Точность работы биометрических алгоритмов в платежах. Ключевые требования

Сегодня использование биометрических технологий для верификации и идентификации покупателей при выполнении безналичных розничных платежей является одним из ключевых трендов рынка. По прогнозам Juniper Research, к 2024 году объем мирового рынка биометрических платежей достигнет 2,5 трлн долларов. При этом прогнозируемые темпы роста в России превысят среднемировые в 1,5 раза. Очевидно, что наиболее важным с этой точки зрения являются вопросы обеспечения необходимого уровня безопасности. В данной публикации мы рассмотрим требования к точности работы биометрических алгоритмов, выполнение которых обеспечивает их пригодность для применения в платежах.

Примеры использования биометрии в платежах

Ряд торговых предприятий уже проявляют самый широкий интерес к использованию биометрических решений для идентификации покупателей при оплате ими товаров/услуг. Предполагается, что в некоторых случаях биометрические решения способны значительно улучшить клиентский опыт (покупателю достаточно лишь посмотреть в камеру, если в качестве биометрической технологии используется распознавание по лицу), а также ускорить процесс проведения оплаты (не нужно доставать из кармана карту или телефон, подносить их к терминалу, а еще иногда и вводить ПИН-код). Упрощенно идея состоит в том, что к цифровому биометрическому образу покупателя (далее — биометрическому темплейту или просто темплейту) привязываются реквизиты банковской карты; после успешной идентификации клиента (и одновременно его аутентификации) с помощью биометрического алгоритма оплата товаров производится уже штатным образом с использованием реквизитов карты [Голдовский И. М. Что такое Strong Customer Authentication. Платежные технологии, №1]. Привязка темплейта пользователя к реквизитам его карты выполняется один раз на этапе регистрации пользователя.

В простейшем случае в качестве реквизитов карты используется ее номер и срок действия. Оптимальным является вариант, когда в процессе регистрации пользователя платежной системой взамен номера карты эмитируется токен. В этом случае на стороне ТСП или эквайрера должна поддерживаться процедура генерации платежной транзакции с использованием токена и связанных с ним ключей (эта технология получила название Card-on-File). Такой подход снижает требования к безопасности хранения реквизитов карты и уменьшает вероятность фрода, характерного при использовании только номера и срока действия карты.

Очевидно, для того чтобы при использовании биометрического эквайринга авторизация транзакции была выполнена по карте именно покупателя, а не кого-либо еще, метод биометрической идентификации (узнавания покупателя по его биометрическим данным) должен быть достаточно надежным, обеспечивая низкую вероятность ошибки — неверной идентификации покупателя.

Интерес к биометрии проявляется и на стороне эмитентов платежных инструментов, готовых использовать биометрическую верификацию своих клиентов в качестве одного из факторов аутентификации клиента. Например, некоторые эмитенты думают об использовании биометрии для аутентификации пользователя на сервере аутентификации эмитента ACS (Access Control Server) при совершении карточной операции электронной коммерции по технологии 3-D Secure. В данном случае надежность биометрических алгоритмов должна быть достаточно высокой, чтобы мошенник не смог успешно выдать себя за добросовестного клиента банка.

Определенную популярность получила реализация биометрической верификации на самой банковской карте. В этом случае обычно применяется верификация по отпечатку пальца, а биометрический датчик для сканирования отпечатка пальца располагается на карте.

Как следует из приведенных примеров, важно, чтобы биометрические алгоритмы были достаточно точными при решении задачи биометрической верификации/идентификации. В то же время, как показывает практика, даже высокой точности алгоритмов верификации/идентификации для проведения платежей в ряде случаев недостаточно. Дело в том, что мошенник может попытаться выдать себя за другое лицо. С этой целью, например, при использовании в качестве биометрической технологии метода распознавания по лицу (face recognition, наиболее массово используемая сегодня в платежах технология) мошенник может воспользоваться высококачественной фотографией или маской персоны, от лица которой мошенник собирается выполнить платеж [Лукьянов Н. Е. Liveness Detection. Платежные технологии, №7]. Другими словами, биометрические алгоритмы должны не только качественно верифицировать/идентифицировать персону, но и уметь определять живое присутствие лица (liveness detection), совершающего операцию в точке продажи.

