TCVN11385:2016

Tiêu chuẩn quốc gia TCVN 11385:2016 (ISO/IEC 19792:2009) về Công nghệ thông tin - Các kỹ thuật an toàn - Đánh giá an toàn sinh trắc học TIÊU CHUẨN QUỐC GIA TCVN 11385:2016 ISO/IEC 19792:2009 CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - ĐÁNH GIÁ AN TOÀN SINH TRẮC HỌC In f ormation technology - Evaluation methodology for environmental i n f luence in biometr i c system per f ormance Lời n ó i đầu TCVN 11385:2016 hoàn toàn tương đương ISO/IEC 19792:2009. TCVN 11385:2016 do Học viện Công nghệ Bưu chính Viễn thông biên soạn, Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học và Công nghệ công bố. CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - ĐÁNH GIÁ AN TOÀN SINH TRẮC HỌC In f ormation technology - Security techniques - Security evaluation of biometrics 1. Phạm vi áp dụng Tiêu chuẩn này xác định các vấn đề cần giải quyết trong đánh giá an toàn hệ thống sinh trắc học. Tiêu chuẩn bao gồm những khía cạnh cụ thể v ề sinh trắc học và các nguyên tắc được xem x ét trong đánh giá an toàn hệ thống sinh trắc học. Tiêu chuẩn không giải quyết những khía cạnh phi sinh trắc học, khía cạnh mà có thể là một phần của đánh giá an toàn t ổ ng thể một hệ thống sử dụng công nghệ sinh trắc học (ví dụ như các yêu cầu v ề cơ sở dữ liệu hay kênh thông tin liên lạc). Tiêu chuẩn này không nhằm mục đích xác định bất kỳ phương pháp cụ thể nào cho việc đánh giá an toàn hệ thống sinh trắc học mà thay vào đó tập trung vào những yêu cầu mang tính nguyên tắc. Như vậy, các yêu cầu trong tiêu chuẩn này là độc lập với bất kỳ sơ đồ đánh giá hoặc chứng nhận nào và sẽ cần được hợp nhất và sửa lại cho thích hợp trước khi được sử dụng trong ngữ cảnh của một sơ đồ cụ thể. Tiêu chuẩn này xác định các nội dung quan trọng khác nhau c ầ n được xem xét trong đánh giá an toàn hệ thống si nh trắc học. Các nội dung này được trình bày trong các điều dưới đây của tiêu chuẩn: - Điều 4 và 5 của tiêu chuẩn đưa ra cái nhìn tổng quan cho tất cả các thuật ngữ, định nghĩa và tờ viết tắt được sử dụng, - Điều 6 giới thiệu khái niệm tổng thể cho việc đánh giá an toàn hệ thống sinh trắc học, - Điều 7 mô tả những khía cạnh thống kê của các tỷ lệ lỗi liên quan đến an toàn, - Điều 8 giải quyết việc đánh giá lỗ hổng của hệ thống sinh trắc học, - Điều 9 mô tả việc đánh giá những khía cạnh riêng tư, Tiêu chuẩn này có liên quan đến cả hai nhóm đánh giá viên và nhà phát triển. - Tiêu chuẩn xác định các yêu cầu cho đánh giá viên và cung cấp hướng dẫn thực hiện việc đánh giá an toàn hệ thống sinh trắc học. - Tiêu chuẩn phục vụ thông báo cho nhà phát triển các yêu cầu về đánh giá an toàn sinh trắc học nhằm giúp họ chuẩn bị cho việc đánh giá an toàn. Tiêu chuẩn này độc lập với bất kỳ sơ đồ đánh giá cụ thể nào nhưng có thể đáp ứng như là một khung phát triển các phương pháp kiểm thử và đánh giá cụ thể nhằm tích hợp các yêu cầu về đánh giá sinh trắc học với các sơ đồ đánh giá và chứng nhận hiện có. Tiêu chuẩn này tham chiếu và sử dụng các tiêu chuẩn sinh trắc học khác, đáng ch ú ý là những tiêu chuẩn kiểm thử và báo cáo hiệu suất sinh trắc học của tiểu ban kỹ thuật quốc tế ISO/JTC1 SC 37. Các tiêu chuẩn này đã được điều chỉnh ở mức cần thiết đối với những yê u cầu cụ thể của đánh giá an toàn sinh trắc học. 2. Sự tuân thủ Để đáp ứng được tiêu chuẩn này, việc đánh giá an toàn hệ thống sinh tr ắ c học phải được lập kế hoạch, thực hiện và báo cáo theo những yêu cầu mang tính quy định nêu trong tiêu chuẩn này. Ti ê u chuẩn này m ô tả những khía cạnh cụ thể về việc đánh giá an toàn hệ thống sinh trắc học về mặt: - các tỷ lệ lỗi thống kê (xem điều 7), - các lỗ hổng sinh trắc học cụ thể (xem điều 8), - tính riêng tư (xem điều 9). Một số sơ đồ đánh giá chấp nhận tiêu ch u ẩn này không giải quyết được tất cả các kh í a cạnh đã nêu trên sẽ có thể tiếp tục đòi hỏi sự tuân thủ với các phần của tiêu chuẩn này. Trong trường hợp này, việc đánh giá an toàn hệ thống sinh trắc học ph ả i được lập kế hoạch, thực hiện và báo cáo phù hợp với một tập hợp nhỏ các yêu cầu mang t í nh quy định của tiêu chuẩn này. Trong trường hợp này, các yêu cầu được giải quyết phải được xác định rõ ràng. Lưu ý rằng sự tuân thủ tiêu chuẩn này được giới hạn trong việc chấp nhận phương pháp đánh giá sinh trắc học đã được mô tả và gắn kết với các yêu cầu mang tính quy định cụ thể . Sự tuân thủ không bao gồm các vấn đề có liên quan đến sơ đồ như hành động cần được thực hiện trong trường hợp một hệ thống được đánh giá không đáp ứng các tiêu chí hoặc mục tiêu đánh giá có liên quan đến an toàn. Sơ đồ tổng thể có trách nhiệm quy định cụ thể hành động này, trong đó có thể bao gồm, ví dụ: - hoàn toàn không đánh giá được, - việc xác lập lại tiêu chí hoặc mục tiêu đánh giá để trùng khớp với kết quả đạt được, hoặc - việc phát triển hệ thống được đánh giá để đáp ứng các tiêu chí hoặc mục tiêu đánh giá đã xác định. 3. Tài liệu viện dẫn Các tài liệu viện dẫn sau rất cần thiết cho việc á p dụng tiêu chuẩn này. Đ ố i với các tài liệu viện d ẫn ghi năm công bố thì áp dụng phiên bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố th ì áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi, bổ sung (nếu có). ISO/IEC 19795-1:2006, Biometric performance testing and reporting - Part 1: Prin ci ples and framework (ISO/IEC 19795-1:2006 - Kiểm thử và báo cáo hiệu suất sinh trắc học - Phần 1: Các nguyên tắc và khung) 4. Thuật ngữ và định nghĩa Tiêu chuẩn này áp dụng các thuật ngữ và định nghĩa sau 4.1. Tổng quan 4.1.1 . Mức đảm bảo (assurance level) Lượng đảm bảo thu được theo thang đo cụ thể được sử dụng bởi các phương pháp đảm bảo CHÚ THÍCH: Định nghĩa t ừ [1]. 4.1.2 . Đ ố i tư ợn g t ấ n công (attacker) Người tìm cách khai thác các lỗ hổng tiềm ẩn của hệ thống sinh trắc học 4.1.3 . Đặc trưng sinh trắc học (biometric characteristic) Đặc trưng sinh học và hành vi của một cá thể có thể được phát hiện và từ đó các đặc điểm sinh trắc học có t í nh lặp lạ i , phân biệt có thể được tr ích xuất cho mục đích tự động nhận dạng cá thể CHÚ THÍCH 1: Định nghĩa từ [2]. CHÚ THÍCH 2: Đặc trưng sinh h ọ c và hành vi là các đặc tính vật lý của các bộ phận cơ thể , các tiến trình sinh lý và hành vi được tạo ra b ở i cơ thể và sự k ế t hợp của những đặc tính và ti ế n trình này. CHÚ THÍCH 3: Phân biệt kh ô ng nh ấ t thiết mang nghĩa l à cá thể h ó a. V Í DỤ: Các ví dụ về đặc trưng sinh trắc học là: cấu trúc đường vân của Galton, hình th ể khuôn mặt, c ấ u tạo da mặt hình thể bàn tay, hình thể ng ó n tay, cấu trúc mống mắt, cấu trúc t ĩ nh mạch của bàn tay, cấu trúc đường vân của l ò ng bàn tay hoặc hình dạng v õ ng mạc. 4.1.4 . Sản phẩm sinh trắc học (biometric product) Thành phần, hệ thống hoặc ứng dụng sinh trắc học đóng vai phạm vi của một đánh giá 4.1.5 . Sinh tr ắc học (biometrics) Nhận dạng tự động của các cá thể dựa vào đặc trưng sinh học và hành vi của các cá thể đó CHÚ THÍCH: Định nghĩa từ [2]. 4.1.6 . Đánh giá viên (eva l uator) Người hoặc bên chịu trách nhiệm thực hiện việc đánh giá an toàn sản phẩm sinh trắc học 4.1.7 . Sự đánh giá (evaluation) Sự đánh giá một thành phẩm so với tiêu chí đã được xác định trước CHÚ THÍCH 1: Định nghĩa t ừ [1 ] . CHÚ THÍCH 2: Trong ngữ cảnh này, thành phẩm l à hệ thống sinh trắc học. 4.1.8 . Lamb (lamb) Tham chi ế u sinh trắc học tạo ra các điểm số tương đồng cao hơn so với bình thường trên một hệ thống sinh trắc học riêng biệt khi so sánh với các mẫu sinh trắc học hoặc các tham chiếu từ các đối tượng khác 4.1.9 . Nhà cung cấp (vendor) Bên bán, sản xuất hoặc sử dụng hệ thống sinh trắc học và có trách nhiệm cung cấp hệ thống sinh trắc học cùng toàn bộ chứng cứ cần thiết cho việc đánh giá CHÚ THÍCH: Trong những trường hợp nhà cung cấp quyết đị nh ủy nhiệm nhiệm vụ nào đó cho bên khác (ví dụ cho p h òng kiểm thử của b ê n thứ ba), b ê n này sẽ được xem như l à nh à cung c ấ p. 4.1.10 . Người sử dụng (user) Người tương tác với một hệ thống sinh trắc học 4.1.1 1. Wolf (wolf) Mẫu sinh trắc học tạo ra các điểm số tương đồng cao hơn bình thường trên một hệ thống sinh trắc học riêng biệt khi so sánh với các tham chiếu sinh trắc học của các đối tượng thu nạp 4.2. Hệ thống sinh trắc học 4.2.1 . Lần thử (attempt) Gửi một (hoặc một chuỗi) mẫu sinh trắc học vào hệ thống CHÚ THÍCH: Một lần thử cho k ế t qu ả là một khuôn mẫ u thu nạp, một (hoặc nhiều) điểm s ố trùng khớp, hoặc có thể là một thấ t bại. 4.2.2 . Dữ liệu sinh trắc học (biometric data) Mẫu sinh trắc học ở bất k ỳ giai đoạn xử lý nào, tham chiếu sinh trắc học, đặc điểm sinh trắc học hoặc đặc tính sinh trắc học CHÚ THÍCH: Định ngh ĩ a từ [2] . 4.2.3 . Đặc điểm sinh trắc học (biometric feature) Các số và nhãn hiệu được trích xuất từ các mẫu sinh trắc học và được sử dụng để so sánh CHÚ THÍCH 1: Các đặc điểm sinh trắc học là đ ầ u ra của một sự trích xuất đặc điểm sinh trắc học đ ã hoàn thành. CHÚ THÍCH 2: Vi ệ c sử dụng thuật ngữ này nên phù hợp v ớ i việc sử dụng của cộng đồng toán học và nh ậ n dạng. CHÚ THÍCH 3: Một tập hợp đặc điểm sinh trắc học c ũ ng có thể được coi là một mẫu sinh trắc học đ ã qua xử lý. 4.2.4 . Mô hình sinh trắc học (biometric model) Hàm s ố lưu tr ữ (phụ thuộc vào đối tượng dữ liệu sinh trắc học) được tạo ra từ một (nhiều) đặc điểm sinh trắc học CHÚ THÍCH 1: Định nghĩa từ [2] . CHÚ THÍCH 2: Việc so sánh s ẽ áp dụng h à m số này đối với cá c đặc điểm sinh trắc học của một mẫu sinh tr ắ c học nhận dạng để đ ư a ra một điểm số so sánh. CHÚ THÍCH 3: Hàm s ố này có thể được x á c định thông qua hu ấ n luyện. CHÚ THÍCH 4: Một m ô hình sinh trắc học có thể bao gồm kh â u x ử lý trung gian tươ ng tự nh ư trí ch xuất đặc điể m sinh trắc học. VÍ DỤ: Các ví dụ cho hàm số lư u trữ có thể là một mô hình Mar k ov ẩ n , mô hình Gaussian hỗn hợp hoặc một mạng nơ ron nhân tạo. 4.2.5 . Đặc tính sinh tr ắc học (biometric property) Các thuộc tính mô tả của đối tượng dữ liệu sinh trắc học được ước lượng hoặc được dẫn xuất từ mẫu sinh trắc học một cách tự động CHÚ THÍCH: Định nghĩa từ [2]. VÍ DỤ: Dấu vân tay có thể được phân loại bằng các đặc tính sinh trắc học về luồng đường vân, chẳng hạn các kiểu hình cung, hình xoáy, hình quai; Trong trường hợp nhận dạng khuôn mặt, có thể là các ước l ư ợng v ề độ tuổi hoặc gi ớ i tính. 4.2.6 . Tham chiếu sinh trắc học (biometric reference) Một hoặc nhiều mẫu sinh trắc học, khuôn mẫu sinh trắc học hoặc mô hình sinh trắc học gán làm thuộc tính cho một đối tượng dữ liệu sinh trắc học được l ưu trữ và được sử dụng để so sánh CHÚ THÍCH 1: Định nghĩa từ [2 ] . CHÚ THÍCH 2: Một tham chiếu sinh trắc học có thể được tạo ra với việc sử dụng ng ầ m hoặc tường minh dữ liệu phụ trợ, như các M ô hình N ề n tảng Vạn năng. VÍ D Ụ : H ì nh ảnh khuôn mặt trên hộ c h i ế u; Khuôn mẫu chi tiết dấu vân tay tr ê n Thẻ căn cước quốc gia; Mô hình h ỗ n hợp Gaussian, đ ể nhận dạng giọng nói, trong cơ sở dữ liệu. 4.2.7 . M ẫ u sinh trắc học (biometric sample) Biểu diễn tương tự hoặc kỹ thuật s ố các đặc trưng sinh trắc học trước khi trích xuất đặc điểm sinh trắc học và thu được từ thiết bị hoặc hệ thống con thu thập sinh trắc học CHÚ THÍCH 1: Định nghĩa t ừ [2]. CHÚ THÍCH 2: Thiết bị thu thập sinh trắc học l à hệ thống con thu thập sinh trắc học với một thành phần duy nh ấ t. 4.2.8 . Khuôn mẫu sinh trắc học (biometr i c template) Tập hợp các đặc điểm sinh trắc học được lưu trữ có thể so sánh trực tiếp với các đặc điểm sinh trắc học của mẫu sinh trắc học nhận dạng CHÚ THÍCH 1: Định nghĩa từ [2]. CH Ú THÍCH 2: Một tham chiếu sinh trắc học bao gồm hình ảnh, hoặc mẫu sinh trắc học khác thu thập được dư ớ i dạng nguyên bản, đ ã được xử lý tăng cường hoặc được nén , không phải là một khu ô n mẫu sinh t r ắ c h ọ c. CHÚ THÍCH 3: Các đặc điểm sinh trắc học không được coi là một khu ô n mẫu sinh trắc học tr ừ khi chúng được lưu trữ để tham chiếu. 4.2.9 . Hồ sơ dữ liệu thu nạp (enrolment data record) Hồ sơ được tạo ra khi thu nạp, l iên quan đ ế n một cá thể và bao gồm các tham chi ế u sinh trắc học và dữ liệu phi sinh trắc học thông thường CHÚ THÍCH: Định nghĩa từ [2]. 4.2.10 . Giao dịch (transaction) Chuỗi các lần thử trên một bộ phận người sử dụng nhằm mục đích thu nạp, xác minh sinh trắc học hoặc định danh sinh trắc học CHÚ THÍCH: Có 3 ki ể u giao dịch: chuỗi thu nạp, cho kết quả là sự thu nạp th à nh công hoặc th ấ t bại; chuỗi xác minh, cho kết quả là quyết định xác minh; hoặc chuỗi định danh, kết quả là quyết định định danh. 4.3. Quá trình sinh trắc học 4.3.1 . Xác thực (authentication) Cung cấp sự đảm bảo về danh tính được yêu cầu của một thực thể CHÚ THÍCH: Định nghĩa từ [ 1]. 4.3.2 . Quy ế t định ứng dụng sinh trắc học (b i ometr i c application decision) Kết luận dựa tr ê n ch í nh sách quyết định ứng dụng sau khi xem xét một hoặc nhiều quyết định so sánh, điểm số so sánh và dữ liệu phi sinh trắc học khác có th ể CHÚ THÍCH 1: Định ngh ĩ a từ [ 2]. CHÚ THÍCH 2: C á c q u y ế t định ứ ng dụng sinh trắc học c ó t h ể đ ư ợc thực hiện dựa tr ê n cơ sở các ch í nh sách phức tạp, cho phép thay đổi số lượng quyết định so sánh dương t í nh. CHÚ THÍCH 3: Ứng d ụ ng xác minh sinh trắc học có thể cho phép quyết định ứ ng dụng sinh trắc h ọ c dương t í nh ngay cả khi có một hoặc nhi ề u sự không trùng kh ớ p so với tham chi ế u sinh trắc học đã thu nạp. V Í DỤ: Quyết định ứng dụng sinh trắc học có thể là “tiếp nhận yêu cầu ” . 4.3.3 . Nhận dạng sinh trắc học (biometr i c recognition) Nhận dạng bằng cách sử dụng một sản ph ẩ m sinh trắc học CHÚ THÍCH 3: Nh ậ n dạng sinh trắc học có thể hoặc thực hiện b ằ ng xác minh sinh trắc h ọ c hoặc qu á trình định danh sinh tr ắ c học. 4 . 3.4 . Điểm số so sánh (comparison score) Giá trị (hoặc tập hợp các giá trị) số học thu được từ một sự so sánh CHÚ THÍCH: Định nghĩa từ [2]. 4.3.5 . Hủy thu nạp (de-enrolment) Việc x ó a bỏ tham chiếu sinh trắc học ra khỏi bộ lưu trữ và nếu cần thiết, c ả dữ liệu có liên quan với danh tính của ng ư ời sử dụng cuối ra khỏi hệ thống s i nh trắc học 4.3.6 . Ch í nh sách quyết định (decision policy) Tập hợp các tham số, quy tắc và giá trị được sử dụng đ ể xác định khả năng tiếp nhận hoặc từ chối nhận dạng sinh trắc học của đối tượng CHÚ THÍCH: Định nghĩa t ừ [2]. 4.3.7 . Thu nạp (enrol) Tạo và lưu trữ hồ sơ dữ liệu thu nạp cho một đối tượng thu thập sinh trắc học phù hợp với chính sách thu nạp CHÚ THÍCH: Định nghĩa từ [2 ] . 4.3.8 . Sự thu nạp (enrolment) Hành động đang thu nạp hoặc được thu nạp CHÚ THÍCH: Định nghĩa từ [2] . 4.3.9 . Định danh sinh trắc học (biometric identi f ication) Chức năng của hệ thống sinh trắc học thực hiện tìm kiếm một-nhiều để có được danh sách ứng tuyển CHÚ THÍCH: Định nghĩa từ [ 2]. 