Perché i fornitori di servizi di verifica della vitalità dovrebbero essere testati sui telefoni utilizzati da persone reali

Il modo più sistemi di verifica dell'identità Il termine "essere testati" non corrisponde al modo in cui vengono utilizzati.

In laboratorio, le telecamere sono pulite. L'illuminazione è controllata. I telefoni sono solitamente i modelli più recenti, spesso della stessa generazione di quelli utilizzati dagli ingegneri che hanno sviluppato il software. I risultati sono impressionanti: accuratezza del 99% e zero attacchi accettati. Questo è il tipo di risultato che fa un'ottima figura su una pagina di marketing.

In fase di produzione, quando lo stesso sistema deve verificare un libero professionista a Manila, un fattorino a Lagos o un cliente che si iscrive a un'app di trasferimento di denaro su un dispositivo Android di quattro anni fa, i risultati possono essere molto diversi.

Questo divario tra le prestazioni in laboratorio e le prestazioni reali degli utenti è la variabile che la maggior parte dei confronti tra fornitori ignora silenziosamente. Ed è anche la variabile che più di ogni altra determina se il flusso di onboarding funziona davvero.

Da dove provengono i valori di Liveness Lab

Quando un fornitore pubblica un risultato di liveness, di solito proviene da una di queste due fonti.

Il primo metodo consiste in test interni. L'azienda esegue la propria valutazione con le proprie risorse, seleziona le condizioni più favorevoli e pubblica i risultati su una pagina di marketing. Non è previsto alcun controllo da parte di terzi.

La seconda è la certificazione di laboratori indipendenti. Organizzazioni come Garanzia di qualità iBeta Eseguire test formali in conformità con gli standard internazionali come ISO/IEC 30107-3. Questi test sono presi sul serio dai team di approvvigionamento perché sono verificabili, ripetibili e basati su dati concreti.

Entrambi producono dei numeri. Ma la domanda più importante, ovvero su quale hardware è stato effettivamente eseguito il test, spesso viene nascosta tra le note a piè di pagina o completamente omessa.

L'hardware che la maggior parte dei fornitori sceglie

Analizzando i risultati dei test di realtà virtuale pubblicati negli ultimi due anni, emerge uno schema ricorrente. L'hardware utilizzato è quasi sempre di fascia alta e di recente uscita: il nuovo iPhone Pro, l'ultimo Google Pixel o un modello di punta Samsung dell'attuale generazione.

Questi sono telefoni eccellenti. Sensori ad alta risoluzione, chip potenti, la migliore ottimizzazione della fotocamera offerta dal produttore. Fanno apparire i sistemi di rilevamento del movimento in tempo reale in modo impeccabile.

Ma non rappresentano il dispositivo che un utente tipico tiene in mano.

In molti dei mercati in cui l'onboarding digitale sta crescendo più rapidamente, tra cui il Sud-est asiatico, il Golfo Persico, l'Africa e l'America Latina, i telefoni di fascia media e più vecchi costituiscono la maggior parte dei dispositivi attivi. È improbabile che un cliente che si iscrive a una fintech in Kenya o a un portafoglio digitale in Indonesia utilizzi l'ultimo modello di punta. È più probabile che abbia un Android di quattro anni fa, un Samsung economico del 2021 o un Pixel del 2019 ancora in circolazione.

Se i risultati dei test di laboratorio di un fornitore sono stati ottenuti su hardware non in possesso del cliente, tali risultati non sono un buon indicatore di ciò che accadrà in produzione.

Perché questa lacuna è importante negli acquisti

I team che si occupano di identità digitale e che redigono le richieste di offerta (RFP) per i test di liveness si concentrano solitamente su tre aspetti: livello di certificazione del laboratorio, valori di precisione e prezzo. La questione hardware raramente viene inclusa nel confronto.

Questo è un problema. Lo stesso sistema del fornitore può produrre risultati diversi su dispositivi diversi. I sensori della fotocamera, la potenza di elaborazione e la resa cromatica possono fare una grande differenza. Un modello di rilevamento della vitalità passivo, addestrato e validato solo su hardware di fascia alta, a volte non funziona correttamente su un chipset di fascia media perché il segnale di input è effettivamente diverso.

Per un team di onboarding che opera in un mercato con un'ampia varietà di dispositivi, affidarsi a un fornitore che dimostra la propria efficacia solo sui telefoni di punta significa assumersi un rischio implicito per conto del team. Questo rischio si manifesta con abbandoni, rifiuti ingiustificati e reclami da parte di utenti che hanno seguito correttamente tutte le procedure di verifica ma non sono comunque riusciti a completarla.

Il test che predice davvero la produzione

Ciò che gli acquirenti dovrebbero cercare sono test di laboratorio indipendenti su dispositivi che rispecchino la realtà di utilizzo. Non un telefono qualsiasi, ma i telefoni che i loro utenti effettivamente possiedono.

In termini pratici, ciò significa chiedere al fornitore l'elenco dei dispositivi testati più di recente nei suoi laboratori. Se la risposta include due smartphone di punta rilasciati negli ultimi 18 mesi, è un segnale d'allarme. Se invece l'elenco comprende dispositivi di fascia media o più vecchi, il risultato è più attendibile.

Significa anche informarsi sulla copertura demografica. I test di laboratorio secondo la norma ISO/IEC 30107-3 in genere campionano persone di diverse età, sesso e tonalità della pelle. Non tutte le certificazioni rendono pubblici questi dati, ma quelle che lo fanno sono quelle a cui si dovrebbe dare maggiore importanza. Un sistema di rilevamento della vitalità testato solo su un campione demografico ristretto avrà prestazioni non uniformi in produzione.

Come Shufti ha affrontato la questione con una valutazione indipendente

Nell'ultima valutazione di laboratorio indipendente di Shufti, i dispositivi testati erano un Google Pixel 4, rilasciato nell'ottobre 2019, e un Apple iPhone 12 Pro, rilasciato nell'ottobre 2020. Al momento del test, questi dispositivi avevano rispettivamente cinque e sei anni.

Il risultato è stato un tasso di accettazione dell'attacco dello 0% e un tasso di rifiuto dello 0% per gli utenti autentici su 900 attacchi di presentazione sotto iBeta PAD Livello 3, il livello più elevato dello standard ISO/IEC 30107-3.

Il team di collaudo era volutamente eterogeneo: 40% donne, 30% non caucasici, con rappresentanza di diverse fasce d'età.

Entrambe le scelte sono state fatte di proposito. Shufti L'azienda opera in oltre 240 paesi e la piattaforma deve funzionare in mercati in cui i telefoni di fascia media costituiscono la maggior parte della base installata attiva. Un test che non rispecchiasse questa realtà non avrebbe fornito a noi, né ai nostri clienti, alcuna informazione utile sulle effettive prestazioni del sistema.