Биометрическая аутентификация и идентификация

Чуть формализуем используемые ниже определения. Напомним, что биометрическая верификация (аутентификация) — это процесс, когда пользователь при выполнении операции «сдает» системе свои биометрические данные и предъявляет ей свой идентификатор в системе, а система в ответ определяет, соответствуют ли предъявленные биометрические данные пользователя хранящемуся в системе биометрическому темплейту пользователя с указанным идентификатором. Хранящийся в системе темплейт попадает в нее на этапе регистрации пользователя, во время которой производится аутентификация пользователя с известным идентификатором, создается биометрический темплейт пользователя, который связывается в БД системы с идентификатором пользователя. При верификации выполняется проверка гипотезы о том, что биометрические данные конкретного пользователя (пользователя с известным идентификатором) соответствуют его темплейту в БД системы. Иначе говоря, выполняется проверка 1:1.

Идентификация — это процесс, когда предварительно зарегистрированный в системе пользователь при выполнении операции предъявляет системе свои биометрические данные, а система в ответ возвращает идентификатор пользователя, темплейт которого более других пользовательских темплейтов в БД соответствует полученным от пользователя биометрическим данным. Принято говорить, что при идентификации производится проверка 1: N, поскольку в этом случае выполняется проверка «близости» образа пользователя к каждому темплейту из БД темплейтов, где N — количество темплейтов в БД системы. Можно показать, что с ростом N точность идентификации пользователя снижается по геометрическому закону. Кроме того, практически по линейному закону от N увеличивается время идентификации, поскольку предъявленные пользователем биометрические данные требуется сравнить со всеми темплейтами из БД. В действительности, как правило, сравнение производится не со всеми темплейтами, а лишь с некоторой их частью. Для этого используются специальные алгоритмы кластеризации шаблонов по принципу их близости друг к другу в соответствии с определенной метрикой, заданной в пространстве биометрических темплейтов.

Однако эти вопросы не относятся к теме настоящей статьи. Важно лишь понимать, что в соответствии с существующей практикой лучшие алгоритмы идентификации позволяют получить высокое качество идентификации пользователя на БД в несколько миллионов темплейтов, достаточное для их использования в платежах. Чтобы алгоритмы были пригодны для платежей, помимо их высокой точности требуется высокая скорость их работы. Время до инициализации платежа после биометрической верификации/идентификации не должно превышать 1–3 секунд.

Определение живого присутствия — это процесс подтверждения факта живого присутствия реальной персоны при проведении биометрической верификации/идентификации пользователя.

Как измерять точность работы биометрических решений?

Все требования к биометрическим решениям условно делятся на три категории:

• Требования к показателям работы биометрических решений
• Требования к процессу оплаты и регистрации клиента в системе (освещенность, наличие засветки, возможность появления в кадре других лиц, расстояние пользователя до камеры и т. п.)
• Требования к биометрическим терминалам

В настоящей статье, как следует из ее названия, речь идет только о требованиях к показателям точности работы биометрических решений. Используемые ниже показатели качества работы биометрических алгоритмов верификации/идентификации были в свое время определены в соответствующих стандартах ISO, FIDO и методиках NIST.

Все алгоритмы биометрической идентификации/аутентификации и определения живого присутствия являются алгоритмами проверки гипотезы и, следовательно, характеризуются ошибками второго (гипотеза неверна, но принимается) и первого рода (гипотеза верна, но отклоняется). Для алгоритмов биометрической аутентификации ошибка второго рода (False Match Rate, или FMR) представляет собой вероятность того, что субъект предъявит системе свой биометрический образ и идентификатор другого пользователя системы, а система ошибочно решит, что идентификатор и темплейт соответствуют друг другу. Очевидно, FMR определяет вероятность того, что мошенник сможет обмануть биометрический алгоритм, выдав себя за другого пользователя из клиентской БД. Конечно, здесь есть нюансы. Значение FMR измеряется как статистическая оценка отношения числа случаев, когда система ошибалась в верификации пользователя при предъявлении ей случайных пар «идентификатор пользователя из клиентской БД — биометрический образ». Видимо, на практике мошенник будет стараться подыскать персону, похожую на персону — жертву его обмана, биометрический темплейт которой хранится в БД, тем самым повышая свои шансы обмануть систему. Тем не менее значение FMR в описанных условиях неопределенности действий мошенника может считаться хорошей оценкой вероятности того, что мошеннику удастся обмануть биометрическую систему.