4.3.10 . Quyết định so sánh (comparison decision) Việc xác định các mẫu sinh trắc học nhận dạng và các tham chiếu sinh trắc học có cùng nguồn gốc sinh trắc học hay không dựa vào (các) điểm số so sánh, (các) chính sách quyết định bao gồm ngưỡng, và các đầu v à o khác có thể CHÚ THÍCH: Định nghĩa từ [2]. CHÚ THÍCH 2: Trùng khớp là một quyết định sinh trắc học d ư ơng tính. CH Ú THÍCH 3: Kh ô ng t rùng khớp l à một quyết định sinh trắc học âm t í nh. CHÚ THÍCH 4: Quyết đị nh “ không xác định ” đôi khi có thể được đưa ra. 4.3.11 . Ngư ỡ ng (thresho ld ) Giá trị biên của điểm số so sánh được sử dụng bởi ứng dụng so sánh để tự động tạo ra quyết định trùng khớp 4.3.12 . X á c minh sinh trắc học (biometric veri f ication) Chức năng của sản phẩm sinh trắc học thực hiện việc so sánh một-một CHÚ THÍCH: Điều ch ỉ nh từ [2 ] . 4.4. Các tỷ lệ lỗi CHÚ THÍCH: Định nghĩa 4.4.1 tới 4.4.9 và 4.4.11 áp dụng theo ISO/IEC 19795-1:2006. 4.4.1 . Lần thử mạo d anh chủ động (active impostor attempt) Lần thử trong đó một cá thể cố gắng đ ể trùng khớp với khuôn mẫu được lưu trữ của một cá thể khác bằng cách đưa ra một mẫu sinh trắc học mô phỏng hoặc tái tạo, hoặc cố ý ch ỉ nh sửa đặc trưng sinh trắc học của chính m ì nh 4.4.2 . Tỷ lệ thu nạp thất bại (failure-to-enro l rate) FTE Tỷ lệ d â n số mà hệ thống không hoàn tất quá trình thu nạp CHÚ THÍCH: Tỷ lệ thu nạp thất bại quan sát được được đo lường bằng thu nạp nhóm kiểm thử. Tỷ lệ thu nạp thất bại được dự ki ế n/mong đợi sẽ áp dụng cho toàn bộ dân số mục tiêu. 4.4.3 . Tỷ lệ không trùng khớp sai ( f alse non-match rate) FNMR Tỷ lệ các mẫu l ầ n thử đối tượng chính danh cho kết quả sai, không trùng khớp với khuôn mẫu của cùng một đặc tr ư ng từ cùng một người sử dụng cung cấp mẫu CHÚ THÍCH: Tỷ lệ không tr ù ng kh ớ p sai đo lư ờn g/quan sát được là khác biệt so v ớ i t ỷ l ệ không trùng khớp sai dự đoán/mong đợi (dạng tỷ lệ trước có th ể được sử dụng đ ã ước t í nh dạng tỷ lệ sau). 4.4.4 . Tỷ lệ trùng khớp sai (fa l se match rate) FMR Tỷ lệ các mẫu lần thử đối tượng mạo danh không cố ý cho kết quả sai, trùng khớp với các khuôn mẫu không ph ả i của chính người được so sánh CHÚ THÍCH: Tỷ lệ trùng khớp sai đo lường/quan sát được là khác biệt với tỷ lệ trùng khớp sai dự đoán/mong đợi (dạng tỷ lệ tr ướ c có th ể được sử dụng để ư ớc t í nh dạng tỷ lệ sau). 4.4.5 . Tỷ lệ từ chối sai (false reject rate) FRR Tỷ lệ các giao dịch xác minh với các yêu cầu về danh tính là đúng thực nhưng bị từ chối không đúng 4.4.6 . Tỷ lệ tiếp nhận sai ( f alse accept rate) FAR tỷ lệ các giao dịch xác minh với các yêu cầu về danh tính là không đúng nhưng được xác nhận không đúng 4.4.7 . Thứ hạng định danh ( i dentification rank) Giá trị nhỏ nhất k mà nhận dạng đúng của người sử dụng nằm trong nhóm các nhận dạng k đầu tiên được trả về bởi một hệ thống định danh CHÚ THÍCH: Thứ hạng định danh phụ thuộc quy mô cơ sở dữ liệu thu nạp, và nên được trích dẫn “thứ hạng k tr ê n n ” 4.4.8 . Thuật toán sơ tuyển (pre-selection algorithm) Thuật toán nhằm làm giảm thiểu số lượng các khuôn mẫu cần được trùng khớp trong một tìm kiếm định danh của cơ sở dữ liệu thu nạp 4.4.9 . Lỗi sơ tuyển (pre-selection error) Lỗi CHÚ THÍCH: Trong sơ tuyển dựa vào việc xây dựng phân vùng/phân lớp những người sử dụng, lỗi sơ tuyển xảy ra khi khuôn mẫu thu nạp và một mẫu tiếp theo từ c ù ng đ ặc trưng sinh trắc học của cùng một người sử dụng được gán vào phân vùng khác nhau. 4.4.10 . Nhóm kiểm thử (test crew) Bộ các đối tượng kiểm thử được tập hợp lại cho việc đánh giá CH Ú TH Í CH: Định nghĩa từ [1 ] . 4.4.11 . Lần thử đối tư ợ ng mạo danh không cố ý (zero-effort impostor attempt) Lần thử trong đó một cá thể gửi đặc trưng sinh trắc học của chính m ì nh như thể cá thể đó đang thử xác minh thành công đối với khuôn mẫu của chính mình, nhưng việc so sánh được thực hiện đối với khuôn mẫu của người sử dụng khác 4.5. Thống kê 4.5.1 . Khoảng tin cậy (con f idence interval) Giá trị ước lượng thấp L và cao U cho một tham số x sao cho xác suất của giá trị thực của x nằm giữa L và U là giá trị cho trước (ví dụ 95%) [ISO/IEC 19795-1:2006, định nghĩa 4.8.2] CHÚ THÍCH: Khoảng tin cậy l u ô n g ắ n liền với giá trị xác suất đã biết tương ứng. Trong t iê u c h u ẩ n này các giá trị xác suất đ ã biết được gọi là “ giá trị tin cậy ” 4.5.2 . Giá trị tin cậy (con f idence value) Giá trị xác suất đã biết tương ứng với khoảng tin cậy quy định 5. Chữ viết tắt DET Cân bằng lỗi phát hiện (vòng cong) FAR Tỷ lệ tiếp nhận sai FDIS Dự th ả o tiêu chuẩn quốc tế phiên bản cu ố i cùng FMR Tỷ lệ trùng khớp sai FNMR Tỷ lệ không trùng khớp sai FRR Tỷ lệ từ chối sai FTE Thu nạp th ấ t bại IS Tiêu chuẩn quốc tế 6. Đánh giá an toàn 6.1 . Tổng quan Điều này làm rõ hơn phạm vi của tiêu chuẩn tại điều 1 và cung cấp ngữ cảnh mà trong đó đánh giá an toàn sinh trắc học được tiến hành. Hình A.1 ch ỉ ra kiến trúc tham chiếu của hệ thống sinh trắc học được sử dụng trong tiêu chuẩn này. Hệ thống sinh trắc học bao gồm một tập hợp các thành phần phần cứng và phần mềm. Hệ thống thường được sử dụng để thực hiện một ứng dụng sinh trắc học, trong trường hợp này hệ thống hoạt động trong một môi trường ngoài tạo thành một phần thiết yếu của ứng dụng. Môi trường không chỉ bao gồm các yếu tố vật lý như không gian, nhiệt độ, độ ẩm, chiếu sáng v.v... mà còn t ấ t c ả các khía cạnh về thủ tục và người sử dụng của hệ thống. Người sử dụng của hệ thống bao gồm tất cả những người có thể tương tác với hệ thống như những nhà điều hành, ng ư ời quản trị, đối tượng thu nạp, đối tượng mạo danh v.v... Tiêu chuẩn này chủ yếu hướng vào việc đánh giá an toàn ch í nh hệ thống sinh trắc học chứ không phải là các ứng dụng sinh trắc học hoàn chỉnh. Một ứng dụng sinh trắc học bao g ồ m một hệ thống sinh trắc học và các thành phần phần cứng và phần mềm có thể khác, với môi trường hoạt động, các quy trình tổ chức và các chính sách cùng cung cấp chức năng của ứng dụng. Những yếu tố bổ sung này có thể có lỗ hổng bảo mật riêng của chính m ì nh hoặc có thể khuy ế ch đại hoặc giảm thiểu các lỗ hổng đã được sở hữu bởi chính hệ thống sinh tr ắc học. Đánh giá lỗ hổng cần được ti ế n hành theo cách thức có trật tự, bao gồm sự điều tra các lỗ hổng thành phần cá thể. Tuy nhiên, đánh giá viên nên thận trọng khi đánh giá các kết quả của việc đánh giá lỗ hổng thành phần mà không xem xét sự tương tác diễn ra với các thành phần hệ thống khác. Những tương tác này có thể xác định liệu có hay không các lỗ hổng thành phần có thể bị khai thác trong thực tế. Do đó, đánh giá viên nên luôn luôn đánh giá lỗ hổng trong ngữ cảnh toàn bộ chức năng của toàn hệ thống và không chỉ dựa trên đánh giá các lỗ hổng thành phần cá thể. Tương tự, một hệ thống sinh trắc học có thể biểu thị các lỗ hổng nội tại đã được nhận ra, đã được làm trầm trọng hơn hoặc giảm nhẹ bởi tương tác giữa các thành phần hệ thống. Ví d ụ , một thuật toán so sánh sinh trắc học có thể hiển thị hành vi bất thường nếu được đưa vào dữ liệu sinh trắc học ngoài phạm vi, và hành vi này có thể làm phát sinh một lỗ hổng. Tuy nhiên, nếu (các) thành phần chịu trá ch nhiệm cung cấp dữ liệu sinh trắc học cho các thuật toán so sánh ngăn chặn dữ liệu bất thường được cung cấp thì sẽ không sinh ra lỗ hổng. Mặc dù ph ươ ng pháp trong tiêu chuẩn này có thể được sử dụng để đánh giá các yếu tố an toàn cho các thành phần của một hệ thống sinh trắc học, đánh giá vi ê n nên thận trọng khi kiểm tra các lỗ hổng thành phần cá thể và tìm hiểu các tương tác giữa các thành phần để xác định làm thế nào mà những tương tác này c ó thể ảnh hưởng đến lỗ hổng hệ thống. Nói chung, việc đánh giá lỗ hổng thành phần cá thể có thể có giá trị giới hạn và gây sai lạc nếu được thực hiện bên ngo à i ngữ cảnh của một sự đánh giá hệ thống. Tiêu chuẩn này quy đ ị nh cụ thể phương pháp đánh giá an toàn kỹ thuật của hệ thống sinh trắc học. Tiêu chuẩn không tìm cách giải quyết các vấn đề rộng hơn về đánh giá an toàn ứng dụng sinh trắc học hoàn chỉnh. Người kiểm định các ứng dụng sinh trắc học do đó cần xây dựng mô hình mối đe dọa/rủi ro cho các ứng dụng và đánh giá liệu các lỗ hổng phi sinh trắc học cụ thể khác có tồn tại trong hệ thống tổng th ể và những tác động nào của bất kỳ lỗ hổng sinh trắc học đã được phát hiện đối với an toàn hệ thống tổng thể. 6.2 . Phương ph á p Tiêu chuẩn này đề cập đến những khía cạnh của việc đánh giá an toàn cụ thể cho các hệ thống sinh trắc học. Một đánh giá an toàn hệ thống sinh trắc học có thể cũng bao g ồ m việc đánh giá các khía cạnh an toàn công nghệ th ô ng tin. Tiêu chuẩn này không bao hàm các khía cạnh này và đánh giá viên nên tham khảo các tiêu chuẩn và phương pháp luận đánh giá an toàn công nghệ th ô ng tin khác khi đánh giá các khía cạnh phi sinh trắc h ọ c của một đánh giá an toàn hệ thống, ví dụ như Tiêu chí chung ([3]). Nhà cung cấp hệ thống sinh trắc học được đánh giá sẽ phải cung cấp mô tả hệ thống trước khi việc đánh giá bắt đ ầ u. Điều này cho phép đánh giá viên trở nên quen thuộc với hệ thống và h ỗ trợ những quyết định sau đó trong quá trình đánh giá. Các khía cạnh sinh trắc học cụ thể của đánh giá an toàn hệ thống sinh trắc học được mô tả trong tiêu chuẩn này là: - Phép đo lường các tỷ lệ l ỗ i thống kê (xem điều 7) - Các lỗ hổng sinh trắc học cụ thể (xem điều 8) - Tính riêng tư (xem điều 9) Khái niệm cơ b ả n của phương pháp này (ngoài ba lĩnh vực trên) là việc đánh giá an toàn hệ thống sinh trắc học có thể được thực hiện theo cách tương tự việc đánh giá an toàn của bất kỳ hệ th ố ng công nghệ th ô ng tin nào khác. Điều 7 giới thiệu khái niệm về kiểm thử các tỷ lệ lỗi liên quan đến an toàn tr ong ngữ cảnh đánh giá an toàn hệ thống sinh trắc học. Các tỷ lệ lỗi thống kê có thể được đo lường cho các thuật toán sinh trắc học đơn lẻ (thường sử dụng các cơ sở dữ liệu mẫu sinh trắc học có sẵn từ trước), hoặc cho các hệ thống mà người dùng cung cấp các mẫu sinh trắc học trực tiếp cho bộ cảm biến của thành phần thu thập dữ liệu. Kiểm thử tỷ lệ lỗi của các thuật toán sinh trắc học thư ờ ng được sử dụng để so sánh hiệu suất giữa các thuật toán khác nhau và để định lượng sự thay đổi do phát triển thuật toán. Kiểm thử thuật toán có giá tr ị giới hạn trong việc đánh giá an toàn v ì những lỗi về thuật toán chỉ là một nguồn gây lỗi trong một hệ thống sinh trắc học. Thường là cần thiết đ ể tiến hành đo lường lỗi thống k ê của các hệ thống sinh trắc học sử dụng các mẫu sinh trắc học thu được bởi thành phần thu thập của hệ thống từ các đối tượng thực trong một kiểm thử kịch bản. Tuy nhiên, kiểm thử thống kê của một thuật toán có thể góp phần vào sự hiểu bi ế t cần thiết về hệ thống sinh trắc học, điều này cần thiết đ ể chuẩn bị kiểm thử hoặc đ ể tìm ra một yêu cầu về các tỷ lệ lỗi tối đa của hệ thống sinh trắc học. Điều 8 cung cấp hướng dẫn đánh giá lỗ h ổ ng. Các lỗ hổng kỹ thuật được xử lý theo các nhóm tương ứng với các lỗ h ổ ng tiềm ẩn trong hệ thống sinh trắc học, dựa trên sự cân nhắc l ý thuyết và kinh nghiệm thực tế. Việc khai thác một l ỗ hổng tiềm ẩ n thường liên quan đến nhiều th à nh phần. Ví dụ, một vật giả mạo cần ph ả i được tiếp nhận bởi bộ c ả m biến và vượt qua bất kỳ mọi ngăn chặn giả mạo; vượt qua bước phân tích chất l ượng; tiền xử lý và trích xuất đặc điểm thành công và vượt qua bất k ỳ sự kiểm tra kiểm soát chất lượng tiếp theo nào. Các b ướ c này thường sẽ liên quan tới nhiều hơn một thành phần của hệ thống. Điều 9 nêu chi tiết về những hành động của đánh giá viên được yêu cầu để gi ả i quy ế t nh ữ ng vấn đề về tính riêng tư khi xử lý và lưu trữ dữ liệu sinh trắc học. Đây là một mối quan t â m an toàn vốn có cho các hệ thống sinh trắc học v ì dữ liệu được sử dụng để xác thực là dữ liệu cá nhân và có thể được điều chỉnh bởi những ràng buộc sử dụng được xác định bởi luật pháp hay quy tắc thực hành ở các nước khác nhau. Tiêu chuẩn này xác định các vai trò của nhà cung cấp và đánh giá viên và quy định cụ thể các yêu cầu và hoạt động của mỗi bên. Mặc dù phương pháp luận là độc lập với sơ đồ, việc tách biệt các vai trò ở đây ph ả n ánh sự cần thiết phải nhận thức các trách nhiệm và h à nh động của đánh giá viên để duy trì tính độc lập với nhà cung cấp. 7. Các tỷ lệ lỗi của hệ thống sinh trắc học 7.1. Giới thiệu Một đặc trưng v ố n có của nhận dạng sinh trắc học đó l à quyết định của hệ thống sinh trắc học tùy thuộc vào các lỗi mà có thể được thể hiện dưới dạng các tỷ lệ lỗi thống kê, ví dụ: các tỷ lệ tiếp nhận sai và từ chối sai. Những tỷ lệ lỗi này và các tham số hiệu suất khác cũng hàm ý về cường độ an toàn được cung cấp bởi một hệ thống sinh trắc học khi được sử dụng để xác thực. Do đó mỗi đánh giá an toàn một hệ thống sinh trắc học sẽ bao gồm việc đánh giá các các tỷ lệ lỗi liên quan đến an toàn. Kiểm thử và báo cáo các tỷ lệ lỗi liên quan đến an toàn trong tiêu chuẩn này dựa vào ISO/IEC 19795-1:2006. Tiêu chuẩn này sử dụng các phần tử hiệu suất sinh trắc học và kiểm thử và báo cáo hiệu suất có liên quan đến việc đánh giá an toàn sinh trắc học. 7.2. Khái niệm - Kiểm thử các tỷ lệ lỗi liên quan đến an toàn Độ tin cậy của chức năng xác minh hoặc định danh sinh trắc học của hệ thống sinh trắc học là yếu tố quan trọng để xác định mức tin cậy có thể trong một quyết định xác thực được cung cấp bởi hệ thống. Độ tin cậy này có thể đo được bằng cách thực hiện đúng việc kiểm thử các tham số hiệu suất hệ thống có liên quan đến đảm bảo xác thực. Đối với một hệ thống kiểm soát truy cập, các tham số này bao gồm Tỷ lệ Tiếp nhận Sai (FAR) và Tỷ lệ Từ chối Sai (FRR), và các tương quan gần của chúng là Tỷ lệ Trùng khớp Sai (FMR) và Tỷ lệ Không trùng khớp Sai (FNMR) (xem định nghĩa chi tiết và sự khác biệt của các thuật ngữ này tại đ iều 4.4 và ISO/IEC 19795-1:2006). Lý do c ả FAR/FMR và FRR/FNMR cần được đo lường đó là tồn tại một mối quan hệ nghịch đảo giữa các kiểu lỗi này đối với hệ thống sinh trắc học và thường có thể điều chỉnh hệ thống để đạt được bất kỳ giá trị FAR/FNMR mong muốn n ế u không giới hạn giá trị FRR/FNMR. Đối với một ứng dụng kiểm soát truy cập, giá trị FAR/FMR có thể biểu thị sự an toàn trong khi giá trị FRR/FNMR tương ứng chỉ t í nh tiện dụng. Sự đánh đổi an toàn/tính tiện dụng này tương tự như trường hợp của mật khẩu khi độ dài mật khẩu và tính ngẫu nhiên (an toàn) có thể đánh đ ổ i với khó khăn trong việc ghi nhớ (tính tiện dụng). Nhiều chính sách an toàn mật kh ẩ u được xây dựng bằng việc chỉ xem xét các khía cạnh an toàn, mà không quan tâm đến khả năng sử dụng. Tuy nhiên đây không được coi là chấp nhận được đối với một hệ thống sinh trắc học. Lý do cho sự không thống nhất rõ rệt này có lẽ là một sự thất bại về tính tiện dụng để xác thực mật kh ẩ u và được xem l à một sự thất bại của con người, trong khi đối với nhận dạng sinh trắc học nó được xem như một sự thất bại của hệ thống. Mục đích của việc đo lường các tỷ lệ lỗi liên quan đ ế n an toàn hệ thống sinh trắc học là cung cấp số liệu đáng tin cậy nhằm thiết lập sự bảo đảm cơ bản cho các quyết định xác minh hoặc nhận dạng được thực hiện bởi hệ thống. Sự kiểm thử các tỷ lệ lỗi liên quan đến an toàn bắt đầu với một yêu cầu an toàn dựa trên sự đáp ứng hoặc c ả i thiện các giới hạn tỷ lệ lỗi danh nghĩa. Kiểm thử hiệu su ấ t sau đó nhằm mục đích chứng minh hoặc bác bỏ yêu cầu này. Ngoài ra, đánh giá viên có thể cần phải xem xét tác động có thể có của người sử dụng kiểm thử có các đặc trưng đặc biệt hoặc việc lựa chọn không ngẫu nhiên người sử dụng kiểm thử lên hiệu suất, và vì vậy lên an toàn. Phương pháp kiểm thử mô tả trong điều này dựa vào khái niệm sáu bước: 1) Nhà cung cấp sẽ cung cấp một mô tả hệ thống và ngữ cảnh sử dụng (xem 7.2.1). 