Telefon vás po dalším pokusu stále nepoznává. Přihlašovací stránka znovu žádá, abyste se podívali do kamery. Když vedle vás jiný člověk projde stejným ověřením během okamžiku, může být těžké nebrat odmítnutí osobně. Systém ale porovnává snímky podle nastavených pravidel. Jeho výsledek není úsudek o vaší důvěryhodnosti.
Rozpoznávání obličeje může usnadnit přístup k zařízení nebo službě. Zároveň potřebuje počítat s lidmi, u kterých porovnání nevyjde. Důležité je, jak často chybuje, koho jeho chyby zasahují a co se stane po neúspěšném pokusu.
Ověřit jednoho člověka, nebo hledat mezi mnoha?
Při ověřování označovaném jako 1:1 systém porovnává snímek s předlohou spojenou s konkrétní totožností. Otázka zní přibližně: „Odpovídá tato tvář člověku, za kterého se přihlašující vydává?“ Takové porovnání může být součástí odemčení telefonu nebo ověření fotografie vůči dokladu.
Při identifikaci 1:N se hledá v databázi více osob. Otázka je jiná: „Je mezi uloženými lidmi někdo, komu tato tvář odpovídá?“ Podle účelu a nastavení může systém vrátit kandidáty pro další posouzení. Podobnost s jedním záznamem ještě sama nepotvrzuje, že jde o téhož člověka.
NIST tyto úlohy rozlišuje i při hodnocení chyb. Stejný výraz „rozpoznávání obličeje“ tak může označovat odlišné postupy. Výsledek testu ověřování dvojic fotografií nelze bez dalšího vydávat za přesnost vyhledávání v rozsáhlé databázi.
Dvě chyby, dva různé problémy
Falešná neshoda nastane, když systém nespojí dva snímky stejného člověka. U přihlašování může vést k odmítnutí oprávněného uživatele. Falešná shoda naopak spojí snímky dvou různých lidí. Může tak ohrozit zabezpečení účtu nebo někoho nesprávně přiřadit k cizímu záznamu.
Systém obvykle pracuje s mírou podobnosti a hranicí, od které výsledek přijme. Přísnější hranice může omezit chybné přijetí cizí osoby, současně však zvýšit počet odmítnutí správného člověka. Při posuzování kvality proto potřebujeme znát oba druhy chyb i podmínky, za kterých byly měřeny.
U vyhledávání záleží také na tom, zda má výsledek sloužit automatickému rozhodnutí, nebo posouzení člověkem. Přehled NIST pro identifikaci 1:N tyto způsoby použití vyhodnocuje odděleně. Seznam podobných tváří je podklad k ověření, nikoli důkaz, že vybraný člověk něco udělal.
Kvalita snímku může dopadat na lidi rozdílně
Do porovnání vstupuje i způsob fotografování. Současný přehled NIST pro ověřování 1:1 upozorňuje, že falešné neshody výrazně závisejí na kvalitě snímku. Příkladem je nedostatečné nasvícení tmavší pleti, přeexponování světlé pleti nebo kamera, která není přizpůsobena velmi vysokému či malému člověku. Ta může zachytit obličej pod nevhodným úhlem.
Rozdíly ve falešných shodách se ovšem mohou objevovat i u kvalitních fotografií. NIST popisuje, že k nim může přispět nedostatečné zastoupení některé skupiny v datech, na kterých se algoritmus učil. Lepší světlo tedy řeší jen část možných potíží.
NIST porovnává výsledky podle věku, pohlaví a dostupných údajů o původu. Rozdíly závisejí na konkrétním algoritmu a testu. Známé výsledky z roku 2019 nejsou dnešním žebříčkem všech telefonů, bankovních aplikací nebo vstupních bran: tehdejší studie hodnotila dodané algoritmy, nikoli hotové komerční produkty.
Přesné porovnání není celé zabezpečení
Služba potřebuje chránit také uložené údaje a bránit tomu, aby někdo předložil podvržený vstup. Nízký počet náhodných chybných shod sám neříká, jak systém odolá cílenému útoku. I proto otázka „Je to bezpečnější než heslo?“ nemá odpověď společnou pro každé provedení.