Ошибка первого рода (False Non Match Rate, или FNMR) — есть вероятность того, что пользователь, сдав системе биометрические данные и свой идентификатор в системе, получит отказ в верификации — система сообщит, что в БД биометрических шаблонов системы нет ни одного пользователя с похожими на полученные от пользователя биометрическими данными.

Аналогичные показатели FMR и FNMR удобно использовать для измерения качества работы алгоритма определения живого присутствия покупателя в точке продажи (заметим, что FIDO предлагает использовать для этой цели другой показатель [3] — Impostor Attack Presentation Match Rate). В этом случае представляет собой вероятность того, что покупатель представил системе идентификатор некоторого пользователя системы и его «неживой» образ, а система не заметила факта подлога. Например, при использовании биометрической технологии распознавания по лицу мошенник может использовать в качестве «неживого» образа высококачественное фото или надетую на себя маску, похожую на обладателя предъявленного им идентификатора пользователя. В результате мошенник сможет выполнить операцию, обманув систему. При этом показатель FNMR представляет собой вероятность того, что «живой» пользователь будет классифицирован системой как «неживой» подмененный образ пользователя.

В нашей статье мы раздельно говорим о биометрических алгоритмах верификации/идентификации и определения живого присутствия, поскольку на практике это разные алгоритмы, реализуемые с использованием разных нейронных сетей.

Для платежей в соответствии с классификацией FIDO имеет смысл измерять параметры FMR и FNMR в условиях проведения мошенниками атаки на живое присутствие по уровню Presentation Attack по классу B (высококачественное фото и бумажные маски).

Для алгоритма идентификации используются другие показатели качества работы: False Positive Identification Rate, или сокращенно FPIR (вероятность того, что пользователь не из БД фотографий будет признан пользователем из БД, т. е. ошибка второго рода) и False Negative Identification Rate, FNIR (вероятность того, что пользователь из БД будет идентифицирован как другой пользователь из БД или не идентифицирован вообще). Поскольку оба непересекающихся в вероятностном смысле события приводят к фроду (исключая из рассмотрения случай, когда пользователь вообще не идентифицируется), очевидно, имеет место следующее соотношение FID < FPIR + FNIR, где FID — вероятность неправильной идентификации пользователя, приводящей к мошенничеству при проведении платежной операции.

В отличие от показателей точности работы алгоритмов биометрической верификации при измерении показателей алгоритмов идентификации требуется указывать размер БД темплейтов N. Как отмечалось ранее, от значения N зависит не только время работы алгоритма, но и его точность. Для большинства случаев на практике достаточно, чтобы измерения проводились на БД размером до 100 тыс. — 1 млн лиц.

Значения вероятностей FMR, FNMR, FPIR, FNIR обычно измеряются с относительной погрешностью 10% и уровнем достоверности 80%. Можно показать, что для измерения этих вероятностей с указанными относительной точностью и достоверностью в сертификационном центре требуется БД темплейтов размером порядка 1 млн фото [Голдовский И. М. О размере репрезентативной выборки. Платежные технологии, № 1].

До сих пор мы раздельно говорили про точность работы биометрических алгоритмов и качество работы алгоритмов определения живого присутствия. Нас же интересует комплексный показатель того, что мошеннику не удастся обмануть биометрический алгоритм. Пусть FMR₁ и FNMR₁ — определенные выше показатели работы алгоритма верификации, FMR₂ и FNMR₂ — аналогичные показатели работы алгоритма определения живого присутствия. Тогда для обобщенных показателей биометрического решения FMR и FNMR в силу событий верификации и определения живого присутствия имеют место соотношения:

Аналогично для алгоритма биометрической идентификации комплексный показатель FID неверной идентификации и/или проверки живого присутствия пользователя в точке совершения операции удовлетворяет неравенству:

Заметим, что показатель FID включает в себя ошибки первого и второго рода.

Из выражений для FMR и FID₁ видно, что использование алгоритма определения живого присутствия ухудшает точность работы биометрических алгоритмов. Однако в общем случае оно повышает вероятность противодействия мошенничеству. Проиллюстрируем это на примере решения задачи биометрической верификации. Введем еще две величины: PF — вероятность того, что мошеннику удастся обмануть биометрический алгоритм верификации, и P — вероятность того, что платежная операция успешно выполняется мошенником с использованием атаки на живое присутствие при отсутствии в системе механизмов противодействия атаке на живое присутствие. Очевидно,

В каждом конкретном случае, исходя из значений FMR₂ и P можно принимать решение о необходимости использования алгоритма определения живого присутствия. Если FMR₂ < P, имеет смысл алгоритм применять. Видимо, в отдельно стоящих плохо контролируемых терминалах самообслуживания применение этих алгоритмов целесообразно, а в розничных магазинах массового обслуживания можно обойтись без них.