2) Nhà cung cấp sẽ yêu cầu giá trị tối đa cho các tỷ lệ lỗi liên quan đến an toàn (xem 7.2.2). 3) Những yêu cầu phải được kiểm tra bởi đánh giá viên (xem 7.2.3). 4) Nhà cung cấp thực hiện một kiểm thử để chứng minh rằng yêu cầu là đúng, nghĩa là các tỷ lệ lỗi đáp ứng được yêu cầu (xem 7.2.4). 5) Kiểm thử của nhà cung cấp sẽ được đánh giá bởi đánh giá viên (xem 7.2.4). 6) Đánh giá viên thực hiện một kiểm thử độc lập (xem 7.2.5). Các bước n à y sẽ được giới thiệu chi tiết trong các điều theo đây. 7.2.1 . Mô tả hệ thống (bước 1) Nhà cung cấp sẽ cung cấp cho đánh giá viên một mô tả hệ thống sinh trắc học được đánh giá và ngữ cảnh sử dụng của chúng. Mô tả này sẽ bao gồm: - mô tả về mục đích sử dụng của hệ thống, - thông tin về việc sản phẩm được thiết kế đ ể thực hiện xác minh hoặc nhận dạng sinh trắc học, - mô tả về môi trường dự định của hệ thống, - mô tả về dân số mục tiêu của hệ thống, - mô tả tất cả các tham số cấu hình có liên quan đến an toàn (bao gồm tất cả các thiết lập ngưỡng) và các thiết lập đề nghị để đạt được những yêu cầu hiệu suất cho các môi trường dự đ ị nh và d â n số mục tiêu (xem 7.2.2). Mô tả hệ thống này l à quan trọng đối với đánh giá viên để quyết định những yêu cầu tiếp theo trong ngữ cảnh tiêu chuẩn n à y. 7.2.2 . Yêu cầu của nhà cung cấp (bước 2) Nhà cung cấp sẽ đưa ra các yêu cầu hiệu suất dưới dạng tập hợp giá trị các tỷ lệ lỗi liên quan đến an toàn tối đa có thể đạt được đồng thời. Đối với mỗi giá trị được yêu cầu của các tỷ lệ lõi liên quan đến an toàn, nhà cung cấp phải đưa ra (các) ngư ỡ ng làm căn cứ cho yêu cầu. Yêu cầu này gồm ba khía cạnh: - Nhà cung cấp sẽ thực hiện và đưa ra phân tích về những tỷ lệ lỗi nào của hệ thống sinh trắc h ọ c là có liên quan đến an toàn. - Nhà cung cấp sẽ cung c ấ p cho đánh giá viên (các) tập hợp các giá trị các tỷ lệ lỗi liên quan đến an toàn tối đa có thể đạt được đồng thời trong ngữ cảnh các tham số cấu hình có liên quan theo quy định tại 7.2.1. - Nhà cung cấp đưa ra thuyết minh tại sao các giá trị các tỷ lệ lỗi liên quan đến an toàn tối đa là chấp nhận được cho mục đích sử dụng của hệ thống sinh trắc học. 7.2.3 . Kiểm tr a yêu c ầ u của nhà cung cấp (bước 3 ) Đánh giá viên sẽ xác định xem liệu danh sách các tỷ lệ lỗi liên quan đến an toàn là hoàn chỉnh và liệu yêu cầu các giá trị tỷ lệ lỗi tối đa là đầy đ ủ chưa. Họ cũng phải kiểm tra thuyết minh của nhà cung cấp đối với các tỷ l ệ lỗi mà nhà cung cấp xem là không liên quan. Các yếu tố n ê n được xem xét khi quyết định liệu yêu cầu về giá trị tỷ l ệ lỗi tối đa l à đầy đ ủ bao gồm: - trường hợp áp dụng (tương lai) của hệ thống s i nh trắc h ọ c và các nhu cầu an toàn của n ó , - các yêu cầu pháp lý, - các yêu cầu h ợ p đồng (hoặc yêu cầu của khách hàng), - các yêu cầu bắt nguồn từ một phương pháp đánh giá cụ thể được sử dụng. Lưu ý rằng, trong một đánh giá an toàn, đánh giá viên không có trách nhiệm phải quyết định xem liệu yêu cầu về các tỷ lệ lỗi và giá tr ị tối đa của ch ú ng có đáp ứng đ ược các “công nghệ tiên tiến nhất” của công nghệ sinh trắc học hay không, tức là hệ thống sinh trắc học này về mặt lý thuyết có thể đáp ứng các yêu cầu tốt hơn hay không. Các câu h ỏ i c ó liên quan đến kh í a cạnh này nên là các yêu cầu của nhà cung cấp có đáp ứ ng được nhu cầu của khách hàng trong ng ữ cảnh các ứng dụng tương lai của hệ thống sinh trắc học hay không. Đánh giá viên sẽ xem xét tất cả các tỷ lệ lỗi trong ISO/IEC 19795-1:2006 trong ph â n tích của họ đ ể đánh giá danh sách các tỷ lệ lỗi liên quan đến an toàn xác định được đã hoàn chỉnh chưa. Đ ể đảm bảo rằng danh sách tỷ lệ lỗi là hoàn chỉnh, đánh giá viên sẽ ph ả i quyết định cho từng tỷ lệ lỗi được xác định trong ISO/IEC 19795-1:2006 cho dù có liên quan với hệ thống sinh trắc học được đánh giá hay không. Điều căn bản là mỗi tỷ lệ lỗi nên được c â n nhắc là có liên quan. Các lý do hiển nhiên khiến các tỷ lệ lỗi có thể không liên quan gồm: - các yêu cầu pháp lý cụ thể không yêu cầu tỷ lệ lỗi này, - tỷ lệ lỗi ch ỉ áp dụng cho hệ thống nhận dạng sinh trắc học, trong khi đang đánh giá một hệ thống xác minh sinh trắc học, - tỷ lệ lỗi sơ tuyển trong các hệ thống không thực hiện việc sơ tuyển. Nếu nh à cung cấp cho rằng một tỷ lệ lỗi nào đó không có liên quan đến an toàn và điều này không rõ ràng đối với đánh giá viên, nhà cung cấp phải đưa ra thuyết minh b ổ sung để thuyết phục đánh giá viên. Nếu không thì nhà cung cấp phải cung cấp (các) giá trị tỷ lệ lỗi cho tỷ lệ lỗi được xem xét. 7.2.4 . Kiểm thử của nhà cung cấp và đánh giá kiểm thử của nhà cung cấp (bước 4 và 5) Trong khi các điều trước đề cập mỗi bước của phương pháp kiểm thử sáu bước như đ ã giới thiệu trong 7.2, điều này kết hợp các yêu cầu đối với hai bước của phương pháp: - kiểm thử của nhà cung cấp để chứng minh rằng tỷ lệ lỗi được yêu cầu là đúng, tức là tỷ lệ lỗi đáp ứng được yêu cầu. - đánh giá của đánh giá viên đối với kiểm thử này. Điều này mang lại lợi í ch về tính rõ ràng và tính súc tích do các yêu cầu kiểm thử đối với nhà cung cấp và đánh giá viên mang nhiều đặc điểm chung. Nếu có sự khác biệt chúng sẽ được thể hiện ra. Lưu ý rằng nếu các yêu cầu của sơ đồ cụ thể đòi h ỏ i các hoạt động của nhà cung cấp và đánh giá viên phải được lập tài liệu riêng rẽ, có thể sẽ cần thiết phải phân tách các thông tin trong điều này thành 2 điều khác biệt Nh à cung cấp phải lập kế hoạch, thực hiện và lập tài liệu một kiểm thử để chứng minh các tỷ lệ lỗi liên quan đến an toàn được yêu cầu. Kiểm thử này phải tuân theo các phần liên quan của ti ê u chuẩn ISO/IEC 19795-1. Đánh giá viên phải kiểm tra và xác nhận kiểm thử của nhà cung c ấ p. CHÚ THÍCH: Các yêu cầu đối với kiểm thử của nhà cung cấp không ng ă n c ả n việc giao nhiệm vụ cho một tổ chức kiểm thử bên thứ ba. Tuy nhi ê n , một tổ chức như vậy phải độc lập với đánh giá vi ê n r à soát kiểm thử. Vai trò của kiểm thử hiệu suất khi đánh gi á an toàn sinh trắc học là để xác định hoặc xác nhận các tỷ lệ lỗi liên quan đến an toàn được yêu cầu. Việc đánh giá thực hiện theo tiêu chuẩn này phải tuân thủ các tiêu chuẩn kiểm thử và báo cáo hiệu suất quy định tại tiêu ch u ẩn ISO/IEC 19795-1:2006. Ngoài ra, các điều sau đ â y (7.2.4.1 đ ế n 7.2.4.8) mang tính quy định cho các kiểm thử tuân thủ tiêu chuẩn này. Những yêu cầu này mở rộng, hạn chế hoặc nhấn mạnh các yêu cầu đưa ra trong tiêu chuẩn ISO/IEC 19795-1:2006. Trong trường hợp có các yêu cầu mâu thuẫn, các yêu cầu trong tiêu chuẩn này sẽ được ưu tiên. CHÚ THÍCH: Kiểm thử hiệu suất đ ò i hỏi các nguồn l ự c đáng kể. Do đ ó , khuyến cáo nhà cu n g c ấ p và đánh giá viên đồng ý về phư ơn g pháp kiểm thử, thủ tục và định dạng báo cáo bước khi b ắ t đầu kiểm thử hiệu suất, đ ể đảm bảo rằng kiểm thử hiệu suất sẽ đáp ứng các yêu cầu của việc đánh giá. Ngoài các yêu cầu trong ISO/IEC 19795-1:2006, các vấn đề sau đây phải được gi ả i quyết trong quá trình lập kế hoạch và thực hiện kiểm thử, và phải được đưa vào tài liệu kiểm thử: - Bất kỳ giả định nào về kịch bản kiểm thử đã thực hiện s ẽ phải được nêu ra và chứng minh, - Nhóm kiểm thử phải thích hợp với ứng dụng mục tiêu, - Môi trường kiểm thử phải phù hợp với ứng dụng mục tiêu, - Các tỷ lệ lỗi liên quan đến an toàn phải được báo cáo và cho thấy là chấp nhận đ ư ợc cho ứng dụng mục tiêu, - (Các) giá trị ngưỡng liên quan đến an toàn v à các tham số cấu hình phải được thiết lập phù hợp với các khuyến nghị của nhà cung cấp cho việc kiểm thử, - Bộ đếm thử lại được thiết lập phù hợp với các khuyến ngh ị nhà cung cấp, - T ỷ lệ lỗi lần thử đơn lẻ phải được đo lường và báo cáo, - Phương pháp thống kê cho kiểm thử phải được báo cáo và chứng minh bởi nhà cung cấp. Thông tin thêm về các yêu cầu này có thể được tìm th ấ y tr ong các điều tiếp theo dưới đây: 7.2.4.1 . Các giả định Trong mỗi kiểm thử các tỷ lệ lỗi liên quan đến an toàn của một hệ thống sinh trắc học, các giả định phải được đặt ra để thiết kế một kịch bản kiểm thử thích hợp. Nhà cung cấp phải báo cáo tất cả các giả định đã được đặt ra trong giai đoạn thiết kế và kiểm thử. Các giả định thường đề cập: - môi trường dự kiến của hệ thống sinh trắc học, - hành vi mong đợi của người sử dụng dự kiến của hệ thống sinh trắc học, - hành vi mong đợi và nền tảng của các đối tượng tấn công, những k ẻ có thể tấn công hệ thống sinh trắc học trong môi trường hoạt động đã dự định. Mức độ trùng khớp chặt chẽ của các điều kiện kiểm thử và các giả định với điều kiện hoạt động dự kiến sẽ ảnh hưởng đến mức độ tin cậy mà các kết quả kiểm thử dự báo hiệu suất hoạt động của hệ thống sinh trắc học như thế nào. Nhà cung cấp phải báo cáo tất cả các giả định cần thiết đã được đặt ra cho các kiểm thử, đảm bảo rằng những giả định này là phù hợp với việc sử dụng dự kiến của hệ thống sinh trắc học, và đảm bảo rằng các giả định thiết kế kiểm thử sẽ mang lại kết quả đáng tin cậy. Hơn nữa, nhà cung cấp phải cung cấp thông tin về hành vi hệ thống trong trường hợp người sử dụng không mong đợi (tức là người sử dụng không phù hợp với dân số mục ti ê u của hệ thống). Thông tin này sẽ được xem xét trong ngữ cảnh đánh giá lỗ hổng. Đánh giá vi ê n sẽ phân tích các giả định được cung cấp bởi nhà cung cấp để xác minh rằng: - tất cả các giả định cần thiết đã được báo cáo bởi nhà cung cấp, - các giả định phù hợp với dự kiến sử dụng hệ thống sinh trắc học như đ ã được báo cáo của nhà cung cấp, - thiết kế kiểm thử phù hợp với các giả định để các kết quả kiểm thử sẽ được tin cậy. 7.2.4.2 . Nhóm kiểm thử Nh ó m kiểm thử được sử dụng cho việc đánh giá phải - đại diện cho dân số mục tiêu trong hệ thống sinh trắ c học, - đủ lớn để cung cấp sự tin cậy thống kê cần thiết trong các kết quả. Hồ sơ nhân khẩu của nhóm kiểm thử phải trùng khớp một cách chặt chẽ với dân số mục tiêu. Bất kỳ sự chênh lệch nào so với điều kiện này sẽ làm giảm mức độ tin cậy có thể đạt được trong các kết qu ả kiểm thử. Nhà cung cấp phải xác định bất kỳ đặc trưng nào của nhóm kiểm thử có thể làm sai lệch các tỷ lệ lỗi liên quan đến an toàn. Ngoài ra, nh à cung cấp phải báo cáo việc phân bổ các đặc trưng đã được xác định này trong nhóm kiểm thử và dân số mục tiêu của hệ thống sinh trắc học. Phân tích này có thể căn cứ vào dân số mục tiêu giả định như đã được báo cáo b ởi nhà cung cấp. Cần lưu ý rằng, trách nhiệm của đánh giá viên là quyết định liệu độ chênh lệch của nhóm kiểm thử đã được xác định l à đầy đ ủ và có thể chấp nhận được. Do tiêu chuẩn này là độc lập với bất kỳ phương pháp đánh giá cụ thể nào và mức độ chênh lệch có thể được chấp nhận đối với một thiết kế kiểm thử nào đó cũng phụ thuộc vào sự tin cậy có thể đạt được bởi kiểm thử, việc xác định các giới hạn cụ thể trong các chênh lệch như vậy là nằm ngo à i phạm vi của tiêu chuẩn này. Các vấn đề chính đ ể xác định quy mô kiểm thử cần thiết của nhóm kiểm thử là: - mức độ tin cậy cần thiết (được đ ưa ra bởi giá trị tin cậy cụ thể và khoảng tin cậy), - các tỷ lệ lỗi (các tỷ lệ lỗi thấp hơn thường đòi h ỏ i quy mô kiểm thử lớn hơn), - thiết kế của kiểm thử (ví dụ có cho phép nhiều giao dịch đối với người sử dụng). Trong kiểm thử hiệu suất, các tỷ lệ lỗi của hệ thống sinh trắc học được kiểm thử thường không được biết trước khi kiểm thử. Trong tình hình như vậy, quy mô kiểm thử cần thiết có thể chỉ được ước tính (dựa trên tỷ lệ lỗi mong đợi), và giá trị tin cậy đưa ra từ kiểm thử sẽ được tính toán sau khi kiểm thử đã được tiến hành. Tuy nhiên, trong quá trình đánh giá an toàn theo tiêu chuẩn này, yêu cầu về các giá trị tỷ lệ lỗi tố i đa sẽ có sẵn, và yêu cầu này - cùng với thiết kế kiểm thử và mức độ tin cậy cần thiết phải đạt được bởi các kiểm thử - có thể được sử dụng để xác định quy mô cần thiết cho nhóm kiểm thử. Hướng dẫn thêm về cách xác định quy mô kiểm thử cần thiết có thể được tìm thấy trong ISO/IEC 19796-1:2006. Ngoài ra, hành vi của nh ó m kiểm thử liên quan đến sự hợp tác và sự c ẩ n thận của họ khi đưa các đặc trưng sinh trắc học cho hệ thống con thu thập dữ liệu sẽ ả nh hư ở ng đến các tỷ lệ lỗi đo lường được. Do đó, đây là một khía cạnh quan trọng của nhóm kiểm thử đại diện mà hành vi của họ sẽ trùng khớp chặt chẽ với dân số mục tiêu nếu kết quả kiểm thử là một yếu tố dự báo đáng tin cậy của các kết quả hoạt động. Sự xem xét c ầ n phải được đặt ra đối với: - sự hợp tác và động cơ của nh ó m kiểm thử, và - sự quen thuộc của nhóm kiểm thử với việc sử dụng hệ thống sinh trắc học. Nhóm kiểm thử phải được cung cấp các chỉ dẫn, đào tạo và động cơ thích hợp để đảm bảo rằng hành vi của nhóm trùng khớp với dân số mục tiêu đã dự định. Hoạt động vận hành và việc thực hiện các giao dịch tổng thể cũng ph ả i được xem xét để xác định các y ế u tố có thể ảnh hưởng đến các tỷ lệ lỗi (ví dụ như chính sách vệ sinh bộ cảm biến). Kịch bản kiểm thử phải mô phỏng kịch bản hoạt động với tất cả các khía cạnh có thể ảnh hưởng đến các tỷ lệ lỗi hệ thống. Được biết, các điều kiện của quá trình thu nạp đối với nh ó m kiểm thử và các chính sách tương ứng có một tác động đáng kể đến các tỷ lệ lỗi của hệ thống sinh trắc học. Các điều kiện của quá trình thu nạp được sử dụng để kiểm thử phải trùng khớp chặt chẽ với các điều kiện hoạt động của hệ thống sinh trắc học. Bất kỳ thủ tục nào được sử dụng để lựa chọn nh ó m kiểm thử phải được công b ố . Tỷ lệ thu nạp thất bại phải được báo cáo cùng với các kết quả kiểm thử cần thiết khác. Lưu ý r ằng các kiểm thử tỷ lệ lỗi sử dụng các đối tượng mạo danh được lựa chọn vì đặc trưng sinh trắc học của các đối tượng này được biết đến hoặc được tin rằng có các đặc tính đặc biệt dẫn đến khả năng gia tăng sự chấp nhận sai được xử lý như một phần của đánh giá lỗ hổng tại điều 8. Tuy nhiên, nhà cung cấp c ó thể quyết định kết hợp các kiểm thử gồm một tập hợp người sử dụng không phải là đại diện của dân số mục tiêu của hệ thống sinh trắc học với kiểm thử này. 7.2.4.3 . Môi trường Điều kiện môi trường cho kiểm thử của nhà cung cấp được thực hiện càng sát với điều kiện của môi trường dự định càng tốt. Yêu cầu này đảm bảo rằng các điều kiện môi trường của kiểm thử mô phỏng môi trường dự định. Trong trường hợp khác biệt về môi trường, nhà cung cấp phải đưa ra phân tích cho th ấ y sự khác biệt đ ó không ảnh hưởng đến kết quả kiểm thử. Lưu ý rằng câu hỏi liệu điều kiện môi trường khác nhau có thể làm giảm giá trị các tỷ lệ lỗi liên quan đến an toàn cũng sẽ được giải quyết trong ngữ cảnh đánh giá lỗ hổng (xem điều 8). Tất cả các điều kiện môi trường c ó liên quan đến k ị ch bản kiểm thử phải được ghi nhận và báo cáo. Ngoài ra, môi trư ờ ng dự định dành cho hệ thống sinh trắc học phải được báo cáo cùng với kết quả đánh giá. Các y ê u c ầ u tường minh về báo cáo môi tr ư ờng dự định cùng với kết quả