NIST v doporučeních pro ověřování při přihlašování počítá s biometrií jako součástí vícefaktorového ověřování a vyžaduje ve svém rámci také nebiometrickou alternativu. Rozlišuje přitom porovnání na zařízení uživatele a porovnání u centrálního ověřovatele; u centrálního řešení upozorňuje na možnost útoků ve větším měřítku.
Obličej navíc není tajemství: může být na běžné fotografii. Pro uživatele má proto smysl zjistit, zda se biometrické porovnání odehrává v jeho zařízení, nebo se údaje posílají jinam. Důležité je také to, jak služba chrání záložní metodu a obnovu přístupu.
Co zjišťovat před předáním biometrických údajů
Úřad pro ochranu osobních údajů řadí biometrické údaje zpracovávané za účelem jedinečné identifikace mezi zvláštní kategorie osobních údajů se zvýšenou ochranou. Samotná fotografie přitom není automaticky totéž jako takové biometrické zpracování. Záleží na tom, co se s ní dělá.
Před zapnutím nebo použitím služby se lze ptát: Kdo údaje zpracovává a proč? Co ukládá, kde a na jak dlouho? Kdo k nim má přístup? Jakou jinou možnost ověření nabízí? Pokud vysvětlení stojí pouze na větě „je to pro vaše bezpečí“, zbývá ještě zjistit, jak konkrétně má ochrana fungovat.
Záleží i na rozsahu použití. Ověřit přístup k vlastnímu zařízení je jiná situace než průběžně vyhledávat návštěvníka mezi mnoha uloženými obličeji. Uživatel potřebuje rozumět skutečnému účelu služby, nejen názvu funkce v nabídce.
Když další pokus nepomáhá
Nejprve se řiďte pokyny konkrétní služby. Pokud nabízí bezpečnou náhradní metodu, použijte ji. Při opakovaném neúspěchu se obraťte na podporu přes oficiální aplikaci nebo stránku. Zaznamenejte čas, krok, ve kterém jste uvázli, a přesné znění chyby. To pomůže odlišit problém se snímkem od jiných potíží s přihlášením.
Můžete napsat například: „Ověření obličejem opakovaně končí touto chybou. Potřebuji dokončit přístup k účtu. Jakou náhradní metodu mohu použít a kdo mi s ní pomůže?“ Jestli se blíží termín žádosti nebo jiné důležité věci, uveďte ho a ověřte další postup. Samotný dotaz na podporu nemusí znamenat, že je úkon vyřízený.
Heslo, PIN a jednorázové kódy si ponechte pro sebe. Fotografie ani doklady neposílejte na kontakt z nevyžádané zprávy. Pokud je oficiální služba potřebuje k dalšímu ověření, zjistěte, který zabezpečený postup k tomu určila. Bezpečná pomoc s ovládáním nemusí znamenat předání přístupu k účtu; širší souvislosti popisuje článek o digitálním vyloučení a dostupnosti služeb.
Náhradní cesta musí být použitelná
Provozovatel může sledovat vedle úspěšných ověření také opakované pokusy, přerušení a to, zda se lidé po odmítnutí nakonec dostali ke službě. Při návrhu pomoci je užitečné ověřit celý postup s lidmi různých potřeb, včetně těch, pro které je obtížné zaujmout požadovanou polohu nebo ovládat kameru.
Odkaz na podporu mnoho nevyřeší, pokud pracovník jen zopakuje stejný neúspěšný návod. Potřebuje mít možnost nabídnout další bezpečný krok a předat složitější případ k posouzení. U rozhodnutí s vážnými následky záleží také na tom, zda posuzující člověk může výsledek skutečně zpochybnit a opravit.
Smyslem náhradní cesty je umožnit oprávněnému člověku dokončit ověření při zachování ochrany účtu. O kvalitě služby vypovídá i to, co dokáže nabídnout ve chvíli, kdy uživateli oznámí: nepoznali jsme vás.