Требования к значениям показателей точности

Выше мы получили комплексные показатели точности работы биометрических алгоритмов. Какими же должны быть требования к значениям этих показателей? Начнем с требований к решениям, обеспечивающим биометрическую верификацию (аутентификацию) пользователя. Сразу отметим, что в данном случае ответственность за потенциальный фрод несет участник платежной системы, выполняющий биометрическую верификацию. Обычно таким участником является эмитент карты пользователя или сама платежная система (например, в помощь эмитенту аутентифицирующая пользователя с помощью биометрии в операциях электронной коммерции). В случае биометрической верификации платежная система рекомендует (не требует!) эмитенту выбор решений, удовлетворяющих определенным требованиям к биометрическим алгоритмам верификации, и может помочь эмитенту с помощью аккредитованных лабораторий оценить качество предполагаемых для использования решений.

Величина FNMR определяет качество обслуживания пользователя при его верификации, поскольку представляет собой вероятность того, что реальному пользователю системы биометрический алгоритм откажет в верификации (признает предъявленные биометрические данные не соответствующими темплейту пользователя в БД). Поэтому ограничение на FNMR следует выбирать из того соображения, что алгоритм не должен «обижать» пользователя отказами в обслуживании в среднем чаще чем раз на FNMR^-1 транзакций. В противном случае доверие к биометрической технологии может оказаться подорванным.

Можно считать, что значение FNMR = 10^-2 и ниже (пользователю системы отказывают в верификации не чаще раза на сто платежей) является удовлетворительным, хотя в ряде случаев ограничение сверху на величину FNMR может быть более жестким.

Величина FMR определяет вероятность того, что мошеннику удастся обмануть биометрический алгоритм, выдав себя за другого пользователя системы. Таким образом, мошенник сможет обмануть биометрический алгоритм, выдав себя за другого клиента, в среднем не чаще чем раз на FMR^-1 транзакций. Другими словами, FMR определяет уровень противодействия мошенничеству, при котором мошенник пытается выдать себя за другое лицо. Для FMR разумной оценкой сверху является значение 10^-4, при котором биометрический алгоритм обеспечивает в среднем одно мошенничество на 10 тыс. транзакций. В терминах оценки уровня мошенничества такое значение FMR приблизительно соответствует фроду размером в 1 базисный пункт — потере 1 копейки на 100 рублей оборота (предполагаем, что функция распределения стоимости покупки незначительно зависит от того, является ли транзакция мошеннической), считается хорошим показателем безопасности карточной системы. Для карточной платежной системы считается допустимым уровень мошенничества даже размером 5 базисных пунктов.

Выше были определены рекомендательные ограничения на значения FMR и FNMR, которые в свою очередь представляют собой суммы соответствующих показателей для алгоритмов верификации и определения живого присутствия. Мы не станем распределять общее ограничение на FMR между двумя угрозами — ошибочной верификацией (FMR₁) и успешной подменой мошенниками образа покупателя в точке продажи образом жертвы (FMR₂). Такое распределение производится в процессе имплементации биометрического решения, исходя из конкретных условий внедрения (используемых биометрических алгоритмов, условий применения биометрии и т. п.) и показателей алгоритмов верификации и определения живого присутствия.

Биометрический эквайринг и распределение ответственности

Теперь вернемся к теме биометрического эквайринга (идентификации). Здесь у любой платежной системы есть два варианта выбора. Первый заключается в том, что платежная система не сертифицирует используемые в ТСП биометрические решения, а всю ответственность за возможный фрод переносит на эквайрера. Эквайрер принимает риски, связанные с использованием новой технологии. Кроме того, платежная система может штрафовать эквайрера или применять к нему даже более жесткие меры наказания за избыточный (по сравнению с принятыми в системе нормами) фрод, возникающий в контролируемых эквайрером ТСП, поскольку такой фрод наносит репутационный урон платежной системе.