kiểm thử hiện hữu cho phép khách hàng của hệ thống sinh trắc học chắc chắn rằng họ vận hành hệ thống sinh trắc học trong một môi trường thích hợp. 7.2.4.4 . Các tỷ lệ lỗi liên quan Nếu một tỷ lệ lỗi được đo phụ thuộc trực tiếp hoặc gián tiếp vào (các) tỷ lệ lỗi khác, các giá trị t ươ ng ứng với những tỷ lệ lỗi khác này phải được xác đị nh cụ thể và báo cáo. Yêu c ầ u này được đưa ra để phòng ngừa khả năng một yêu cầu tỷ lệ lỗi phi thực tế đang được thực hiện mà phụ thuộc vào các giá trị tỷ lệ lỗi bất hợp lý có liên quan thông qua chính sách quyết định. Ví dụ, điều chỉnh một hệ thống sinh t rắc học để đáp ứng yêu cầu của một FAR nhất định sẽ dẫn đến một FRR nhất định (do FAR và FRR c ó mối tương quan). Việc điều chỉnh như vậy là trách nhiệm của nhà cung cấp và là một đặc điểm quan trọng cho phép sử dụng cùng một hệ thống sinh trắc học cho các trường hợp ứng dụng khác nhau. Tuy nhiên, khi sử dụng các giá trị không hợp lý cho ch í nh sách quyết định, việc điều chỉnh kết quả cho một FAR nhất định có th ể dẫn đến một FRR khiến hệ thống không sử dụng được. Mặc dù yêu cầu về tỷ lệ lỗi có liên quan phải được kiểm thử và báo cáo trong những trường hợp này không thể ngăn chặn nhà cung cấp điều chỉnh hệ thống, nó sẽ làm cho những nỗ lực điều chỉnh này và ảnh hưởng của chúng có thể nhận thấy được và để lại quyết định về việc liệu có sử dụng hệ thống sinh trắc học ở (các) thiết lập ngưỡng đ ã sử dụng trong kiểm thử cho khách hàng. Nếu một vòng cong DET đầy đủ là sẵn có từ kiểm thử, khách hàng có thể lựa chọn sử dụng hệ thống ở (các) thiết lập ngưỡng khác nhau. 7.2.4.5. Chính sách quyết định và các thiết lập ngưỡng Tất cả các báo cáo về yêu cầu và đo lường tỷ lệ lỗi ph ả i bao gồm chi tiết về các thiết lập ngưỡng quyết định tương ứng được s ử d ụ ng và, nếu có thể, bất kỳ tiêu chí ngưỡng chất lượng được sử dụng. Kiểm thử hiệu suất nói chung thường đưa ra kết quả là một vòng cong DET thể hiện mối quan hệ giữa các tỷ lệ lỗi (ví dụ: Tỷ lệ Trùng khớp Sai và Tỷ lệ Không Trùng khớp Sai) kh i ngưỡng quyết định trùng khớp/không trùng khớp b ị thay đổi. Tuy nhiên, để đánh giá an toàn, kiểm thử có thể được thực hiện với ch ỉ một hoặc một vài giá t rị ngưỡng quyết định tương ứng với yêu cầu của nhà cung cấp cụ thể về các tỷ lệ lỗi. Trong khi điều này có thể giúp làm giảm nỗ lực cho các kiểm thử cần thiết, điều này cũng có nghĩa r ằ ng hệ thống sinh trắc học đã được kiểm thử theo cách này có thể chỉ được hoạt động sử dụng các điểm hoạt động được khuyến nghị, do kiểm thử không thể cung cấp bất kỳ phát biểu nào về các tỷ lệ lỗi liên quan đến an toàn bên ngoài các điểm hoạt động này. Do đó, tạo ra và báo cáo các v ò ng cong DET hoàn chỉnh, theo cách đ ó cho phép người sử dụng ước tính hiệu suất có thể đạt được ở các thiết lập ngưỡng khác nhau, nên được xem xét nếu một vòng DET cong hoàn toàn có thể được tạo ra với một ít nỗ lực bổ sung. 7.2.4.6. Bộ đếm thử lại Hệ thống sinh trắc học thường cho phép nhiều lần thử nhận dạng đối với một giao dịch đơn lẻ. Đi ề u này thường là để cải thiện khả năng sử dụng của hệ thống bằng cách gi ả m thi ể u Tỷ lệ Từ chối Sai. Tuy nhiên, việc cho phép nhiều lần thử cũng có thể c ó tác dụng phụ không mong muốn khi Tỷ lệ T iế p nhận Sai tăng một mức không đáng kể. Giới hạn t ố i đa dựa trên số lượng lần thử được cho phép thường được áp dụng để ngăn chặn các cuộc tấn công toàn diện, đặc biệt là trong trường hợp sự hoạt động không đ ư ợc giám sát. Điều này thường được thực hiện thông qua bộ đếm thử lại với số l ầ n giới hạn cho một giao dịch đơn lẻ. Lưu ý rằng sẽ thường là cần thiết để áp đặt một giới hạn thời gian chờ nhằm ch ấ m dứt một giao dịch trong trường hợp đối tượng ch ấ m dứt lần thử nhận dạng trước khi giới hạn bộ đ ế m thử lại đạt được. Bộ đếm thử lại thường chỉ kiểm soát số lượng tối đa lần thử nhận dạng. Kịch bản tiêu biểu là đối tượng tạo ra lần thử đầu tiên. N ế u nhận dạng thành công, giao dịch kết thúc thành công. Nếu không, l ầ n thử thứ hai được cho phép mà nếu thành công thì ch ấ m dứt, giao dịch thành công. Nếu không các lần thử tiếp theo được cho phép cho đến khi giới hạn sự thử lại đạt được, sau đ ó , giao dịch kết thúc không thành c ô ng. Hoạt động sử dụng thường là một kết hợp của 1, 2, ..m lần thử giao dịch (trong đó m là giới hạn thử lại). Các đối tượng sẽ thường nhận biết được liệu họ đã được nhận dạng thành công hay không ở mỗi lần thử. Điều này là xác đáng vì hiệu suất (tỷ lệ lỗi) của hệ thống thường bị ảnh hưởng bởi hành vi của đối tượng cũng như khả năng kỹ thuật. Do đó, quan trọng là kịch bản kiểm thử mô phỏng sát v ớ i kịch bản hoạt động nhất có thể nếu kết quả kiểm thử là yếu tố dự báo đáng tin cậy về hiệu suất hoạt động. Nếu một hệ thống sinh trắc học có một cơ chế để hạn chế số lượng tối đa lần thử (tuần tự) sai, nhà cung cấp phải cung cấp mô tả về cơ chế này và các khuyến nghị cho việc thiết l ậ p. Mô t ả này cũng phải diễn tả điều gì xảy ra khi số lượng lần thử tối đa bị vượt qua. Nhà cung cấp phải kiểm thử và báo cáo các tỷ lệ lỗi với sự xem xét thiết lập bộ đếm thử lại. CHÚ THÍCH: Yêu cầu này không quy định số lượng đầy đủ các lần thử được phép thực hiện trong mỗi giao dịch của kiểm thử mà chủ yếu là xác định số lượng lần thử tối đa trong quá trình kiểm thử. Điều này tiếp tục đặt nghĩa vụ cho nhà cung cấp phải báo cáo kết quả phù hợp với các thiết lập của bộ đếm thử lại. Ví dụ, không th ể ki ể m thử và báo cáo Tỷ lệ T ừ chối Sai cho bốn lần thử nếu h ệ thống được kiểm thử chỉ cho phép ba l ầ n thử trong hoạt động sau này. Trong suốt quá trình phân tích, đánh giá viên sẽ xem xét các cơ chế được mô tả và kiểm tra các thiết lập cho bộ đếm thử lại để phù hợp đối với trường hợp áp dụng hệ thống sinh trắc học. Nếu một hệ thống sinh trắc học không có bộ đếm thử lại, nhà cung cấp ph ả i cung cấp cho đánh giá vi ê n một sự biện minh lý do tại sao cơ chế đó là không cần thiết. Một minh chứng có thể cho sự thiếu hụt bộ đếm thử lại là không thể thực hiện nhiều cuộc tấn công ch ố ng lại hệ thống sinh trắc học (ví dụ như d o một giả định của một môi trường được bảo vệ) hoặc các biện pháp phòng thủ thực hiện khi vượt ngưỡng bộ đếm thử lại có thể m ở ra con đường để tấn công từ chối dịch vụ. Bộ đếm thử lại là cơ chế điển hình của các hệ thống xác minh sinh trắc học. Đối với hệ thống nhận dạng sinh trắc học, phương pháp bộ đếm thử lại đơn giản không được áp dụng, do các lần thử liên tiếp không th ể được giả định là đến từ cùng một cá thể. Tuy nhiên, các cơ chế tương đương có thể được thực hiện (ví dụ như kiểm tra các mẫu thăm dò tương tự kế tiếp - nhưng không trùng khớp thành công). Những cơ chế tương đương này phải được xem xét cho yêu cầu này theo cách giống với các bộ đếm thử lại tiêu chuẩn. 7.2.4.7 . Tỷ lệ lỗi l ầ n thử đơn lẻ Hoạt động sử dụng một hệ thống sinh trắc học thường sẽ là một kết hợp của 1, 2, ..m lần thử giao dịch (trong đó m là giới hạn thử lại như mô tả trong 7.2.4 6). Người sử dụng thường nhận thức được liệu họ đ ã được nhận dạng thành công hay không ở m ỗ i lần thử. Điều này là xác đáng bởi hiệu suất (tỷ lệ lỗi) của hệ thống thường b ị ảnh hưởng bởi hành vi của ch ủ thể cũng như khả năng kỹ thuật. Do đó, quan trọng là kịch bản kiểm thử mô phỏng càng sát với kịch bản hoạt động c à ng tốt nếu kết quả kiểm thử là yếu tố dự báo đáng tin cậy về hiệu suất hoạt động. Tuy nhiên, tỷ lệ lỗi tương ứng cho một lần thử đơn l ẻ là phương tiện quan trọng để thực hiện việc đánh giá các hệ thống sinh trắc học tương đương. Không phụ thuộc vào giao dịch và chính sách quyết định, nhà cung cấp cũng phải kiểm thử và báo cáo tỷ lệ lỗi cho n hững lần thử đơn lẻ tương ứng. Theo 7.2.4.6 nhà cung cấp phải kiểm thử và báo cáo các tỷ lệ lỗi liên quan đến an toàn phù hợp với các chính sách quyết định của hệ thống sinh trắc h ọ c. Điều n à y có thể hiểu là cho phép nhiều lần thử trước khi giao dịch của người sử dụng được coi là bị từ chối hoặc các hành động phòng thủ (ví dụ như kh ó a một tài khoản) có thể được thực hiện bởi hệ thống sinh trắc học. Trong khi rõ ràng là những phân tích cơ bản của một tỷ lệ lỗi cần được thực hiện phù hợp với ch í nh sách giao dịch, các đánh giá của các hệ thống khác nhau trở nên ít so sánh được nếu chúng thực hiện các chính sách giao dịch khác nhau. Thông qua kiểm thử (bổ sung) này của tỷ lệ lỗi tương ứng cho các lần thử đơn lẻ, dữ liệu đánh giá sẽ dễ dàng hơn cho so sánh. Ví dụ, nếu nhà cung cấp quyết định kiểm thử và báo cáo FRR phù hợp với chính sách giao dịch của hệ thống sinh trắc học mà cho phép 3 lần thử thất bại trước khi xem xét là giao dịch không thành công, các FNMR (tỷ lệ lỗi lần thử đơn l ẻ tương ứng) phải được kiểm thử và báo cáo. Xem ISO/IEC 19795-1:2006 để biết thông tin chi tiết hơn về mối quan hệ giữa các tỷ lệ lỗi. CHÚ THÍCH: Một số tr ư ờng hợp không th ể ki ể m thử tỷ lệ lỗi l ầ n thử đơn l ẻ tương ứng. Lý do c ó thể gồm việc thi ế t k ế hệ thống sinh tr ắ c học hoặc chính sách kiểm thử đã được xác định bởi một sơ đồ đánh giá c ụ th ể . Trong những trư ờn g hợp này, nhà cung cấp sẽ phải ch ứ ng minh lý do tại sao không thể kiểm thử tỷ lệ lỗi tương ứng. 7.2.4.8 . Ph ư ơng pháp thống kê/các giá tr ị t i n cậy Nhà cung cấp phải báo cáo phương pháp thống kê đã được sử dụng để xác nhận yêu cầu về các giá trị tối đa cho các tỷ lệ lỗi liên quan đến an toàn. Chi tiết về phương pháp thống kê, mức độ tin cậy và các kết quả đánh giá phải được báo cáo bởi nhà cung cấp. Đánh giá viên sẽ xác minh rằng phương pháp thống kê được thực hiện là chính xác và phù hợp để xác nhận yêu cầu. Nhà cung cấp phải báo cáo mức độ tin cậy liên quan đến tỷ lệ lỗi đã được báo cáo và đánh giá viên sẽ kiểm tra các giới hạn tin cậy phù hợp với mục đích sử dụng và mức đảm bảo được yêu cầu. Đối với hướng dẫn bổ sung về các khía cạnh của phương pháp thống kê tham khảo tiêu chuẩn ISO/IEC 19795-1:2006. 7.2.5 . Kiểm thử độc lập (b ướ c 6) Khái niệm của tiêu chuẩn này quy định rằng việc kiểm thử các tỷ lệ lỗi liên quan đến an toàn về cơ bản là được thực hiện, được tài liệu hóa và được báo cáo bởi nhà cung cấp hệ thống sinh trắc học. Tuy nhiên các phương pháp theo quy định của tiêu chuẩn này đòi hỏi đánh giá viên phải xác nhận kết quả kiểm thử nhà cung cấp b ằ ng cách thực hiện một kiểm thử độc l ậ p. Đánh giá viên phải thực hiện các kiểm thử độc lập để kiểm tra các kết quả của nhà cung c ấ p. Trong suốt quá trình kiểm thử độc lập, đánh giá viên sẽ đặc biệt giải quyết các c â u h ỏ i sau: 1) Các kết quả kiểm thử của nhà cung cấp có chính xác không? 2) Có một sự tích lũy các trường hợp có thể chấp nhận sai tồn tại đối với những người sử dụng nhất định? 3) Làm thế nào để thay đổi sự chênh lệch môi trường các kết quả kiểm thử? 4) Làm thế nào để một dạng đặc trưng khác của nhóm kiểm thử được xác định bởi nhà cung cấp g â y ảnh hưởng đến sự chênh lệch các tỷ lệ lỗi liên quan đến an toàn các kết quả kiểm thử? Lưu ý rằng một số câu hỏi yêu cầu kiểm thử độc lập có thể đi kèm với câu hỏi trong lĩnh vực đánh giá lỗ hổng. Đ ể quá trình đánh giá có hiệu quả, đánh giá viên phải xem xét kết hợp các hoạt động kiểm thử này với các ki ể m thử độc lập được mô tả bên tr ê n. Để xác nhận các kết quả kiểm thử của nhà cung cấp, có thể là đ ủ khi đánh giá viên lặp lại một nh ó m nhỏ các kiểm thử. Nhóm nhỏ các kiểm thử có thể, trong số những nhóm nh ỏ khác, giúp xác minh rằng nhà cung cấp đã không làm chênh lệch kết quả kiểm thử bằng cách lựa chọn đối tượng kiểm thử thuận lợi cho kết quả mà họ mong muốn. Trong trường hợp khác, đánh giá viên có thể quyết định sự cần thiết để lập kế hoạch và tiến hành một kiểm thử hoàn toàn riêng biệt. Phân tích độc lập ph ả i đáp ứng các yêu cầu sau: 1) Việc tuyển chọn nhóm kiểm thử/dữ liệu kiểm thử phải chịu sự kiểm soát ri ê ng của đánh giá viên. 2) Lập kế hoạch và thực hiện các kiểm thử phải chịu sự kiểm soát riêng của đánh giá viên. Đánh giá viên cần thực hiện theo tiêu chuẩn ISO/IEC 19795-1: 2006 để lập kế hoạch và thực hiện việc kiểm thử. Tuy nhiên đối với một số khía cạnh của việc kiểm thử độc lập, đánh giá viên sẽ phải xây dựng một phương pháp khác. 8. Đánh giá lỗ hổng 8.1. Tổng quan Điều này tập trung vào việc đánh giá lỗ hổng cụ thể cho hệ thống sinh trắc học. Điều này cung cấp hướng dẫn cho việc đánh giá bằng cách xác định các lỗ hổng đặc trưng, phổ biến đối với hệ thống sinh trắc học và mô tả các đặc trưng của một hệ thống sinh trắc học trong đó những lỗ hổng này tiềm ẩn. Các khía cạnh tiếp theo về môi trường của hệ thống sinh trắc học được xem xét nếu ch ú ng quan trọng trong ngữ cảnh một lỗ hổng tiềm ẩ n, và hướng dẫn chung được cung cấp để đánh giá lỗ hổng. Các thông tin quy định tại điều này sẽ được sử dụng làm cơ s ở cho việc đánh giá lỗ hổng trong ngữ cảnh của tiêu chuẩn này như được nêu trong 6.1. Điều này không: - Mô tả việc đánh giá các lỗ hổng phổ biến cho các hệ thống công nghệ thông tin nói chung. Ví dụ, nếu dữ liệu sinh trắc học, tham chiếu sinh trắc học hoặc quyết định trùng khớp không được bảo vệ, đối tượng tấn công có thể giả mạo dữ liệu đ ể mạo danh người khác. Những lỗ hổng này l à đối tượng của việc đánh giá theo các phương pháp đã được sử dụng (ví dụ như [3]). Tuy nhiên, lỗ hổng chung có liên quan đến việc xử lý thông tin của hệ thống sinh trắc học cũng có thể có những khía cạnh cụ thể được liên quan trong một hệ thống do bản chất của thông tin. Vì vậy, 8.3.11 của tiêu chuẩn này mô tả một lỗ hổng chung đối với các thông tin được xử lý bởi hệ thống sinh trắc học. - Xác định một phương pháp cụ thể để đánh giá lỗ hổng hoặc kiểm thử thâm nhập. Cách tiếp cận trong phần này của tiêu chuẩn cung cấp những hướng dẫn đánh giá cho hệ thống sinh trắc học bằng cách xác định các lỗ hổng chung của hệ thống sinh trắc học và các mối đe dọa đối với hệ thống sinh trắc học. Phương pháp cụ thể cho việc đánh giá lỗ hổng phụ thuộc vào phương pháp được sử dụng để đánh giá (ví dụ [3]) và các phương thức sinh trắc học cụ thể được sử dụng. Như vậy, phần này không thuộc phạm vi của tiêu chuẩn này. 8.2. Đánh giá lỗ hổng 8.2.1 . Tổng quan Cách tiếp cận có phương pháp giúp ích cho việc đánh giá lỗ hổng. Tuy nhiên, việc đánh giá lỗ hổng cũng đòi hỏi chuyên môn và tư duy sáng tạo của bộ phận đánh giá viên. Đánh giá viên s ẽ cần phải nhận thức được về các mối đe dọa, lỗ hổng và biện pháp đối phó hiện có và trong một số t rư ờng hợp cụ thể đối với các hệ thống sinh trắc học. Thông tin về các lỗ hổng sinh trắc học xuất hiện trong mục 8.3 của tiêu chuẩn này nhưng đánh giá viên cũng nên tìm kiếm thêm thông tin sẵn có trong các tài liệu, bao gồm các báo cáo phạm vi công khai về lỗ hổng sinh trắc h ọ c đang xuất hiện trên các tạp chí, các nghiên cứu học thuật và bằng cách tìm kiếm trên Internet. Ngoài ra, đánh giá viên phải thu được kinh nghiệm thực tế về các kỹ thuật điều tra lỗ hổng sinh trắc học như được mô tả trong những báo cáo này. Đi ề u này nên được coi là điều kiện đào tạo tiên quy ế t c ầ n thiết cho đánh giá vi ê n trước khi ti ế n hành một đánh giá