;

- настройка артефактов для конкретных предъявителей ИАБП;

- настройка артефактов для конкретных биометрических систем;

- источники биометрических характеристик;

- наличие публичной информации о процессах создания и подготовки;

- изменения в процессах создания или подготовки артефакта в ходе оценки

Экспериментатор должен представить основные понятия и описания для каждого пункта из списка

10.3

При оценке методов ОАБП в протоколах испытаний должно быть описано использование артефактов в оценке с указанием следующих аспектов:

- уровень подготовки и обучения предъявителя ИАБП;

- срок службы артефакта, включая число предъявлений каждого артефакта;

- степень контроля или мониторинга, применяемого при использовании артефакта

Экспериментатор должен представить основные понятия и описания для каждого пункта из списка.

Допускается при использовании артефакта не применять никакой контроль или мониторинг

11.1

Оценки методов ОАБП и протоколы испытаний должны фиксировать, касается ли схема оценки процессов биометрической регистрации, биометрической идентификации и/или биометрической верификации

Должен быть указан один или несколько следующих процессов: биометрическая регистрация, биометрическая верификация, биометрическая идентификация

11.2

При оценке методов ОАБП в протоколах испытаний, относящихся к процессам биометрической регистрации, должны быть указаны следующие аспекты:

- использование пороговых значений качества в процессе биометрической регистрации или порядок предъявлений;

- параметры транзакции биометрической регистрации, включая число и продолжительность предъявлений;

- уровень контроля оператора;

- перечень действий или эмуляции действий оператора при оценке;

- проверяет ли ОИ качество биометрического образца и предоставляет ли обратную связь испытуемому субъекту (например, "палец слишком влажный", "повторите попытку в более тихом месте")

Экспериментатор должен представить основные понятия и описания для каждого пункта из списка.

Допущения для процессов биометрической регистрации:

- параметры биометрической регистрации являются характерными для мобильного устройства, не изменяются и не подвергаются воздействию экспериментатора;

- отсутствует контроль оператора;

- действия или эмуляции действий оператором при оценке не осуществляются

11.3

При оценке методов ОАБП в протоколах испытаний, относящихся к процессам биометрической верификации, должны быть указаны следующие аспекты:

- использование пороговых значений качества и порядок предъявлений;

- параметры транзакции биометрической верификации, включая число и продолжительность предъявлений;

- уровень контроля оператора;

- перечень действий или эмуляции действий оператора при оценке;

- проверяет ли ОИ качество биометрического образца и предоставляет ли обратную связь испытуемому субъекту (например, "палец слишком влажный");

- политика после всех неудачных попыток, например запрос PIN-кода, пароля или ожидание в течение 30 с перед следующей попыткой;

- обеспечивает ли ОИ обратную связь после неудачной попытки;

- список сообщений обратной связи, если ОИ предоставляет таковую

Экспериментатор должен представить основные понятия и описания для каждого пункта из списка.

Допущения для процессов биометрической верификации:

- параметры биометрической верификации являются характерными для мобильного устройства, не изменяются и не подвергаются воздействию экспериментатора;

- отсутствует контроль оператора;

- действия или эмуляции действий оператором при оценке не осуществляются.

Тщательное и точное документирование политики транзакций, числа попыток и отзывов пользователей особенно важно при испытании мобильных устройств.

Политики, которые приводят к отзыву пользователя и/или блокировке мобильного устройства после нескольких неудачных попыток, могут сделать оценку непрактичной. Для обеспечения эффективной оценки производитель мобильного устройства может запросить специальные настройки оценки, позволяющие выполнять последовательности нескольких неудачных транзакций.

Примечание - Поведение ОИ после неудачных транзакций также может влиять на подходы к атакам. Обратная связь, предоставляемая ОИ, может повлиять на ВДПАС, поскольку предъявители ИАБП могут улучшить предъявления атак, адаптировав процесс создания артефактов в ответ на обратную связь.

Пример - Сообщение обратной связи от мобильного устройства:

- для отпечатка пальца - "Палец слишком влажный", "Убедитесь, что ваш палец покрывает всю поверхность";

- лицо - "Смотрите в камеру";

- голос - "Повторите попытку в более тихом месте"

12.1

Протоколы испытаний методов ОАБП должны включать:

- число используемых в оценке ИАБП;

- число используемых в оценке видов ИАБП;

- число используемых в оценке комплектов ИАБП;

- число индивидов, участвующих в испытаниях, включая предъявителей ИАБП, не умеющих использовать артефакты, и испытуемых субъектов, не способных предоставлять несогласованные характеристики;

- число источников ИАБП, от которых получены характеристики артефакта;

- число артефактов, созданных для каждого источника ИАБП для каждого вида ИАБП;

- число испытуемых материалов;

- описание выходной информации, доступной из метода ОАБП;

- порядок предъявлений с ИАБП и без ИАБП, повторное использование предъявителей ИАБП или испытуемых субъектов;

- порядок предъявлений системе с включенным и выключенным методами ОАБП, повторное использование испытуемых субъектов

Экспериментатор должен представить основные понятия и описания для каждого пункта из списка.

Экспериментатор должен задокументировать эту цифру, исходя из количества ОИ, источников ИАБП, предъявителей ИАБП, видов ИАБП и комплектов ИАБП.

Наилучшей практикой является использование как минимум трех видов ИАБП.

Испытания ОАБП, предназначенные для оценки восприимчивости к более широкому спектру атак, потребуют использования большего числа видов ИАБП.

Наилучшей практикой является использование как минимум 10 комплектов ИАБП на каждый применяемый вид ИАБП.

Примечание - Некоторые оценки могут потребовать использования менее чем 10 комплектов ИАБП, например оценки с использованием дорогих высококачественных масок.