В соответствии со вторым выбором платежная система формирует требования к точности работы алгоритмов биометрической идентификации и выполняет их сертификацию на соответствие этим требованиям. Требования системы определяют ограничения на точность работы алгоритма, при которой уровень фрода не превосходит заданного значения (например, по соображениям, приведенным выше, не превышает 1 базисного пункта). При соблюдении требований платежной системы, или, другими словами, при использовании в ТСП сертифицированного решения возможно сохранить стандартное распределение ответственности за мошенничество, при котором за фрод отвечает эмитент карты. При невыполнении требований платежной системы ответственность за фрод перекладывается на эквайрера.

Базовый подход любой платежной системы при отборе технологий заключается в том, чтобы предоставить своим участникам такие технологии платежей, которые, с одной стороны, при их правильной реализации с высокой вероятностью гарантируют корректные расчеты по выполняемым с их помощью операциям, а с другой — удобны конечным пользователям. Забота об удобстве пользователя, как правило, ведет к увеличению вероятности некорректных расчетов, и наоборот, чем технология безопаснее, тем она дороже и менее удобна для пользователя. Обеспечение баланса между безопасностью и удобством технологии для пользователя — одна из главных задач платежных технологов при проектировании и реализации ими новых решений.

На практике при использовании любой удобной для пользователя платежной технологии остается небольшая вероятность того, что расчеты будут произведены некорректно. Но поскольку вероятность такого события мала, участники платежной системы соглашаются с правилом, в соответствии с которым эмитенты платежных инструментов берут на себя ответственность за подобные некорректные расчеты. Эмитенты понимают, что берут на себя определенные риски, но взамен из-за удобства технологии для пользователя они получают больше транзакций и оборотов по ним.

Приведем только один пример, иллюстрирующий сказанное выше. Все знают, что для бесконтактных платежей по картам существует лимит (разный в разных ПС и разных регионах) на размер транзакции, при котором верификация держателя карты не требуется. Если размер транзакции меньше размера этого лимита, по правилам ПС, не требуется выполнение верификации пользователя в точке продажи, что удобно пользователю: коснулся картой терминала — и оплата завершена. При этом ответственность за возможный фрод (очевидно, существует риск того, что мошенник воспользуется украденной/потерянной картой при совершении операции размером ниже установленного лимита) остается на эмитенте карты. И эмитенты готовы брать на себя ответственность за возможный фрод, понимая, что потенциальные потери от мошенничества покрываются доходами от более интенсивного использования пользователем удобного платежного инструмента — бесконтактной карты или телефона. Строго говоря, и сама технология бесконтактных платежей представляет собой компромисс между удобством платежа и безопасностью, если вспомнить, что операцию по бесконтактной карте можно выполнить без авторизации операции держателем карты. Подобных примеров в платежных технологиях достаточно. В конце концов, и криптограмму карточной транзакции можно просто угадать с вероятностью 2^-64, тем самым обеспечивая авторизацию транзакции эмитентом карты.

Очевидно, второй выбор является более предпочтительным для распространения технологии биометрического эквайринга, поскольку при его применении магазины и эквайреры не будут беспокоиться о возможных финансовых потерях при использовании ими сертифицированных в ПС решений, а эмитенты смогут авторизовать транзакции, понимая размер связанных с ними рисков. При таком выборе биометрический эквайринг становится официальной технологией платежной системы, о чем говорилось выше.

Поскольку FID определяет верхнее ограничение на вероятность ошибочной идентификации, то для обеспечения фрода в биометрическом эквайринге размером 1 bp имеет смысл ввести ограничение FID < 10^–4.

Важно сделать следующее замечание. Выше были сформулированы требования к некоторым показателям, определяющим точность работы биометрических алгоритмов. При выполнении этих требований уровень мошенничества из-за ошибок в работе биометрических алгоритмов останется приемлемым для платежной системы и ее участников. Далее должны появиться лаборатории, аккредитованные платежными системами для оценки выполнения их требований в конкретных условиях эксплуатации биометрических решений (уровень засветки, освещенность и т. п.). Конкретные условия эксплуатации существенным образом влияют на показатели работы биометрических решений.

Вместо послесловия

В завершение заметим, что везде выше речь шла об унимодальной биометрической технологии. Очевидно, что при использовании M независимых мод требования к каждой моде существенно снижаются. Например, при решении задачи идентификации вероятность ошибочной идентификации (все моды ошибаются в идентификации пользователя) будет равна

где FID_i — вероятность ошибки при использовании моды

Отсюда легко видеть, что при заданном ограничении на FID требования к отдельным FID_i становятся менее жесткими, чем при использовании одной моды биометрической идентификации.