La reconnaissance faciale d'Android peut-elle être trompée par une photo ?

La reconnaissance faciale est une technologie qui permet d'identifier et de vérifier les personnes en analysant leurs caractéristiques faciales. Elle est largement utilisée dans diverses applications, telles que le déverrouillage des smartphones, l'accès aux services en ligne ou la vérification des pièces d'identité. Cependant, la reconnaissance faciale n'est pas infaillible et peut être vulnérable aux attaques par usurpation (spoofing), où un attaquant tente de tromper le système en présentant un faux visage. L'une des méthodes les plus courantes et les plus simples pour usurper la reconnaissance faciale consiste à utiliser une photo de la personne ciblée.

Comment fonctionne l'usurpation par photo ?

L'usurpation par photo est un type d'attaque par présentation qui consiste à montrer une photo imprimée ou numérique de la personne ciblée à la caméra du système de reconnaissance faciale. La photo peut être obtenue à partir des réseaux sociaux, de bases de données en ligne ou d'autres sources. L'attaquant peut soit tenir la photo devant son visage, soit utiliser un appareil tel qu'une tablette ou un ordinateur portable pour afficher la photo.

L'objectif de l'usurpation par photo est de contourner le système de reconnaissance faciale et d'obtenir un accès non autorisé à l'appareil ou au compte de la personne ciblée. Par exemple, un attaquant peut utiliser une photo du propriétaire pour déverrouiller son smartphone, effectuer des paiements mobiles ou se connecter à ses services en ligne.

Comment la reconnaissance faciale d'Android peut-elle être trompée par une photo ?

La reconnaissance faciale d'Android est une fonctionnalité qui permet aux utilisateurs de déverrouiller leurs smartphones ou tablettes à l'aide de leur visage. Elle est basée sur l'API Face Unlock de Google, qui offre aux développeurs un accès aux services de reconnaissance faciale. Cependant, la reconnaissance faciale d'Android n'est pas très sécurisée et peut être facilement trompée par une photo de l'utilisateur.

Selon une étude de Which?, 40 % des smartphones testés par les laboratoires de Which? depuis août 2022 possèdent une reconnaissance faciale qui peut être usurpée avec une photo imprimée en 2D, permettant ainsi aux criminels d'accéder facilement au téléphone.1 L'étude a révélé que les téléphones de grandes marques telles que Samsung, Motorola, Nokia, Oppo, Vivo et Xiaomi étaient concernés par cette vulnérabilité.

La raison pour laquelle la reconnaissance faciale d'Android peut être trompée par une photo est qu'elle n'utilise pas de techniques avancées pour détecter la présence (liveness) ou l'usurpation. La détection de présence consiste à vérifier que le visage présenté à la caméra est vivant et non un faux. La détection d'usurpation consiste à détecter et à rejeter les attaques par présentation telles que les photos, les vidéos ou les masques.

Voici quelques techniques utilisables pour la détection de présence ou d'usurpation :

• Analyse de profondeur : Cette technique consiste à mesurer la profondeur ou la distance de différentes parties du visage et à les comparer aux valeurs attendues.

• Analyse de texture : Cette technique consiste à analyser la texture ou la qualité de l'image du visage et à détecter des anomalies telles que le flou, le bruit ou les motifs de moiré.

• Analyse de mouvement : Cette technique consiste à suivre le mouvement ou l'expression du visage et à vérifier leur naturel et leur cohérence.

• Défi-réponse : Cette technique consiste à demander à l'utilisateur d'effectuer certaines actions comme cligner des yeux, sourire ou hocher la tête, et à vérifier sa réponse.

Conclusion

La reconnaissance faciale d'Android est une fonction pratique, mais peu sécurisée, qui peut être trompée par une photo de l'utilisateur. L'usurpation par photo est un moyen simple et efficace de contourner les systèmes de reconnaissance faciale et d'obtenir un accès non autorisé à des appareils ou à des comptes. Pour prévenir les attaques par usurpation photo, les utilisateurs d'Android devraient utiliser d'autres méthodes de sécurité, telles que le code PIN ou la reconnaissance d'empreintes digitales, ou rechercher des systèmes de reconnaissance faciale qui utilisent des techniques de détection de présence ou d'usurpation.