Prova de vida
O controle que determina se há uma pessoa viva na frente da câmera no momento da captura. O que ele comprova, em que se diferencia de comparar rostos e como se mede com um ensaio independente.
Em resumo
A prova de vida é o controle que determina se em uma captura biométrica há uma pessoa real e presente, e não uma fotografia, uma tela reproduzindo um vídeo, uma máscara ou um rosto gerado. Ela não responde quem é essa pessoa: essa pergunta é resolvida pela comparação biométrica. Ela responde se há alguém.
É o controle que separa uma verificação de identidade de uma simples semelhança entre duas imagens, e o que ganhou peso quando falsificar um rosto deixou de ser caro.
Comparar rostos e comprovar presença são duas perguntas diferentes
Um fluxo de verificação biométrica faz duas comprovações que costumam ser confundidas porque acontecem no mesmo segundo.
- Comparação biométrica — responde se o rosto capturado corresponde ao do documento. É uma pergunta de semelhança, resolvida com uma medida de similaridade contra um limiar.
- Prova de vida — responde se esse rosto pertence a uma pessoa real presente naquele momento. É uma pergunta de presença, resolvida com sinais da captura.
Um rosto sintético bem construído aprova na primeira e falha na segunda, desde que alguém esteja de fato fazendo a segunda pergunta. Um onboarding que lê o documento e compara rostos sem comprovar presença aceita uma imagem reproduzida com o mesmo critério com que aceita o titular.
As duas comprovações também falham de forma diferente, e por isso são medidas com métricas separadas: os erros da comparação são FMR e FNMR, e os da prova de vida são os do ensaio de PAD.
A prova de vida passiva e a ativa resolvem o mesmo problema de duas maneiras
A diferença entre as duas não é de qualidade. É sobre o que se pede ao usuário e o que se ganha em troca.
- Passiva — analisa sinais de presença na captura sem pedir nenhuma ação ao usuário. Textura da pele, comportamento da luz sobre uma superfície real, artefatos de reprodução em tela, profundidade. O usuário apenas olha para a câmera.
- Ativa — desafia o usuário com instruções que ele não pode antecipar (virar a cabeça, seguir um ponto, ler uma sequência) e valida a resposta em tempo real. Acrescenta imprevisibilidade, ao custo de fricção e tempo.
A passiva sustenta melhor a conversão porque não acrescenta etapas. A ativa acrescenta uma barreira contra instrumentos de ataque preparados de antemão, porque o atacante não sabe o que será pedido. Muitos fluxos combinam as duas e reservam a ativa para os casos que o risco da sessão indica.
Nenhuma das duas é um controle isolado. As duas analisam o que chega ao aplicativo vindo da câmera, e por isso nenhuma delas resolve sozinha um ataque de injeção de vídeo, que substitui esse fluxo antes que ele chegue.
Como se mede uma prova de vida
Uma prova de vida declarada e uma prova de vida medida não são comparáveis, e a diferença é estabelecida por um ensaio de terceiro.
A norma ISO/IEC 30107-3 define como avaliar a detecção de ataques de apresentação: um laboratório credenciado constrói instrumentos de ataque, os apresenta contra o sistema em condições controladas e reporta as taxas de erro com métricas definidas. O resultado é um número reprodutível, produzido por alguém que não vende o produto.
Duas ressalvas que quase sempre se perdem:
- A norma não define níveis de conformidade. Ela define o método, as métricas e como o resultado é reportado. Os níveis que aparecem junto à norma pertencem ao programa de ensaio da iBeta, que aplica essa metodologia, e são três: o Nível 1 usa instrumentos de ataque de baixo custo e fácil construção, o Nível 2 incorpora instrumentos de maior sofisticação e custo, e o Nível 3, que o laboratório acrescentou em 2025, testa instrumentos de alta preparação como máscaras hiper-realistas feitas sob medida.
- O escopo da norma são os ataques de apresentação, os que ocorrem na frente do dispositivo de captura. A injeção de vídeo fica de fora e é coberta por um controle diferente.
Onde se exige uma prova de vida
O controle aparece onde a identidade é verificada à distância e a organização responde pelo resultado.
- Processos de [KYC](/glosario/kyc) — a comprovação de presença é o que separa uma verificação remota de uma comparação entre duas imagens que qualquer um pode conseguir.
- Serviços financeiros — abertura de contas e recuperação de acesso, onde uma identidade suplantada permanece dentro do sistema e é usada depois.
- Apostas e gaming — verificação de idade e identidade como requisito de licença.
- Governo — trâmites e benefícios solicitados em nome próprio.
- Background screening — validação de identidade em processos de contratação.
Cada país resolve isso com sua própria norma de prevenção à lavagem de dinheiro e de proteção de dados. Na Colômbia e no México a exigência chega por essa via, não por uma norma que nomeie a prova de vida especificamente.
Perguntas frequentes
É o controle que determina se em uma captura biométrica há uma pessoa real e presente, e não uma fotografia, uma tela, uma máscara ou um rosto gerado. Ela é executada junto com a comparação biométrica, mas responde outra pergunta: a comparação estabelece a quem se parece o rosto capturado, e a prova de vida estabelece se esse rosto pertence a alguém que estava realmente ali. Sem ela, um fluxo de verificação aceita uma imagem reproduzida com o mesmo critério com que aceita o titular.
A passiva analisa sinais de presença na captura sem pedir nenhuma ação ao usuário: o usuário apenas olha para a câmera. A ativa pede uma resposta que ele não pode antecipar, como virar a cabeça ou seguir um ponto, e valida a reação em tempo real. A passiva sustenta melhor a conversão porque não acrescenta etapas; a ativa acrescenta imprevisibilidade contra instrumentos de ataque preparados de antemão, ao custo de fricção. Muitos fluxos usam a passiva por padrão e ativam a segunda quando o risco da sessão justifica.
Não por padrão, e convém tratá-los como dois controles separados. A prova de vida analisa o que chega vindo da câmera e determina se corresponde a uma pessoa presente. Um ataque de injeção não mostra nada à câmera: ele substitui o fluxo de vídeo antes que chegue ao aplicativo, com uma câmera virtual, um emulador ou a manipulação do dispositivo. Detectá-lo exige verificar a origem do fluxo e a integridade do ambiente de execução, que é um controle diferente. As certificações sob a ISO/IEC 30107-3 também não cobrem isso: seu escopo são os ataques de apresentação.
Com o resultado de um ensaio independente, não com a descrição do produto. Os dados que tornam um resultado comparável são quatro: contra qual metodologia foi testado, qual nível do programa de ensaio foi aprovado, em que data, e sobre qual versão do produto. Um resultado de dois anos atrás foi obtido contra instrumentos de ataque de dois anos atrás.