lỗ hổng như một phần của đánh giá an toàn sinh trắc học theo tiêu chuẩn này. Một đánh giá an toàn được thực hiện phù hợp với tiêu chuẩn này phải bao gồm một đánh giá lỗ hổng bao hàm t ấ t cả các l ỗ h ổ ng ti ề m ẩ n đ ư ợc mô tả trong 8.3. Đối với các mô tả về các lỗ hổng tiềm ẩn và các yêu cầu, mục này đề cập đến các hệ thống con s i nh trắc học và các quá trình như mô tả trong Phụ lục A của tiêu chuẩn này. Khuyến cáo trong ngữ cảnh của tiêu chuẩn này, sự an toàn của hệ thống sinh trắc học liên quan đến các lỗ h ổ ng tiềm ẩn được đánh giá theo hai bước liên tiếp: Ở Bước 1 , đánh giá viên cần xem xét mô tả hệ thống và tìm cách xác định điểm tiềm ẩn lỗ hổng dựa trên thông tin được đưa ra trong tiêu chuẩn này, chuyên môn riêng của đánh giá viên và các nguồn khác như báo cáo công khai sẵn có về lỗ hổng sinh trắc học và đánh giá lỗ hổng. Sử dụng thông tin được cung cấp bởi nhà cung cấp về đánh giá các lỗ hổng và các biện pháp đối phó đã được thực hiện bởi hệ thống (bao gồm cả môi trường hoạt động giả định), đánh giá viên sẽ xác định xem tất cả các lỗ hổng tiềm ẩn đã được giải quyết một cách hiệu quả bằng biện pháp đối phó kỹ thuật, thủ tục và môi trường. Mức độ yêu cầu về tính hiệu quả của các biện ph á p đối phó được xác định bởi mức độ bảo đảm cần thiết cho việc đánh giá. Chi tiết về mức đảm bảo và yêu cầu hiệu quả phải được xác định bởi sơ đồ đánh giá và không bao hàm trong tiêu chuẩn này. Đánh giá viên xem xét các thông tin được cung cấp và xác định xem liệu có các lỗ hổng tiềm ẩn hay không. Nếu đánh giá viên không thể bác b ỏ sự tồn tại của lỗ hổng tiềm ẩn, th ì lỗ hổng tiềm ẩn này cần được xem xét trong quá trình phân tích sâu hơn trong bước 2. Trong Bước 2 - sau khi t ấ t c ả các lỗ hổng tiềm ẩn đã được đánh giá - khuyến khích phát triển một mô hình mối đe dọa đối với hệ thống sinh trắc học được đánh giá. Mô hình mối đe d ọa này xem xét các kết quả ở bước 1, mối quan hệ giữa tất cả các lỗ hổng của hệ thống sinh trắc học, các mối đe dọa chung đã được xác định tại 8.2.2 và môi trường của hệ thống sinh trắc học. C ần lưu ý rằng lỗ hổng không thể được coi theo cách cô lập với nhau. Có thể, thậm chí là rất có thể, mối đe dọa thành công đối với hệ thống sinh trắc học bao gồm kết hợp khai thác nhiều lỗ hổng trong tổ hợp. Mô hình mối đe dọa nên xem xét tất cả các quá trình sinh trắc học của hệ thống sinh trắc học bao gồm thu nạp và hủy thu nạp. 8.2.2 . Tổng quan v ề m ối đe dọa h ệ th ố ng sinh trắc học Các mối đe dọa đối với hệ thống sinh trắc học có thể tự biểu hiện theo nhiều cách khác nhau nh ư ng chủ yếu nhằm đạt được một hoặc một số các mục tiêu sau: - Mạo danh : Mối đe dọa đối với hệ thống xác minh hoặc định danh làm việc với các yêu cầu dương t í nh trong đ ó một đối tượng tấn công được công nhận là một người sử dụng khác đã được đăng ký đúng, do đó cho phép đối tượng tấn c ô ng này có được ID của người sử dụng khác. - Gi ả dạng : Mối đe dọa đối với hệ thống xác minh hoặc định danh mà một người sử dụng đ ã được thu nạp có thể cố t ì nh thay đổi hoặc che gi ấ u (các) đặc trưng sinh trắc học của chính m ì nh để tránh bị nhận dạng. Đây có thể là một m ố i đe dọa riêng biệt đến hệ thống có mục tiêu ngăn ngừa nhiều thu nạp bởi một cá thể đơn lẻ sử dụng các danh tính khác nhau. - Từ chối dịch vụ : Mối đe dọa tới hệ thống xác minh hoặc định danh làm việc với yêu cầu dương tính mà đối tượng tấn công lặp đi lặp lại gây ra sự từ chối sai, có thể làm sụp đổ hệ thống sinh trắc học. Đ â y c ó thể là sự báo trước của một cuộc tấn công vào hệ thống dự phòng dễ bị khai thác hơn so với hệ thống sinh trắc học bị vô hiệu hóa. Các mối đe dọa chủ yếu được mô tả ở trên có thể được thể hiện rõ trong các cuộc tấn công sử dụng các kỹ thuật khác nhau đối với các quá trình và các thành phần khác nhau được sử dụng bởi hệ thống sinh trắc học. Ví dụ, một k ẻ tấn công có thể mạo danh người khác để thu nạp sai, bằng cách đưa ra một vật giả mạo có chứa bản sao các đặc trưng sinh trắc học của nạn nhân hoặc bằng cách điều khiển cơ sở dữ liệu thu nạp để thay thế tham chiếu sinh trắc học của nạn nhân với tham chiếu của kẻ mạo danh. Các mối đe dọa thường được thực hiện với lần thử có ch ủ ý bởi đối tượng tấn công để phá vỡ chức năng hệ thống. Tuy nhiên, cần lưu ý rằng, trong các tình hu ố ng nhất định, những hành động vô ý của người sử dụng h ợ p pháp (bao gồm cả người sử dụng và vận hành/người quản trị) cũng có thể dẫn đến sự phá v ỡ chức năng hệ thống. Một ví dụ về mạo danh không chủ ý là hệ thống nhận dạng khuôn mặt làm việc trong chế độ định danh, trong đó cặp song sinh giống hệt nhau được thu nạp và xác định sai người này với người kia. Lưu ý rằng nếu hệ thống làm việc trong chế độ xác minh, lỗi này không thể x ả y ra mà không có yêu cầu sai danh tính, khi đó sẽ kh ô ng còn được coi là không chủ ý. Cần lưu ý rằng danh sách các mối đe dọa chung nên được xem như một cơ sở trong việc phát triển mô hình mối đe dọa và không thể được xem là đầy đủ mọi khía cạnh hoặc có thể ứng dụng rộng rãi. 8.2.3 . Các lỗ hổng khác Các lỗ hổng phổ biến được mô tả trong điều 8.3 có thể áp dụng tiềm ẩn cho bất kỳ hệ thống sinh trắc học nào. Các chi tiết sẽ thay đổi theo ph ư ơng thức và công nghệ được sử dụng và các phương thức và công nghệ mới có thể dẫn đến sự thay đổi mới trong các chi tiết. Đánh giá viên c ầ n phải diễn gi ả i những thông tin chung được đưa ra tại 8.3 trong ngữ cảnh các phương thức và công nghệ được sử dụng trong hệ thống sinh trắc học được đánh giá. Danh sách các lỗ hổng phổ biến mô tả trong 8.3 nên được coi là không toàn diện, cũng không h ế t mọi khía cạnh. Đánh giá viên sẽ cần phải nghiên cứu về mặt chức năng của hệ thống sinh trắc học đ ư ợc đ á nh g i á cùng với phương thức và công nghệ của chính hệ thống đó. Từ đó, đánh giá vi ê n c ầ n xây dựng một danh mục các m ố i đe dọa và các lỗ hổng tiềm ẩn c ầ n được sử dụng để đưa ra một chương trình đánh giá lỗ h ổ ng. Đánh giá viên phải tiến hành một tìm kiếm toàn diện các lỗ hổng c ó tính đến chức năng, công nghệ, môi trường và các quá trình được bao hàm trong hệ thống sinh trắc học. Việc tìm kiếm phải không bị giới hạn ở những lỗ hổng được liệt kê trong 8.3 của tiêu chuẩn này. Để xác định tính chính xác và các nguồn lực c ầ n được áp dụng cho việc đánh giá lỗ hổng, đánh giá viên cần thực hiện theo các hướng dẫn được đưa ra bởi các sơ đồ mà việc đánh giá đang được tiến hành. 8.3. Các lỗ hổng phổ biến trong hệ thống sinh trắc học 8.3.1 . Giới thiệu Các điều sau đây xác định và giải thích các lỗ hổng điển hình phổ biến đối với các hệ thống sinh trắc học. 8.3.2 . Các giới hạn hiệu suất 8.3.2.1 . Tổng quan Một đặc trưng cố hữu của nhận dạng sinh trắc học đó là đây không ph ả i là một quá trình hoàn toàn xác định mà phải ch ị u các lỗi có thể được biểu diễn theo các tỷ lệ lỗi thống kê tương tự như các yếu tố con người tham gia vào hệ thống an toàn phi sinh trắc học - ví dụ, tỷ lệ tiếp nhận sai và tỷ lệ từ chối sai. Các tỷ lệ lỗi này và các thông số hiệu năng khác cũng có ý nghĩa về mức độ an toàn được cung cấp bởi hệ thống sinh trắc học. Trong khi điều 7 của ti ê u chu ẩ n này và tiêu chuẩn ISO/IEC 19795-1: 2006 giải quyết các yêu cầu và nguyên tắc liên quan đến việc kiểm thử các tỷ lệ lỗi liên quan đến an toàn, sự tồn tại của những tỷ lệ lỗi đại diện cho một lỗ hổng vốn có của mỗi hệ thống sinh trắc học. 8.3.2.2 . Đánh giá Trong ngữ cảnh đánh giá lỗ hổng, đánh giá viên cần xem xét khả năng đối tượng tấn công nhằm phá vỡ hệ thống sinh trắc học với một lần thử đối tượng mạo danh không cố ý. Có hai yếu tố chính trong ngữ cảnh này. - Kh ả năng một cuộc tấn công thông thường. Khả năng này được xác định bởi các yếu tố bao gồm cả động cơ của đối tượng t ấ n công, môi trường của hệ thống sinh trắc học và hậu quả mỗi cuộc tấn công được phát hiện. - Cơ hội để một cuộc tấn công thông thường được thành công. Điều này có thể được định lượng theo FAR, vì vậy nếu FAR là 1 trong 10 000, xác suất của một cuộc tấn công thông thường được thành c ô ng có thể được xác định là 0,01 %. Hai y ế u tố này nhìn chung sẽ không độc lập. Nếu một hệ thống đ ư ợc biết đến hoặc được cho là dễ bị tấn công thông thường (thành công), yếu tố kh ả năng có thể s ẽ tăng lên. Trái lại nếu hệ thống được biết đến hoặc được cho là có kh ả năng ch ố ng các cuộc tấn công thông thường (thành công), điều này có thể sẽ làm gi ả m yếu tố khả năng. Việc đánh giá lỗ hổng tiềm ẩn này tập trung vào những yếu tố sau: - Tầm quan trọng của rủi ro c ò n lại của một lần thử đối tượng mạo danh không cố ý dựa trên kết quả các kiểm thử nêu tại điều 7 và các khía cạnh đã được mô tả trước đó. - Liệu rủi ro này là có thể chấp nhận được cho các mục đích sử dụng hệ thống sinh trắc học được đánh giá. Cần lưu ý rằng - trái ngược với lỗ hổng phổ biến khác - r ấ t khó để có một hệ thống sinh trắc học hoàn toàn bất khả xâm phạm đối với lần thử đối tượng mạo danh không cố ý. Do đó, phân tích nên tập trung vào câu hỏi liệu các rủi ro còn lại của những lần thử là có thể chấp nhận được tr ong ngữ cảnh mục đích sử dụng hoặc liệu cơ chế bổ sung được thiết kế để ngăn chặn những lần thử này có cần được cung cấp bởi môi trường của hệ thống sinh trắc học. 8.3.3 . Vật giả mạo của đặc trưng sinh trắc học 8.3.3.1 . Giới thiệu Trong ngữ cảnh một hệ thống sinh trắc học, vật giả mạo được định nghĩa là một đối tượng vô tri vô giác mang theo bản sao của một con người hay (các) đặc trưng sinh trắc học giống như con người được đưa tới bộ c ả m biến sinh trắc học v ớ i mục đích giả mạo, để được chấp nhận như là (các) đặc trưng sinh trắc học của một đối tượng con người. Ví dụ về vật giả mạo sinh trắc học bao gồm: các ngón tay giả được tạo ra từ mủ cao su, bức ảnh một khuôn mặt hay giọng nói được ghi âm. Ngoài ra, một ngón tay bị cắt đứt của con người (hoặc bất kỳ phần cơ thể bị tách rời) được coi là một vật giả mạo trong ngữ cảnh của phần này. Không giống như các thiết bị nhận dạng và xác thực kỹ thuật khác, như th ẻ thông minh, được thiết kế nhằm g â y khó khăn cho việc sao chép, đặc trưng sinh trắc học, là đặc tính sinh học hoặc hành vi tự nhiên của con người, thực chất không có sự bảo vệ bản quyền. Do đó, thông thường có thể tạo ra một bản sao của đặc trưng sinh trắc học trong hình thức của một vật giả mạo. Vật gi ả mạo mang đặc trưng thường là một bản sao các đặc trưng sinh trắc học của một chủ thể con người, nhưng không giới hạn trường hợp này. Vật giả mạo có thể được xây dựng chứa đựng một mẫu tổng hợp mà không phù hợp với đặc trưng sinh trắc học của một người cụ thể hoặc thậm chí của bất kỳ ngư ờ i thực nào. Tuy nhiên, điểm quan trọng nhất trong việc đánh giá lỗ hổng tiềm ẩn này là liệu hệ thống sinh trắc học s ẽ tiếp nhận một vật giả mạo như một đặc trưng sinh trắc học h ợ p lệ. 8.3.3.2 . Đánh giá Hai vấn đề quan trọng của việc đánh giá lỗ hổng là: - Hệ thống sẽ tiếp nhận vật giả mạo? - Hệ thống sẽ xử lý các đặc trưng của vật giả mạo như là các đặc trưng sinh trắc học của con người? Việc phân biệt hai trường hợp này là có ý nghĩa bởi v ì một vật giả mạo không bị giới hạn trong việc mang theo một bản sao đặc trưng sinh trắc học của con người; vật giả mạo có thể mang theo bất kỳ mẫu tổng hợp nào. Một hệ thống sinh trắc học tiếp nhận đặc tr ư ng sinh trắc học thực tế t ừ một vật giả mạo có thể từ chối một mẫu tổng hợp trên vật giả mạo vì n ó không hoàn toàn giống như con người. Đánh giá viên n ê n cố gắng phân biệt hai trường hợp này bằng cách ban đầu sử dụng các b ả n sao thực tế với các đặc trưng của con người, và nếu chúng được ti ế p nhận th ì tiếp tục với trường hợp đặc t rư ng tổng hợp (xem 8.3.8 để biết thêm chi tiết). Việc đánh giá lỗ hổng tiềm ẩn này sẽ tập trung vào các câu hỏi sau: - Liệu c ó thể tạo ra vật giả mạo của đặc trưng sinh trắc học được nhận thức ch ỉ bằng những thông tin sẵn có công khai hoặc liệu thông tin nhạy c ả m sẽ được yêu cầu. - Để tạo ra một vật giả mạo đòi hỏi bao nhiêu nỗ lực. - Liệu hệ thống sinh trắc học cung cấp các biện pháp đối phó kỹ thuật nhằm phát hiện và từ chối vật giả mạo, và các biện pháp đối phó có hiệu quả như thế nào trong hệ thống sinh trắc học được đánh giá. - Liệu các biện pháp đối phó kỹ thuật dành cho việc phát hiện và từ chối vật giả mạo có bất kỳ hạn chế nào được biết đến đối với các đặc điểm kỹ thuật hoặc điều kiện hoạt động có thể bị khai thác bởi đối tượng tấn công. Nhà cung cấp hệ thống sinh trắc học phải cung cấp đầy đ ủ thông tin về các cơ chế phát hiện và từ chối vật giả mạo cho đánh giá viên. CHÚ THÍCH 1: Th ô ng tin v ề phát hiện và từ chối vật giả m ạo có t h ể được bảo mật và đại diện cho “ điểm ảnh hưởng ” của nhà cung cấp. Vậy n ê n, điều rất quan trọng là th ô ng tin chi tiết n à y ch ỉ được cung cấp cho đánh giá vi ê n và không cung cấp cho bất kỳ khách hàng nào. Điều này cũng th ừ a nhận rằng đánh giá viên l à thành viên đáng tin cậy nhờ sự độc lập của họ với khách hàng và nhà cung cấp. CHÚ THÍCH 2: Trong trường hợp một phần cơ thể bị tách ra từ người sử dụng có thể là một vật giả mạo, c ầ n phải đánh giá phần bị t ách ra có thể được sử dụng với hệ thống sinh trắc học trong bao lâu. Yêu cầu có thể được thực hiện từ góc độ y tế. Không có kiểm tra thực nghiệm cho trường hợp này. Tầm quan trọng của việc có biện pháp đối phó hiệu quả đối với vật giả mạo liên quan đến những khó khăn trong việc chế tạo thành công vật giả m ạo , và kh ó khăn để có được một bản sao các đặc trưng con người mục tiêu (giả định rằng đ â y là mục đích của đối tượng tấn công). Một số đặc trưng (ví dụ như mẫu võng mạc hoặc mẫu ố ng/mạch khác) sẽ khó để có được trực tiếp từ các mục tiêu; các đặc trưng khác (ví dụ như hình ảnh khuôn mặt) có thể có được dễ dàng. Cũng cần xem xét khả năng các đặc trưng sinh trắc học của một mục tiêu có thể có được bằng các cách khác như từ một cơ sở dữ liệu không an toàn có chứa các mẫu sinh trắc học đã thu được. Nh ữ ng yếu tố này được coi là một phần của ph â n tích rủi ro tổng thể nhằm xác định hiệu quả của biện pháp đối phó vật giả mạo c ầ n cho một hệ thống cụ thể. Một số hoặc tất cả các yếu tố này có thể không đư ợ c biết đến tại thời điểm đánh giá và d o đ ó khuyến nghị để việc đánh giá được tiến hành trong sự tuân thủ với tiêu chuẩn này, tất cả các yếu tố đó đều bị bỏ qua. Việc đánh giá hiệu quả các biện pháp đối phó vật giả mạo phải được thực hiện và báo cáo một cách độc lập với những mối quan tâm bên ngoài. Các mô hình rủi ro hệ thống và quá trình đánh giá (không được xác định trong tiêu chuẩn này) sẽ được sử dụng để xác định xem liệu kết quả của việc đánh giá hiệu quả các biện pháp đối phó vật giả mạo là có thể chấp nhận được trong ngữ cảnh của hệ thống sử dụng. 8.3.4 . Điều chỉnh đặc tr ư ng sinh trắc học 8.3.4.1 . Tổng quan Người sử dụng hệ thống sinh trắc học có thể cố ý thay đổi các đặc trưng sinh trắc học của họ hoặc thể hiện các đặc trưng với cố gắng tránh bị nhận dạng hoặc để mạo danh một đối tượng thu nạp. Những đặc trưng sinh trắc học như vậy có thể mang bản chất