Для обоснования полного спектра различных и потенциально перекрывающихся ролей в испытаниях ОАБП экспериментатор в протоколе испытания должен:

- определить цель и обязанности каждой роли в испытаниях ОАБП. Существуют следующие роли в испытаниях ОАБП:

- испытуемый субъект (осуществляет подлинные биометрические предъявления и попытки несогласованного сбора биометрических данных),

- предъявитель ИАБП,

- источник ИАБП,

- создатель ИАБП;

- указать, была ли роль существенной для результатов испытаний, и предоставить основание для этого утверждения;

- указать число индивидов, которые выполняли каждую роль (например, пять индивидов были источниками ИАБП в испытаниях);

- описать уровень опыта индивидов с атаками предъявления для каждой роли;

- задокументировать случаи, в которых индивиды занимали несколько ролей, например, когда источники ИАБП являлись также предъявителями ИАБП.

Протоколы испытаний должны описывать любое использование машин или автоматизированных механизмов в качестве предъявителей ИАБП.

Более подробно роли в испытаниях ОАБП на мобильных устройствах описаны в приложении А.

Наилучшая практика заключается в создании как минимум трех ИАБП для каждого источника ИАБП для каждого вида ИАБП.

Примечания

1 Это равносильно размеру комплекта ИАБП.

2 Испытания ОАБП, не связанные с повторяемостью ИАБП, могут позволить использовать меньшее количество ИАБП для каждого вида ИАБП и источника ИАБП.

Экспериментатор должен представить основные понятия и описания, связанные с собственными операциями системы

12.4.2.1

Для данного ОИ системы биометрической верификации для каждого вида ИАБП в протоколе испытаний должны быть указаны следующие данные:

- ВДПАС и размер выборки, по которой проведены вычисления;

- ДОПБС (необязательно).

Для подлинных испытуемых субъектов экспериментатор должен указать в протоколе испытаний расчет ВЛНД/ВЛД и основу для результатов.

Для данного ОИ ВДПАС наиболее успешных видов ИАБП с ПН может быть указана в протоколе испытания как

Экспериментатор должен представить результаты испытаний и основу для расчетов

12.4.2.2

Для данного ОИ системы биометрической идентификации, для каждого вида ИАБП в протоколе испытаний должны быть указаны следующие данные:

- ВДПАС и размер выборки, по которой проведены вычисления;

- ДОПБС (необязательно).

Для подлинных испытуемых субъектов экспериментатор должен указать в протоколе испытаний расчет ВЛОИ/ВЛПИ и основу для результатов.

Для данного ОИ ВДПАС наиболее успешных видов ИАБП с ПН может быть указана в протоколе испытания как

Экспериментатор должен представить результаты испытаний и основу для расчетов

Обозначение ссылочного национального, межгосударственного стандарта

Степень соответствия

Обозначение и наименование ссылочного международного стандарта

ГОСТ ISO/IEC 2382-37-2016

IDT

ISO/IEC 2382-37:2012 "Информационные технологии. Словарь. Часть 37. Биометрия"

ГОСТ Р ИСО/МЭК 19795-1-2007

IDT

ISO/IEC 19795-1:2006 "Информационные технологии. Эксплуатационные испытания и протоколы испытаний в биометрии. Часть 1. Принципы и структура"

ГОСТ Р 58624.1-2019

(ИСО/МЭК 30107-1:2016)

MOD

ISO/IEC 30107-1:2016 "Информационные технологии. Обнаружение атаки на биометрическое предъявление. Часть 1. Структура"

ГОСТ Р 58624.3-2019

(ИСО/МЭК 30107-3:2017)

MOD

ISO/IEC 30107-3:2017 "Информационные технологии. Обнаружение атаки на биометрическое предъявление. Часть 3. Испытания и протоколы испытаний"

Примечание - В настоящей таблице использованы следующие условные обозначения степени соответствия стандартов:

- IDT - идентичные стандарты;

- MOD - модифицированные стандарты.

Структура настоящего стандарта

Структура международного стандарта ИСО/МЭК 30107-4:2020

4 Сокращения

4 Соответствие

5 Соответствие (раздел 4)

5 Профиль для испытания ОАБП на мобильных устройствах

6 Профиль для испытания методов ОАБП на мобильных устройствах (раздел 5)

Приложение А (справочное) Роли в испытаниях ОАБП на мобильных устройствах

Приложение А (справочное) Роли в испытаниях ОАБП на мобильных устройствах

Библиография

Приложение ДА Сведения о соответствии ссылочных национальных и межгосударственного стандартов международным стандартам, использованным в качестве ссылочных в примененном международном стандарте

Приложение ДБ Сопоставление структуры настоящего стандарта со структурой примененного в нем международного стандарта

Библиография

Примечания

1 Сопоставление структуры стандартов приведено начиная с раздела 4, так как предыдущие разделы стандартов и их иные структурные элементы (за исключением предисловия) идентичны.

2 После заголовков разделов настоящего стандарта приведены в скобках номера аналогичных им разделов международного стандарта.

[1]

Stein С., Bouatou V., Busch С. "Video-based Fingerphoto Recognition with Antispoofing Techniques with Smartphone Cameras", in Proceedings of the IEEE 12th International Conference of the Biometrics Special Interest Group (BIOSIG), Darmstadt, September 5-6, (2013), available online at https://christoph-busch.de/files/Stein-VideoFingerphoto-BIOSIG-2013.pdf

УДК 004.931:006.354

ОКС 35.240.15

Ключевые слова: информационные технологии, атака на биометрическое предъявление, инструмент атаки на биометрическое предъявление, мобильное устройство, испытания