PAD

Em resumo

PAD são as siglas de presentation attack detection, detecção de ataques de apresentação. É a capacidade de um sistema biométrico de determinar se o que foi apresentado ao sensor vem de uma pessoa real e presente ou de um instrumento construído para se passar por ela.

É o nome que a norma e os relatórios de ensaio usam. A prova de vida é o nome com que o mesmo controle aparece no produto e na conversa comercial.

O que conta como ataque de apresentação

Um ataque de apresentação é qualquer tentativa de enganar o sensor mostrando algo a ele. O objeto mostrado se chama instrumento de ataque de apresentação, e a lista é mais ampla do que a palavra foto sugere.

• Reprodução em duas dimensões — uma fotografia impressa, uma imagem em papel de alta qualidade, um recorte com os olhos perfurados.
• Reprodução em tela — um vídeo ou uma imagem exibidos em um telefone, um tablet ou um monitor diante da câmera.
• Instrumentos em três dimensões — máscaras de materiais variados, modelos do rosto, réplicas construídas a partir de fotografias.
• Rosto sintético apresentado — um deepfake reproduzido em uma tela e mostrado à câmera do dispositivo.
• Instrumentos de outras modalidades — uma impressão digital de material elástico para um leitor de digitais, uma gravação reproduzida diante do microfone em biometria de voz.

O que une todos é o ponto de entrada: o sensor funciona normalmente e captura o que tem à frente. O ataque está no que se coloca diante dele, não no software.

PAD é mais amplo que a prova de vida, e por isso a norma usa essa palavra

Os dois termos são usados como sinônimos e na prática cobrem o mesmo controle, mas não dizem exatamente a mesma coisa.

• Prova de vida — nomeia a pergunta pela presença: se há uma pessoa viva diante do sensor.
• PAD — nomeia a detecção de qualquer instrumento de ataque, incluídos casos em que a vitalidade não é o que está em jogo. Uma máscara colocada sobre um rosto vivo é um ataque de apresentação cometido por uma pessoa viva.

Além disso, o PAD é agnóstico quanto à modalidade: aplica-se a rosto, digital, voz ou íris com o mesmo referencial conceitual. Por isso é o termo que a norma e os relatórios de laboratório usam, e prova de vida o que o produto usa. Ao comparar fornecedores, convém ler os dois como o mesmo controle e pedir o dado do ensaio, não a palavra.

O que mede um ensaio de PAD

A norma ISO/IEC 30107-3 define as métricas com que um ensaio é reportado. São três e respondem perguntas diferentes.

• APCER — a proporção de apresentações de ataque que o sistema classificou incorretamente como legítimas. É quantos ataques passaram.
• BPCER — a proporção de apresentações legítimas que o sistema classificou incorretamente como ataque. É quantos usuários reais foram rejeitados.
• IAPMR — em uma avaliação do sistema completo, a proporção de apresentações de ataque que acabaram produzindo uma correspondência.

As duas primeiras se movem em sentidos opostos, assim como FMR e FNMR na comparação biométrica: um sistema mais severo com os ataques rejeita mais usuários legítimos. Um resultado de PAD que reporta apenas uma das duas não permite avaliar nada.

A norma estabelece o método e essas métricas. Não define níveis de conformidade. Os níveis costumeiramente citados junto a ela pertencem ao programa de ensaio da iBeta, que aplica essa metodologia.

PAD não cobre os ataques de injeção

É o limite do termo e o que mais gera mal-entendidos ao comparar fornecedores.

O PAD raciocina sobre o que chega ao sensor. Um ataque de injeção de vídeo não apresenta nada ao sensor: substitui o fluxo de vídeo antes que chegue à aplicação, com uma câmera virtual, um emulador ou a manipulação do próprio dispositivo. A imagem nunca passou por uma lente.

Um sistema com PAD medido e aprovado pode ser vulnerável a injeção, porque são problemas de camadas distintas. A injeção se cobre verificando a origem do fluxo e a integridade do ambiente de execução, controles que além disso dependem do que o sistema operacional expõe e que nenhum fornecedor de biometria resolve sozinho.