hành vi hoặc sinh học. Những đặc trưng sinh trắc học và các mẫu tương ứng có thể thay đổi vì một số lý do. Đối với sinh trắc học mang tính hành vi như lời thoại và chữ ký động, ngư ờ i sử dụng có thể thay đổi có chủ ý hành vi thông thường của họ. Một ví dụ về đặc trưng sinh trắc học sinh học là d ấu vân tay mà người sử dụng có thể thay đổi có chủ ý sự thể hiện của ngón tay của họ với các thiết bị thu thập để thay đổi mẫu thu thập được. Điều này có thể được thực hiện bởi người sử dụng để ngụy trang bản thân nhằm tránh bị nhận dạng, hơn nữa là mạo danh người khác. Tuy nhiên, việc mạo danh đặc điểm sinh học của người dùng khác (sinh trắc học trên khuôn mặt, chẳng hạn) cũng là khả năng có thể, trong một mức độ nhất định, thông qua việc hóa trang hoặc phẫu thuật thẩm mỹ. Những cuộc tấn công này không yêu cầu sử dụng vật giả mạo và không thể b ị chặn lại bằng các kỹ thuật được th iế t kế để ch ố ng lại các vật giả mạo. 8.3.4.2 . Đánh giá Các điểm quan trọng trong việc đánh giá lỗ hổng tiềm ẩn này là liệu b ả n th â n các đặc trưng sinh trắc học hoặc mẫu sinh trắc học thu thập được có thể bị thay đổi có chủ ý bởi một người sử dụng bằng cách mà hệ thống không thể nhận ra người đó. Điều này sẽ dẫn đến một mối đe dọa mạo danh hoặc từ chối dịch vụ. Câu hỏi quan trọng khác là liệu bản thân các đặc trưng sinh trắc học hoặc mẫu sinh trắc học thu thập được có thể bị cố ý sửa đổi để hệ thống nhận dạng sai người sử dụng thành một người sử dụng khác. Điều này sẽ dẫn đến n guy cơ mạo danh. Việc đánh giá lỗ hổng tiềm ẩn này sẽ tập trung vào câu hỏi liệu đối tượng tấn công có thể thay đổi đặc trưng sinh trắc học của họ theo cách mà hệ thống sinh trắc học chấp nhận được và bao nhiêu nỗ lực và những loại thông tin nào sẽ là cần thiết cho một cuộc tấn công như vậy. Hơn nữa trong các trường hợp mà đ â y có thể là mục tiêu của đối tượng tấn công, cần chú ý đến thực tế là đối tượng tấn công trước đ â y đã được thu nạp vào hệ thống có thể cố gắng sửa đổi (các) đặc trưng sinh trắc học của họ để tr ánh bị nhận dạng (ví dụ như trong hệ thống có một mục tiêu ngăn chặn thu nạp nhiều lần bởi duy nhất một cá thể). Để xác định sự nhạy cảm của các tỷ lệ lỗi liên quan đến an toàn t ớ i ngư ờ i sử dụng đã tạo ra những thay đổi về các đặc trưng sinh trắc học hoặc s ự thể hiện của chúng, đánh giá viên phải tiến hành kiểm thử đại diện của thể hiện đó dựa vào tỷ lệ lỗi gây ra bởi những thay đổi này. Đặc trưng sinh trắc học và sự thể hiện được phép thay đổi sẽ được xác định và kiểm soát cho kiểm thử. Chúng cần đầy đủ để chứng minh hiệu quả l ê n các tỷ lệ lỗi nhưng không quá lớn khi ế n hệ thống đơn giản sẽ không hoạt động. Có thể không cần phải sử dụng nhóm kiểm thử hoàn chỉnh (cho các kiểm thử hiệu suất quy định tại điều 7). Một mẫu kiểm thử nhỏ của người sử dụng kiểm thử thường sẽ là đủ để cho thấy sự ả nh hưởng của các thay đổi do người sử dụng gây ra đ ố i v ớ i hiệu suất hệ thống. Đối với đặc trưng sinh trắc học tĩnh như dấu vân tay, giám sát việc sử dụng hệ thống sinh trắc học có thể là một biện pháp đối phó mang tính vận hành ch ố ng lại lỗ hổng này. Tuy nhiên cần lưu ý biện pháp đối phó này có thể không có hiệu quả cho các đặc trưng sinh tr ắc học mang tính hành vi, do nhân viên giám sát không có kh ả năng xác định xem người dùng đã cố ý thay đổi dữ liệu sinh trắc học của m ì nh. Cần lưu ý rằng có thể có một mối quan hệ giữa lỗ hổng này với các lỗ hổng đã mô tả trong 8.3.5 ( “ Khó khăn của việc che giấu đặc trưng sinh trắc học”). Điều này đặc biệt đúng nếu đối tượng tấn công đang cố gắng để được công nhận là một người dùng khác và cần sự hiểu biết về đặc trưng sinh trắc học của người sử dụng này để chuyển đổi đặc trưng sinh trắc học của mình. 8.3.5 . Khó khăn của việc che giấu đặc trư ng sinh trắc học 8.3.5.1 . Tổng quan Sẽ khó khăn cho một người sử dụng c ố tình che gi ấ u đặc trưng sinh trắc học trong cuộc sống hàng ngày của họ. Kiểu lỗ hổng tiềm ẩn này phụ thuộc vào bản chất của các đặc trưng sinh trắc học được sử dụng bởi hệ thống sinh trắc học hơn là các chức năng hệ thống sinh trắc học hoặc môi trường của hệ thống sinh trắc học. Lỗ hổng tiềm ẩn này không bao gồm rò r ỉ dữ liệu sinh trắc học từ hệ thống sinh trắc học (xem 8.3.11 để biết th ê m thông tin về trường hợp này). Ngay cả khi biện pháp đối phó chống rò rỉ dữ liệu sinh trắc học trong các hệ thống đ ủ mạnh, đối tượng tấn công có thể có được mẫu sinh trắc học của người sử dụng một cách hợp pháp, trực tiếp từ người sử dụng. Ví dụ, đối tượng t ấ n công có thể có được một dấu v â n tay đ ể lại trên các thiết bị thu thập sinh trắc học, cốc, ly, bàn ghế, v.v... Ngoài ra, khuôn mặt hay giọng nói có thể bị đối tượng tấn công ghi lại bằng m á y ảnh hoặc microphone. Các đặc trưng sinh trắc học quan sát được có thể tr ở thành cơ sở để tạo ra một vật giả mạo hoặc trở thành một đối tượng mục tiêu để chuyển đổi các đặc trưng sinh trắc học của đối tượng tấn công (xem 8.3.3 và 8.3.4 để biết thêm thông tin). 8.3.5.2 . Đánh giá Điểm quan trọng trong việc đánh giá lỗ hổng tiềm ẩn này là sự khó khăn đối với đối tượng tấn công để có được dữ liệu sinh trắc học của người sử dụng trong cuộc sống hàng ngày. Ví dụ, nếu có một dấu vết của dữ liệu sinh trắc học ở một nơi nào đó (ví dụ, tr ê n một bộ cảm biến dấu vân tay), đối tượng tấn công sẽ dễ dàng có được dữ liệu hơn là đạt được dữ liệu trực tiếp từ người sử dụng. Việc có được dữ liệu sinh trắc học bằng cách sử dụng một công cụ phổ biến sẵn có (ví dụ nh ư máy ảnh, microphone, v.v...) c ũ ng dễ d àng hơn là sử dụng một thiết bị thu thập chuyên dụng. Việc đánh giá lỗ hổng tiềm ẩn này sẽ tập trung vào câu hỏi liệu có thể quan sát đặc trưng sinh trắc học của người sử dụng trong cuộc sống hàng ngày của họ theo cách mà cho phép lạm dụng (ví dụ, bằng cách làm giả) và những khó khăn của việc n à y. Một khía cạnh đặc biệt của lỗ hổng này là câu hỏi liệu dữ liệu sinh trắc học vẫn còn trên các thiết bị thu thập của hệ thống sinh trắc học sau khi sử dụng và liệu dữ liệu còn sót lại này có thể bị lạm dụng. Mặc dù thực tế trong cuộc sống hàng ngày có thể khó khăn để che giấu một đặc trưng sinh trắc học được coi là một lỗ hổng trong ngữ cảnh của tiêu chuẩn n à y, cần lưu ý khả nă ng một hệ thống sinh trắc học không thể làm bất cứ điều g ì để chống lại lỗ hổng đó. Nếu lỗ hổng này hiện hữu cho đặc trưng sinh trắc học đã được sử dụng thì nó thuộc phạm vi của việc đánh giá l ỗ h ổ ng để quyết định xem liệu rủi ro liên quan đến lỗ hổng này là có thể chấp nhận được hay không - cũng trong ngữ cảnh của các lỗ hổng khác của hệ thống sinh trắc học. Cần lưu ý rằng lỗ hổng này có một mối liên hệ chặt chẽ với các lỗ hổng được mô tả trong 8.3.3 ( “ Vật giả mạo của đặc trưng sinh trắc học”) và 8.3.4 ( “ Điều chỉnh các đặc trưng sinh trắc học”). 8.3.6 . T ươ ng đồng do có quan hệ huyết th ố ng 8.3.6.1 . Tổng quan Có một lỗ hổng tiềm ẩn trong mối tương đồng tự nhiên của các đặc trưng sinh trắc học giữa những người có quan hệ huyết thống. Lỗ hổng này có thể d ẫn đến mối đe dọa cho phép một cá thể mạo danh người có quan hệ huyết thống. Một trường hợp rõ ràng là cặp song sinh giống hệt nhau và các hệ thống sinh trắc học sử dụng phương thức cụ thể như khuôn mặt và DNA. Trong trường hợp khác, và tổng quan hơn, có thể có một sự tương đồng đáng kể về mặt thống kê của một số đặc trưng sinh trắc học nhất định giữa những người có quan hệ huyết thống hơn l à giữa các cá thể không liên quan. Những tương đồng như vậy có thể dẫn đến thống kê Tỷ l ệ Trùng khớp Sai cao hơn so với bình thường giữa những cá th ể có quan hệ huyết th ốn g so với những cá th ể được lựa chọn ngẫu nhiên. Kiểu lỗ hổng tiềm ẩn này không bao gồm sự tương đồng tự nhiên khi một s ố dữ liệu sinh trắc học giữa những người sử dụng không có bất kỳ mối quan hệ huyết thống nào lại tương đồng một cách ngẫu nhiên. Kiểu tương đồng này nằm trong ngữ cảnh hiệu suất của hệ thống sinh trắc học như đã nêu tại đ iề u 7. 8.3.6.2 . Đánh giá Đánh giá lỗ hổng tiềm ẩn này sẽ tập trung vào câu hỏi: - Hiệu quả của những mối tương đồng như trên lên c á c tỷ lệ lỗi liên quan đến an toàn là gì? - Liệu các tỷ lệ lỗi li ên quan đến an toàn ở những người có quan hệ huyết thống là cao hơn so với những người d ùng khác. CHÚ THÍCH: C ần lưu ý rằng việc đánh giá lỗ hổng tiềm ẩn này không nh ấ t thiết phải tập trung vào các v ấ n đ ề khoa học về việc mỗi bộ đặc trưng sinh trắc học từ những người sử dụng có quan hệ huy ế t thống về bản chất có t ư ơng đồng nh ư th ế nào. Đi ể m quan trọng của việc đánh giá là liệu dữ liệu sinh trắc học được sử dụng bởi hệ thống có mối tương đồng cao hơn giữa những người có quan hệ huyết thống so với những người dùng khác. Một kiểm thử đo lường sự tương đồng của các đặc trưng sinh trắc học giữa những người có quan hệ huyết thống có thể được xem như là một đánh giá về các tỷ lệ lỗi liên quan đến an toàn trong những điều kiện đặc biệt. Trong kiểm thử như vậy, các tỷ lệ lỗi liên quan được tính cho một nhóm kiểm thử bao gồm các thành viên không có quan hệ huyết thống được so sánh với các tỷ lệ lỗi tương ứng được t í nh cho một nhóm kiểm thử của những người có quan hệ huyết thống. Việc đánh giá độ chính xác này n ê n thực hiện theo cùng nguyên tắc với kiểm thử các tỷ lệ lỗi liên quan đến an toàn được mô tả tại điều 7. Tuy nhiên, cần lưu ý rằng có thể rất kh ó có đủ số lượng mẫu từ những người có quan hệ huyết thống để đáp ứng tất cả các tiêu chí thống kê cho một kiểm thử như vậy. Trong những trường hợp này, đánh giá viên có thể xem xét thông tin về nền t ả ng sinh học của đặc trưng sinh trắc học và các đặc trưng của thành phần Trích xuất Đặc điểm của hệ thống sinh trắc học để đảm bảo sự đầy đủ. Các trường hợp tư ơ ng đồng tự nhiên của các đặc trưng sinh trắc học của những người có quan hệ huyết thống đe dọa đến sự an toàn của hệ thống sinh trắc học sẽ cần phải được giải quyết trong chiến lược qu ả n l ý rủi ro t ổ ng thể. Điều này nằm ngoài phạm vi của tiêu chuẩn này. 8.3.7 . Đặc trưng sinh trắc học đặc biệt 8.3.7.1 . Tổng quan Các hệ thống sinh trắc học thường được thiết kế để cung cấp tối đa mức độ phân biệt giữa những đối tượng thu nạp khác nhau, đồng thời giảm thiểu mức độ khác biệt giữa các mẫu khác nhau thu thập được từ cùng một đối tượng thu nạp. Tuy nhiên đối với mỗi hệ thống có thể có các cá thể với các đặc trưng sinh trắc học đặc biệt nằm ngoài phạm vi thiết kế bình thường của hệ thống và do đó mang lại tỷ lệ lỗi cao hơn đáng kể so với bình thường. Các đặc trưng sinh trắc học đặc biệt có thể dẫn đến lỗ hổng nếu chúng tạo ra kết quả các tỷ lệ lỗi cao hơn so với kết quả đo lường bằng kiểm thử hiệu suất thống kê thông thường của điều 7. Lưu ý rằng những đặc trưng sinh trắc học đặc biệt này không phải l à kết quả của bất kỳ sự điều chỉnh có chủ ý các đặc t rư ng như mô tả trong 8.3.4. Người sử dụng có các tỷ lệ lỗi cao hơn hoặc thấp hơn so với bình thường đối với một hệ thống sinh trắc học đôi khi được gọi là các “ goat”, “ lamb” hay “ wolf ”, tùy thuộc vào tỷ lệ l ỗ i bị ảnh hưởng và chiều hướng hiệu quả. Mặc dù các nh ã n này được gắn với các đối tượng, điều quan trọng là nhận ra rằng hiệu quả là một hàm số của sự tương tác giữa người sử dụng và hệ thống. Người sử dụng được phân loại là “ wolf ” trong một hệ thống sinh trắc học có thể sẽ không là wolf trong hệ thống khác đang sử dụng phương thức tương tự nhưng được thực hiện với công nghệ khác. 8.3.7.2 . Đánh giá Lỗ hổng tiềm ẩn này có thể được điều tra bằng cách kiểm tra các kết quả của kiểm thử hiệu suất được mô tả trong điều 7 để xác định, đối với mỗi lỗi có liên quan đến an toàn, liệu có một số người dùng nào đó có các tỷ lệ lỗi lớn hơn đáng kể so với giá trị bình thường của toàn thể nhóm kiểm thử. Nếu lỗ hổng này được phát hiện trong quá trình đánh giá thì lỗ hổng phải được báo cáo. Người triển khai và ch ủ sở hữu hệ thống tương lai sẽ cần phải xác định, như một phần của phân tích rủi ro hệ thống tổng thể, đến mức độ nào th ì lỗ hổng có thể là một mối đe dọa thực tế. C ần xem xét tính khả thi cho đối tượng tấn công đạt được những kiến thức cần thiết về sự tồn tại của lỗ hổng và có thể khai thác n ó . Các quá trình kiểm toán hoạt động c ó thể là một biện pháp đối phó chống lại lỗ hổng này. Ví dụ kiểm tra cơ sở dữ liệu thu nạp ngoại tuyến để tìm ra lỗ hổng đối tượng thu nạp (những đối tượng thu nạp có sự trùng khớp gần với các đối tượng thu nạp khác mà có thể là mục tiêu mạo d anh) hoặc kiểm tra trực tuy ế n sự trùng khớp gần (tức là trường hợp trùng khớp gần giữa các cá thể khác nhau đ ể phân biệt với FRR cho cùng một cá thể). Điều này đặc biệt quan trọng trong trường hợp của các hệ thống định danh sinh trắc học không cần yêu cầu về danh t í nh. 8.3.8 . Các mẫu sinh trắc học wolf tổng hợp 8.3.8.1 . Tổng quan Nếu một hệ thống sinh trắc học tạo ra các tỷ lệ lỗi cao không bình thường khi những đặc trưng sinh trắc học bất thường nào đó thể hiện, điều này có thể gây ra một lỗ hổng. Ví dụ về các đặc trưng bất thường có thể là các đặc trưng có số lượng đặc điểm lớn hoặc nhỏ một cách không bình thường. Các đặc trưng như vậy có thể không đại diện cho bất kỳ đặc trưng sinh trắc học của con người, nhưng có thể được tổng hợp và sao chép vào một vật giả mạo. Ngoài ra, một đặc trưng tổng hợp có thể được tiêm nhiễm bằng điện trong một cuộc t ấ n công thực hiện lại hoặc được gài vào cơ sở dữ liệu tham chiếu. Một đặc trưng như vậy có thể đóng vai trò là một “chìa khóa đa năng ” sinh trắc học bằng cách tạo ra sự trùng khớp rõ rệt đối với một loạt các đối tượng thu nạp bình thường hay đối tượng mạo danh. Hình thức m ẫ u sinh trắc học wolf tổng hợp như vậy sẽ phụ thuộc vào phương thức và công nghệ được sử dụng. Ví dụ điển hình có thể bao gồm: - các tập hợp đ ặ c điểm có chứa một số lượng lớn hay nhỏ các đặc điểm bất thường, ví dụ: tiểu tiết dấu vân tay - các tập hợp đặc điểm bao gồm các đặc điểm sinh trắc học hỗn hợp từ 2 hoặc nhiều cá thể, ví dụ: như các hình ảnh khu ô n mặt đã được thay đổi. Phương pháp đối phó có thể gồm: - Ở giai đoạn kiểm soát chất lượng hình ảnh, phát hiện c á c tập hợp đặc đi ể m có số lượng lớn hay nhỏ bất thư ờ ng. - Ở giai đoạn so sánh, tính điểm chính xác phần tương đồng và không tương đồng giữa mẫu kh ả o sát và tập hợp đặc điểm tham chiếu. 8.3.8.2 . Đánh giá Việc đánh giá cần xác định liệu các đặc trưng sinh trắc học tổng hợp với các đặc điểm bất thường có được tiếp nhận bởi hệ thống sinh trắc học và có thể dẫn đến các sự cố trùng khớp sai cho các tham chiếu đối tượng thu nạp thông thường hay không. Đánh giá viên cần đánh giá lỗ hổng tiềm ẩn này một cách có phương pháp. Thứ nhất, một điều tra trực tiếp các thuật toán sinh trắc học nên được thực hiện để xác định các thuật toán này có chấp nhận và xử lý các đầu vào bất thường hay không. Điều này có thể đư ợ c thực hiện bằng cách cấy dữ liệu bất thường tổng hợp ở những nơi thích hợp trong cơ sở dữ liệu và cho phép dữ liệu được xử lý (đầu vào và so sánh) để quan sát xem liệu dữ liệu kiểm thử được tiếp nhận bởi các thuật toán kiểm soát chất lượng và được tính điểm thành công so với tham chiếu kiểm thử bằng thuật toán so sánh. Dữ liệu ki ể m thử có thể được tổng hợp để mô phỏng bất kỳ điều kiện cụ thể nào mà đánh giá viên mong muốn điều tra. Nếu lỗ hổng được tìm th ấ y trong một thuật toán, đánh giá viên sau đó cần phải xác định liệu lỗ hổng này có thể bị khai thác trong ngữ cảnh hệ thống hoạt động. Đường hướng th ă m dò bao gồm: - khả năng sử dụng các đặc trưng tổng hợp đã được sao chép vào vật giả mạo - khả năng tiêm nhiễm trực tiếp của các tín hiệu tổng hợp qua một tấn công thực hiện lại - khả năng sửa đổi trái phép cơ sở dữ liệu sinh trắc học Một khai thác thành công dữ liệu sinh trắc học tổng hợp sẽ dường như liên quan đến việc khai thác các lỗ hổng hệ thống khác; ngược lại, nếu những lỗ hổng khác này không tồn tại, việc khai thác lỗ hổng dữ liệu sinh trắc học tổng hợp có lẽ sẽ không khả thi. Ví d ụ này cho thấy tầm quan trọng của cách tiếp cận có phương pháp đ ể điều tra lỗ hổng thành phần và sau đó m ở rộng đánh giá để điều tra xem liệu các lỗ hổng thành phần có thể bị khai thác trong ngữ cảnh hệ thống lớn hơn. Để biết thêm thông tin về các lỗ hổng có liên quan xem 8.3.3 (Vật giả mạo), 8.3.11 (Rò rỉ và điều chỉnh tr ái phép dữ liệu sinh trắc học), và cũng lưu ý về đánh giá lỗ hổng công nghệ thông tin chung trong 8.1 (Giới thiệu). 8.3.9 . Môi trường không thuận lợi 8.3.9.1 . Tổng quan Sự xuống cấp của hệ thống con thu thập, chẳng hạn như các vết b ẩ n hoặc khiếm khuyết trên bộ cảm biến, cũng có thể ảnh hưởng đến các tỷ lệ lỗi liên quan đến an toàn. Các tỷ lệ lỗi liên quan đến an toàn thường được xác định trong môi trường mà đối tượng phát triển giả định hoặc khuyến ngh ị (xem một đối tượng tấn công, các tỷ l ệ lỗi liên quan đến an toàn đã đo lường có thể không đạt được). Một môi trường không thuận lợi có thể d ẫn đến lỗ hổng hệ thống đặc biệt là ở giai đoạn thu thập. Các hiệu ứng c ó thể dao động từ sự gia tăng các tỷ lệ lỗi liên quan đến an toàn đến các trường hợp quá t ả i khi tiếp xúc quá mức với ánh sáng (cho các thiết bị quang học), âm thanh (cho các thiết bị â m thanh), độ ẩm (cho các thiết bị vân tay) hoặc các hình thức t í n hiệu nhiễu khác có thể d ẫ n đến các thu nạp nhiễu hoặc thậm chí tham chiếu trống, mà sau đó có thể được trùng khớp với các mẫu xác minh nhiễu tương tự (xem 8.3.10). 8.3.9.2 . Đánh giá Có lẽ sẽ không thực tế nếu kiểm thử hiệu quả của tất cả kết hợp của điều kiện môi trường không thuận lợi lên các tỷ lệ lỗi liên quan đến an toàn. Do đó, đánh giá viên cần xác định các điều kiện có kh ả năng không thuận lợi, ví dụ: ánh sáng bất thường cho công nghệ hình ảnh, tín hiệu â m thanh cho các bộ cảm biến âm thanh, v.v.. và kiểm thử đối với những điều kiện này. CHÚ THÍCH: Thông tin thêm về cách các điều kiện môi trư ờ ng có thể ảnh hưởng đến các t ỷ l ệ lỗi liên quan đến an toàn có thể được tìm thấy trong ISO/IEC 19795-1:2006. Nếu phát hiện các lỗ hổng gây ra bởi điều kiện môi trường không thuận lợi, hành động đ ể giảm thi ể u tác động sẽ cần phải được thực hiện trong ngữ cảnh hệ thống để ngăn chặn các khai thác. Điều này thường là để đảm bảo các điều kiện môi trường được kiểm soát sao cho chứng không phải là bất lợi. 8.3.10 . Các lỗ hổng mang tính thủ tục xung quanh quá trình thu nạp 8.3.10.1 . Tổng quan Có ba trường hợp có liên quan đến lỗ hổng tiềm ẩn trong quá trình thu nạp. - Đối tượng tấn công c ó thể thử để được thu nạp vào hệ thống sinh trắc học bằng việc đăng ký và thu nạp không thích hợp sử dụng giấy tờ danh tính sai (người khác) hoặc không có thật (hư cấu). Một cuộc tấn công như vậy, nếu thành công, sẽ cho phép đối tượng tấn công được công nhận bởi hệ thống sinh trắc học như là một người dùng khác trong tương lai. Đối tượng tấn công c ũ ng có thể cố gắng để được thu nạp vào hệ thống sinh trắc học với một vật giả mạo để tạo ra một tham chiếu sinh trắc học sai (của người khác) hoặc không có thật (hư cấu). Một cuộc tấn công thành công trong trường hợp này sẽ cho phép đối tượng tấn công được công nhận bởi hệ thống sinh trắc học như là một người dùng khác trong tương lai. Các tham chiếu sinh trắc học kém ch ấ t lượng thường ảnh hưởng xấu đến các tỷ lệ lỗi liên quan đến an toàn (và tỷ lệ khác) dẫn đến các tỷ lệ lỗi cao hơn so với dự đoán của kiểm thử hiệu suất thống kê mô tả tại điều 7. Điều này sẽ không chỉ làm gi ả m mức đảm bảo an toàn cho việc xác minh hoặc nhận dạng hoạt động liên quan đến tham chiếu kém ch ấ t lượng; n ế u đối tượng tấn công có thể định danh các cá thể với các tham chi ế u kém ch ấ t lượng, các cá thể này có thể tr ở thành mục tiêu cho những lần thử mạo danh. 8.3.10.2 . Đánh giá Việc đánh giá lỗ hổng tiềm ẩn này sẽ tập trung vào ba tr ư ờng hợp tương ứng với các điều trước đó: - Liệu quá trình thu nạp có được thực hiện trong một môi trường thích hợp và tất cả các cơ chế cần thiết được đưa ra để đảm bảo rằng người sử dụng sẽ được thu nạp bằng cách sử dụng ID đ ú ng. - Liệu hệ thống có chức năng phát hiện và từ chối vật giả mạo không. - Liệu hệ thống có chức năng kiểm tra chất lượng trong thành phần Xử lý Tín hiệu hoặc chức năng để dự đoán tỷ lệ lỗi trong su ố t quá trình thu nạp. Có khả năng hệ thống sinh trắc học kh ô ng thể giảm thiểu lỗ hổng này hoàn toàn bằng các phương tiện kỹ thuật. V ì vậy, đánh giá viên cần xác định và báo cáo những biện pháp kiểm soát chất lượng tham chiếu mà nhà cung cấp yêu cầu để thực hiện. 8.3.11 . Rò rỉ và sự thay đổi dữ liệu sinh trắc học 8.3.11.1 . Tổng quan Mặc dù các lỗ hổng công nghệ th ô ng tin phổ biến không thuộc phạm vi của tiêu chuẩn này, sự rò rỉ có thể và thao tác dữ liệu liên quan đến an toàn như các mẫu sinh trắc học, các tham chiếu sinh trắc học, các điểm s ố so sánh, thiết lập ngưỡng, v.v.. là một lỗ hổng quan trọng cần được xem xét trong mỗi đánh giá an toàn. Ngoài ra, cần đề cập đến là, trong khi các biện pháp đối phó có thể cho những lỗ hổng này là phổ biến đối với các hệ thống công nghệ thông tin, vai tr ò c ủ a th ô ng tin được xử lý bởi hệ thống sinh trắc học là cụ thể cho công nghệ sinh trắc học. Sự rò rỉ và thay đổi trái phép dữ liệu là một m ố i đe dọa chung cho các hệ thống công nghệ th ô ng tin và an toàn hệ thống. Sinh trắc học và dữ liệu khác trong các hệ thống sinh trắc học thường nhạy cảm v à phải được bảo vệ theo cách tương tự như dữ liệu trong các hệ thống công nghệ th ô ng tin nói chung. 8.3.11.2 . Đánh giá Dữ liệu trong các hệ thống sinh trắc học liên quan/quan trọng cho an toàn bao gồm: - Dữ liệu tham chiếu sinh trắc học - việc làm h ỏ ng có thể dẫn đến các thu nạp giả, mạo d anh v.v.. mất mát dữ liệu có thể dẫn đến hành vi vi phạm t í nh riêng tư, đánh cắp danh tính, v.v.. - Các mẫu dữ liệu sinh trắc học truyền qua hệ thống (ví dụ như tín hiệu ra từ thiết bị thu thập) hoặc được lưu trữ trong hệ thống (ví dụ như dấu vân tay và hình ảnh khuôn mặt) - Nếu bị rò rỉ, chúng có thể được sử dụng để giúp xây dựng một vật giả mạo hoặc tiêm nhiễm trực tiếp trong tấn công kiểu “thu thập/tái tạo”. - Các thông số và ngưỡng quyết định - sự thay đổi có thể dẫn đến chấp nhận sai, từ chối sai, và dẫn đến mạo danh hoặc từ chối dịch vụ. - Dữ liệu kiểm toán - việc làm hỏng có thể d ẫn đến sự che đậy những lần thử tấn công, loại bỏ các bằng chứng về sự thay đổi trái phép của các thông số an toàn và sai phạm vận hành. Việc đánh giá an toàn các biện pháp bảo vệ đối với rò rỉ và thay đổi dữ liệu sinh trắc học trong các hệ thống sinh trắc học không được quy định trong ti ê u chuẩn này. Đánh giá viên nên tham khảo phương pháp đánh giá an toàn công nghệ thông tin hiện có như [3] để biết th ê m thông tin về chủ đề này. 9. Tính riêng tư 9.1 . Tổng quan Các hệ thống sinh trắc học thường liên kết dữ liệu sinh trắc học nh ậ n diện một người sử dụng với dữ liệu về người sử dụng như tên, địa chỉ, v.v... Hơn nữa, trong một số trường hợp dữ liệu sinh trắc học có thể tiết lộ thông tin cá nhân của người sử dụng như giới t í nh, dân tộc hoặc có thể là thông tin y tế. Điều này có thể đặc biệt quan trọng khi dữ liệu sinh trắc học trong hình thức hoặc liên kết với một hình ảnh của đặc trưng sinh trắc học (ví dụ như hình ảnh khuôn mặt, hình ả nh dấu vân tay). V ì vậy, t í nh riêng tư là một vấn đề quan trọng cần được xem xét trong mỗi đánh giá an toàn hệ thống s i nh trắc học. Các vấn đề tính riêng tư thường được gi ả i quyết bằng các biện pháp mang tính tổ chức. Ngoài ra, các chức năng hoặc đo lường an toàn kỹ thuật được sử dụng. Những biện pháp kỹ thuật này (ví dụ như kiểm soát truy cập phù hợp tới dữ liệu cá nhân bao gồm cả dữ liệu sinh trắc học, mã hóa, xóa an toàn, v.v...) sẽ được đánh giá trong một đánh giá an toàn hệ thống sinh trắc học. Các cơ chế bảo vệ cần được mô tả trong mối quan hệ với các nguyên tắc tính riêng tư chung hay cụ thể cơ bản bắt nguồn từ luật pháp quốc gia. Việc đánh giá các kh í a cạnh riêng tư nên luôn luôn được đối chiếu với việc thực hiện và sử dụng dự định của các hệ thống sinh trắc học. Danh sách dữ liệu li ê n quan đến tính riêng tư và bản chất sự bảo vệ có liên quan phải được xác định bởi nhà cung cấp trong quá trình đánh giá và được cung cấp cho đánh giá viên như là đầu vào cho các tiêu chí tiếp theo. Nhà cung cấp phải cung cấp một b ả n tóm tắt đầy đủ về dữ liệu liên quan đến tính riêng tư được lưu trữ và x ử lý bởi hệ thống sinh trắc học và một mô tả về các biện pháp bảo vệ có liên quan trước khi đánh giá. Đánh giá viên phải đảm bảo rằng dữ liệu liên quan đến tính riêng tư đã xác định được bảo vệ thích đáng và không được sử dụng một cách sai trái. CHÚ THÍCH: Định nghĩa và sự bảo vệ tí nh riêng tư và dữ liệu cá nhân có thể l à đối tượng của luật pháp quốc g i a. Ngoài ra , các quy t ắ c th ự c hành t ố t được khuy ế n nghị có li ê n quan với t í nh riêng tư dữ li ệ u và sự bảo vệ t í nh riêng tư có thể t ồ n tại trong công ty hoặc được công bố bở i tổ chức. Các đánh gi á viên c ầ n phải nhận thức được v à pháp luật và khuyến ngh ị có li ên quan v à đảm bảo r ằ ng các hệ thống sinh trắc học tuân thủ các y ê u c ầ u th í ch hợp. Các điều sau đây xác định một tập hợp các yêu cầu phải được giải quyế t trong mỗi lần đánh giá an toàn hệ thống sinh trắc học: 9.1.1 . Bảo v ệ dữ liệu Đánh giá viên phải đảm bảo rằng hệ thống sinh trắc học cung cấp cơ chế thích hợp để ngăn chặn truy cập trái phép vào dữ liệu có liên quan đến tính riêng tư. Ví dụ, khả năng tiếp cận các cơ sở dữ liệu lưu trữ dữ liệu sinh trắc học sẽ nằm trong phạm vi của yêu cầu này d o việc truy cập vào các cơ sở dữ liệu ( bao g ồ m cả các thủ tục hành chính) có thể dẫn đến việc tiết lộ hoặc thay đổi dữ liệu liên quan đến tính riêng tư. 9.1.2 . Ràng buộc ứng dụng Do thực tế có các hệ thống sinh trắc học tương thích, một khuôn mẫu sinh trắc học th ể sử dụng được trong một hệ thống khác hệ thống mà nó đã được tạo ra. Đánh giá viên phải đảm bảo rằng hệ thống sinh trắc học cung cấp các cơ chế để ngăn ngừa dữ liệu liên quan đến t í nh riêng tư được sử dụng trong các hệ thống nằm ngoài phạm vi ngữ cảnh ứng dụng. CH Ú TH Í CH: Việc quản l ý, tức là việc nhập vào và/hoặc xuất ra, các cơ sở dữ liệu c ó thể là một v ấ n đ ề liên quan đến ràng buộc ứng dụng. Việc hạn chế và/hoặc ki ể m soát việc nhập vào và xuất ra các c ơ sở dữ liệu ( bao gồm c ả thủ tục sao lư u) n ê n ngăn ng ừ a các sử dụng kh ô ng mong đợi hoặc trái quy định cho các ứng dụng và các mục đích khác với mục tiêu d ự định và quy đ ị nh của chúng. Tuy nhiên, các cơ ch ế mang tính thủ tục cho ràng buộc ứng dụng nằm ngoài phạm vi tiêu c h u ẩ n này. 9.1.3 . Vô hiệu hóa t à i khoản dữ liệu tham chi ế u sinh trắc học Đánh giá viên phải đảm bảo rằng hệ thống sinh trắc học cung cấp các phương tiện để vô hiệu hóa tài khoản và thu hồi dữ liệu tham chi ế u sinh trắc học. Đối với kh í a cạnh các lỗ hổng được đề cập và thảo luận tại điều 8, không có hệ thống sinh trắc học nào có thể hoạt động mà không có rủi ro. Tùy thuộc vào các ứng dụng sinh trắc học, hậu quả của một cuộc tấn công thành công có thể rất xấu cho người sử dụng xét về tính riêng t ư của họ. Vì vậy, việc vô hiệu hóa tài khoản người sử dụng cần được thực hiện để hạn chế tác động của cuộc tấn c ô ng vào người sử dụng. 9.1.4 . Hủy thu nạp Đánh giá viên phải đảm bảo rằng hệ thống sinh trắc học cung cấp một phương tiện để loại bỏ dữ liệu liên quan đến tính riêng tư của một ng ư ời sử dụng ra khỏi hệ thống và không có dữ liệu sót lại (H ủ y thu nạp). Điều này có nghĩa là để loại b ỏ các thông tin liên quan đến tính riêng tư và đảm bảo rằng không có thông tin nào còn sót l ạ i trong hệ thống. Phụ lục A (Tham khảo) Mô hình tham chiếu của hệ thống sinh trắc học A.1 . Tổng quan Phụ lục này mô tả mô hình tham chiếu của một hệ thống sinh trắc học trong ngữ cảnh đánh giá an toàn. Mô hình tham chiếu này dựa trên hệ thống sinh trắc học tổng quan được định nghĩa trong [4] và bao gồm các hệ thống con bổ sung, các thành phần và quá trình quan tr ọng trong ngữ cảnh của tiêu chuẩn này. Lưu ý rằng mô hình tham chiếu này được mô tả chỉ để thúc đ ẩ y sự hiểu biết của tiêu chuẩn này và các chức năng an toàn được mô tả trong mô hình này không được coi là y ê u cầu đối với mỗi hệ thống sinh trắc học. A.2 . Mô hình tham ch iế u Hình A.1 cho th ấ y hệ thống sinh tr ắ c học tham chiếu được sử dụng cho tiêu chuẩn này. Các hộp hình chữ nhật đại diện cho các thành phần và các hệ thống con của hệ thống sinh trắc học trong khi các hộp tr òn đại diện cho các quá trình. Hình A.1 - Hệ thống sinh trắc học tổng quan A.3 . Các hệ th ố ng con và các thành phần A.3.1 . Giới thiệu Các điều sau đây mô tả các hệ thống con và các thành phần của mô hình tham chiếu. A.3.2 . Hệ thống con thu thập dữ liệu Hệ thống con này đòi hỏi việc thu nhận các mẫu sinh trắc học thô từ người sử dụng. Đầu ra của hệ thống con này không bao giờ là sự biểu diễn hoàn hảo của các mẫu thô; thay vào đó, đầu ra sẽ bị ảnh hưởng bởi các đặc trưng của hệ thống con này. Hệ thống con này bao gồm các thành phần Cảm biến có giao diện kỹ thu ậ t với người sử dụng và có thể chứa thêm các thành phần cần thiết để kiểm soát quá trình thu nhận mẫu sinh trắc học và tương tác với người sử dụng. Hệ thống con thu thập dữ liệu là đặc biệt quan trọng theo góc độ an toàn vì bao gồm các giao diện giữa chủ th ể và hệ thống sinh trắc học. Hơn nữa, chất lượng của dữ liệu sinh trắc học đã thu nhận được bởi hệ thống con này trực tiếp ảnh hưởng đến hiệu suất và do đ ó cũng có thể ảnh hưởng đến các tỷ lệ lỗi liên quan đến an toàn của một hệ thống sinh trắc học. A.3.3 . Hệ thống con xử lý tín hiệu Hệ thống con này đòi hỏi việc xử l ý và chuyển đổi của mẫu thu thập được thành một tham chiếu sinh trắc học. Hệ thống con này cũng có thể bao gồm một thành phần phân tích chất lượng của các mẫu mà có thể dẫn đến thông tin ph ả n hồi cho người sử dụng, có thể yêu cầu thu thập thêm một mẫu sinh trắc học khác. Đối với sự thu nạp, đầu ra dữ liệu từ hệ thống con Xử lý tín hiệu được gửi đến hệ thống con Lưu trữ dữ liệu. Đ ể xác minh và nhận dạng sinh trắc học, đầu ra dữ liệu của các hệ thống con Xử lý tín hiệu được g ử i đến hệ thống con So sánh. Hệ thống con này bao gồm các thành phần sau. A.3.3.1 . Phân tích chất l ượ ng Thành phần này phân tích chất lượng của các mẫu sinh trắc học. Trong một số trường hợp, chức năng Phân t í ch Chất lượng có thể được chia sẻ giữa các hệ thống con x ử lý tín hiệu và hệ thống con thu thập dữ liệu. A.3.3.2 . Ti ề n x ử lý Thành phần này đòi hỏi việc xử lý mẫu sinh trắc học thành định dạng thích hợp cho các thành phần Trích xuất đặc điểm. Thành phần này có thể bao gồm các chức năng giảm nhiễu, nâng cao hình ả nh/tín hiệu, v.v... Trong một số trường hợp, chức năng Tiền x ử lý mẫu có thể được chia sẻ giữa hệ thống con xử lý tín hiệu và hệ thống con Thu thập dữ liệu. A.3.3.3 . Trích xuất đặc đi ể m Thành phần này trích xuất các đặc điểm phân biệt của mẫu sinh trắc học. Thành phần này thường liên quan đến giai đoạn đầu của sự định vị khu vực của mẫu từ đó các đặc điểm sẽ được trích xuất ( một quá trình được gọi là phân đoạn). Quá trình này cũng có thể liên quan đến thành phần phân tích chất lượng để đảm bảo rằng các đặc điểm được trích xuất có thể được phân biệt và có thể lặp lại. V ì lý do n ày, thành phần này có một kết nối đến hệ thống con Thu thập. Nếu ch ấ t lượng các đặc đi ể m trích xuất là không đủ, thành phần này sẽ nhắc hệ thống con Thu thập dữ liệu để thu lại mẫu sinh trắc học. A.3.3.4 . Ngăn chặn giả mạo Ngăn chặn giả mạo là một chức năng an toàn bổ sung cho hệ thống sinh trắc học. Chức năng này đảm bảo cho đặc trưng sinh trắc học đ ã hiện diện với một hệ thống sinh trắc học thực sự thuộc về một người đang sống và không bị giả mạo. Ngăn chặn giả mạo có thể được thực hiện bằng nhiều cách khác nhau. Thành phần này có th ể yêu cầu một thiết bị cảm bi ế n đặc biệt (trong trường hợp nà y , thành phần này cũng có thể được xem nh ư là một ph ầ n của hệ thống con Thu thập dữ liệu), hoặc n ó có thể được thực hiện bằng phần m ề m. A.3.4 . H ệ th ố ng con So sánh Hệ thống con này so sánh cá c đặc điểm trích xuất được từ một mẫu nhận được với một hoặc nhiều tham chiếu sinh trắc học và đầu ra là một tập hợp điểm số so sánh tương ứng. Đầu ra điểm số so sánh của hệ thống con này, là thước đo của mức độ tương đồng, được chuyển tiếp cho hệ thống con Quyết định và cũng có thể được chuyển tiếp đến hệ thống con Quản tr ị cho mục đích đăng nhập. CHÚ THÍCH: Hệ thống con So sánh được m ô tả là “ hệ thống con trùng khớp” trong [4]. Tuy nhiên, định nghĩa “ hệ thống con trùng khớp” dường nh ư kh ô ng phù hợp với ý nghĩa của “ trùng khớp” được định nghĩa trong [ 2 ] . V ì l ý do này, thuật ngữ “ So sánh” được sử dụng trong ngữ cảnh của tiêu chuẩn này. A.3.5 . Hệ thống con Quyết định Hệ thống con này có trách nhiệm tạo ra một kết quả đơn lẻ về trùng khớp hoặc không trùng khớp từ điểm số của hệ thống con So sánh bằng cách sử dụng một chính s á ch đã được xác định trước. Kết quả được chuyển tiếp đến hệ thống con Quản trị cho hành động ứng dụng sinh trắc học tiếp theo và có thể cho mục đích đăng nhập. A.3.6 . Hệ thống con I /F thu thập người sử dụng Hệ thống con Quyết định tiếp nhận (các) điểm số so sánh từ hệ thống con so sánh và khai báo kết quả “ trùng khớp” hoặc “ không trùng khớp” phù hợp với một chính sách quyết định đã được xác định trước. Hệ thống con Thu thập ID chủ thể tồn tại trong một hệ thống xác minh để thu được các ID được yêu cầu của một người dùng đang thử được xác minh bởi hệ thống sinh trắc học. Sau đó trong quá trình xác minh, ID này được sử dụng để lấy ra các hồ sơ dữ liệu thu nạp từ cơ sở dữ liệu. A.3.7 . Hệ thống con Nhận hồ sơ dữ liệu thu nạp Hệ thống con này có trách nhiệm lấy lại các hồ sơ dữ liệu thu nạp từ hệ thống con lưu trữ dữ liệu. Chức năng đ ể đảm b ả o thông tin liên lạc an toàn và toàn vẹn của hồ sơ được sử dụng có thể hoặc không được bao gồm trong hệ thống con này. A.3.8 . Hệ thống con Tạo hồ sơ dữ liệu thu nạp Hệ thống con này chịu trách nhiệm đối với việc tạo ra các hồ sơ dữ liệ u th u nạp của người sử dụng. Hồ sơ sẽ được gắn với định danh của người sử dụng, ví dụ như lưu trữ vật lý ở những vị trí liên quan trong hệ thống con Lưu trữ dữ liệu. Sự gắn kết cũng có thể được đảm bảo bằng cách sử dụng kỹ thuật mật mã như ký số và/hoặc chứng chỉ số. A.3.9 . Hệ thống con Cấ u hình Hệ thống con này cung cấp các chức năng cần thiết để điều chỉnh các thiết lập an toàn của hệ thống sinh trắc học. Điều này bao gồm các ngưỡng được sử dụng bởi hệ thống con Quyết định; nó cũng có thể bao gồm sự điều chỉnh trích xuất đặc điểm - đặc biệt là ngưỡng chất lượng cho các mẫu sinh trắc học. A.3.10 . Hệ thống con Quản trị Hệ thống con Qu ả n tr ị điều chỉnh các chính sách tổng thể, thực hiện và sử dụng hệ thống sinh trắc học phù hợp với những quy định pháp lý có liên quan, các ràng buộc và yêu cầu mang tính xã hội. Ví dụ minh họa bao gồm: - việc cung cấp thông tin phản hồi cho người sử dụng, - yêu cầu thông tin bổ sung từ người sử dụng, - lưu trữ và định dạng thông tin sinh trắc học, - cung cấp sự phân x ử cuối cùng tại đầu ra của Quyết định xác minh và/hoặc các điểm s ố so sánh, - sửa đổi chính sách quyết định, - cài đặ t các thiết lập thu nhận hệ thống sinh trắc học, - môi tr ư ờng hoạt động, lưu trữ dữ liệu phi sinh trắc h ọ c, - việc cung cấp các biện pháp bảo vệ thích hợp để bảo vệ tính riêng tư của người sử dụng, - sự t ư ơng tác với các ứng dụng sử dụng hệ thống sinh trắc học Định nghĩa của hệ thống con này đã được sao chép từ [4]. Lưu ý rằng các mũi tên giữa các thành phần cấu hình và hệ thống con Quyết định trong Hình A.1 diễn tả một mức độ tối thiểu của sự tương tác. Tùy thuộc vào loại chức năng quản trị được thực hiện, có thể có nhu cầu tương tác nhiều hơn. A.3.11 . Hệ th ố ng con Lưu trữ dữ liệu Các hồ sơ dữ liệu thu nạp có thể được lưu trữ trong một thiết bị thu thập sinh trắc học: trên một phương tiện di động như một thẻ thông minh; trong nội bộ, tr ê n một máy tính cá nhân, chẳng hạn; hoặc trong một cơ sở dữ liệu (dựa vào [4]). A.4 . Các chức năng sinh trắc học A.4.1 . Giới thiệu Các điều sau đây giới thiệu các chức năng sinh trắc học cơ bản của một h ệ thống sinh trắc học. Những mô tả này có nguồn gốc từ mô tả trong [4] nhưng đã được điều chỉnh để tập trung vào các kh í a cạnh an toàn của m ỗ i thành phần. A.4.2 . Thu nạp Trong sự thu nạp, một giao dịch với một người sử dụng được xử lý bởi hệ thống sinh trắc học để tạo ra và lưu trữ một tham chiếu sinh trắc học cho cá thể đó. Thu nạp thường liên quan đến - thu nhận mẫu sinh trắc học thô từ người sử dụng, - ngăn chặn giả mạo, tiền xử lý, trích xuất đặc điểm, - phân t í ch chất lượng (có thể từ chối các mẫu hoặc các đặc điểm không thích hợp cho việc tạo ra một khuôn mẫu và yêu cầu thu thập mẫu tiếp theo), - việc tạo ra tham chiếu sinh trắc học (có thể đòi hỏi các đặc điểm từ nhiều mẫu và I D của người dùng), - việc kiểm tra ID được yêu cầu của người s ử dụng. CH Ú THÍCH: Trong thu nạp, ID của người sử dụng được liên k ế t với dữ liệu sinh trắc học của họ dưới hình thức của một tham chiếu sinh tr ắ c học. Do đ ó , quá trình thu nạp của mỗi người sử dụng được kiểm soá t để đảm bảo rằng người sử dụng yêu cầu đúng danh t í nh là c ầ n thiết. Nếu không c ó điều kiện tiên quyết này thì không thể bảo đảm t í nh toàn vẹn c ủ a cơ s ở dữ li ệ u thu nạp. Quá trình này được gọi là kiểm ch ứ ng và không được bao hàm tr o ng quá trình thu nạp mà đư ợ c bao h à m trong các đi ề u kiện ho ạ t động được mô tả trong A.5.2. A.4.3 . Hủy thu nạp Hủy thu nạp đ ề cập đến việc xóa tham chiếu sinh trắc học từ lưu trữ và của t ấ t cả dữ liệu sinh trắc học có liên quan trong hệ thống sinh trắc học. H ủ y thu nạp đề cập đến việc xóa tham chiếu sinh trắc học từ lưu trữ, và nếu cần thiết, dữ liệu có liên quan trong liên kết với danh tính của người dùng cuối từ hệ thống sinh trắc học. Việc tiêu hủy phải được thực hiện một cách an toàn như mô tả trong 9.1.4. A.4.4 . Xác minh Trong xác minh sinh trắc học, một giao dịch với người sử dụng được xử lý bởi hệ thống sinh trắc học để xác minh một yêu cầu cụ thể về việc thu nạp của người sử dụng (ví dụ: “ Tôi đ ã được thu nạp là người sử dụng X”). Việc xác minh sẽ hoặc tiếp nhận hoặc từ chối yêu cầu. Việc xác minh được coi là sai nếu một trong những yêu cầu sai được tiếp nhận (tiếp nhận sai) hoặc một yêu cầu đúng bị từ chối (từ chối sai). Lưu ý rằng một số hệ thống sinh trắc học cho phép người sử dụng đơn lẻ thu nạp nhiều hơn một mẫu sinh trắc học (ví dụ, hệ thống mống mắt có thể cho phép người d ù ng thu nạp cả hai hình ảnh mống mắt, trong khi hệ thống dấu vân tay có thể có người dùng thu nạp hai hay nhiều ngón tay nhằm sao lưu, trong trường hợp một ngón tay b ị hư h ỏ ng) Quá trình xác minh thường bao gồm: - việc thu nhận mẫu sinh trắc học thô từ người sử dụng, - việc thu nhận ID được người sử dụng yêu cầu, - tiền xử lý, trích xuất đặc điểm, - kiểm tra chất lượng (có thể từ chối các mẫu hoặc các đặc điểm không thích hợp đ ể so sánh, và y ê u cầu thu nhận mẫu tiếp theo), - việc chuyển đổi mẫu thu thập được thành mẫu thăm dò, - việc đánh giá sự tương đồng của các mẫu thăm dò sinh trắc học đã qua xử lý v ớ i (các) tham chiếu sinh trắc học cho các ID đối tượng được yêu cầu, - quyết định người sử dụng có trùng khớp với dữ liệu được đưa ra bằng một hoặc nhiều tham chiếu sinh trắc học được lưu trữ trước đó không, - tương tác với các ứng dụng sử dụng hệ thống sinh trắc học thông qua thành phần quản trị. A.4.5 . Định danh sinh trắc học Trong định danh sinh trắc học, một giao dịch của người sử dụng được xử lý bởi hệ thống đ ể xác định cá thể đó mà không yêu cầu danh tính của họ. Định d anh sinh trắc học sẽ tr ả về danh tính của người sử dụng hoặc một danh sách khả thi nhất. Quá trình định danh thường liên quan đến: - việc thu nhận mẫu sinh trắc h ọ c thô từ người sử dụng, - tiền xử lý, trích xuất đặc điểm, - kiểm tra ch ấ t lượng (có th ể từ chối các mẫu hoặc các đặc điểm không thích hợp để so sánh, và yêu cầu thu nhận mẫu tiếp theo), - chuyển đ ổ i mẫu thu thập được thành mẫu sinh trắc học đã qua xử lý, - đánh giá sự tương đồng c ủ a mẫu sinh trắc học đã qua xử lý với tất cả tham chiếu sinh trắc học được lưu trữ trước đó, - quyết định người sử dụng có trùng khớp với dữ liệu được đưa ra bởi một hoặc nhiều tham chiếu sinh trắc học được lưu trữ trước đó không, - tương tác với các ứng dụng sử dụng hệ thống sinh trắc học th ô ng qua thành phần Quản tr ị . A.5 . Môi trường và điều kiện hoạt động của hệ thống sinh trắc học A.5.1 . Môi trường vật lý Môi trường vật lý xung quanh thành phần Thu thập là một ph ầ n môi trường của một hệ thống sinh trắ c học và cần được xem xét trong suốt việc đánh giá. A.5.2 . Điều kiện hoạt động Điều kiện hoạt động của các quá trình thu nạp và h ủ y thu nạp và thành phần Quản trị cũng có thể phải được xem xét trong việc đánh giá Đối với kh í a cạnh đánh giá an toàn, các điều kiện hoạt động sau đây có thể có tầm quan trọng đặc biệt: - Làm thế nào để cung cấp cho người quản trị đặc quyền thu nạp người sử dụng. - Làm thế nào để cung cấp cho người quản tr ị hoặc người sử dụng đặc quyền hủy thu nạp tham chiếu sinh trắc học. - Làm thế nào để cung cấp cho người quản t rị đặc quyền thay đổi ch í nh sách hệ thống sinh trắc học. - Làm thế nào để đảm bảo rằng các đặc trưng sinh trắc học đã gửi không bị làm giả. - Làm thế nào để đảm bảo rằng các danh tính được yêu cầu (trong thu nạp) của người sử dụng là hợp lệ. THƯ MỤC TÀI LIỆU THAM KHẢO [1] JTC 1/SC 27, S tanding Document 6, Glossary of IT Security Terminology, ISO/IEC JTC 1/SC 27N6896, 2008-09-25 (http://www.itc1sc27.din.de/sce/sd6) (JTC 1/SC 27, Văn b ả n số 6, Bảng thuật ngữ các thuật ngữ an toàn công nghệ th ô ng tin). [2] JTC 1/SC 37, S tanding Document 2, version 9, Harmonized Biometric Vocabulary, ISO/ I EC JTC 1/SC 37 N2486, 2008-02-05 (JTC 1/SC 37, Văn b ả n số 2, phiên bản 9, Từ vựng sinh trắc học hài h ò a, ISO/IEC JTC 1/SC37N2486, 2008-02-05). [3] ISO/IEC FDIS15408-1, Information technology - Security techniques - Evaluation criteria for IT security - Part 1: Introduction and general model (ISO/IEC FDIS15408-1, Công nghệ th ô ng tin - Các kỹ thuật an toàn - Ti ê u chí đánh giá an toàn công nghệ th ô ng tin - Phần 1: Giới thiệu và mô hình tổng thể) [4] ISO/IEC 15408-2:2008, In f o r mation technology - Security techniques - Evaluation cr i ter i a for IT security - Part 2: Security f unctional components ( I SO/IEC 15408-2:2008, Công nghệ th ô ng tin - Các kỹ thuật an toàn - Tiêu chí đánh giá an toàn công nghệ th ô ng t i n - Phần 2: Các thành phần chức năng an toàn) [5] ISO/IEC 15408-3:2008, Information technology - Security techniques - Evaluation criteria for IT security - Part 3: Security assurance components ( I SO/ I EC 15408-3:2008 , Công nghệ th ô ng tin - Các kỹ thuật an toàn - Tiêu chí đ á nh giá an toàn công nghệ th ô ng tin - Phần 3: Các thành phần đảm bảo an toàn) [6] ISO/IEC CD 24713-1, Information technology - Biometric pro f iles for interoperability and data interchange - Part 1: Overview of biometric systems and biometric pro f iles ( I SO/ I EC CD 24713- 1, Công nghệ th ô ng tin - Hồ sơ sinh trắc học đối với khả năng tư ơng thích và trao đ ổ i dữ liệu - Ph ầ n 1: Tổng quan về hệ thống sinh trắc học và hồ sơ sinh trắc học) MỤC LỤC 1 . Phạm vi áp dụng 2 . Sự tuân thủ 3 . Tài liệu viện dẫn 4 . Thuật ngữ và định nghĩa 4.1 . T ổ ng quan 4.2 . Hệ thống sinh trắc học 4.3 . Quá trình sinh trắc học 4.4 . Các tỷ lệ lỗi 4.5 . Thống kê 5 . Chữ viết tắt 6 . Đánh giá an toàn 6.1 . Tổng quan 6.2 . Phương pháp 7 . Các tỷ lệ lỗi của hệ thống sinh trắc học 7.1 . Giới thiệu 7.2 . Khái niệm - Ki ể m thử các tỷ lệ lỗi liên quan đến an toàn 7.2.1 . M ô t ả hệ thống (bước 1) 7.2.2 . Yêu cầu của nhà cung cấp (bước 2) 7.2.3 . Kiểm tra yêu cầu của nhà cung cấp (bước 3) 7.2.4 . Kiểm thử của nhà cung cấp và đánh giá kiểm thử của nhà cung cấp (bước 4 và 5) 7.2.5 . Kiểm thử độc lập (bước 6) 8 . Đánh giá lỗ hổng 8.1 . Tổng quan 8.2 . Đánh giá lỗ hổng 8.2.1 . Tổng quan 8.2.2 . Tổng quan về mối đe dọa hệ thống sinh trắc học 8.2.3 . Các lỗ hổng khác 8.3 . Các lỗ hổng phổ biến trong hệ thống sinh trắc học 8.3.1 . Giới thiệu 8.3.2 . Các giới hạn hiệu suất 8.3.3 . Vật giả mạo của đặc trưng sinh trắc học 8.3.4 . Điều chỉnh đặc trưng sinh tr ắ c học 8.3.5 . Khó khăn của việc che giấu đặc trưng sinh trắc học 8.3.6 . Tương đồng do có quan hệ huyết thống 8.3.7 . Đặc trưng sinh trắc học đặc biệt 8.3.8 . Các mẫu sinh trắc học wolf tổng hợp 8.3.9 . Môi trường không thuận lợi 8.3.10 . Các lỗ hổng mang t í nh thủ tục xung quanh quá trình thu nạp 8.3.11 . Rò r ỉ và sự thay đổi dữ liệu sinh trắc học 9 . Tính riêng t ư 9.1 . Tổng quan 9.1.1 . Bảo vệ dữ liệu 9.1.2 . Ràng buộc ứng dụng 9.1.3 . Vô hiệu hóa tài khoản dữ liệu tham chiếu sinh trắc học 9.1.4 . Hủy thu nạp Phụ lục A (tham khảo) Mô h ì nh tham chi ế u của hệ thống sinh tr ắc học Thư mục tài liệu tham khảo