Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO/IEC TR 29172：信息技术——移动识别——框架
深入解析ISO/IEC TR 29172移动识别框架及其在移动设备生物特征认证中的应用
移动设备已成为数字身份验证的主要平台，从智能手机解锁到移动银行和数字旅行凭证无不如此。ISO/IEC TR 29172建立了移动识别的综合框架——解决在移动设备上执行生物特征识别和验证的独特挑战和架构需求。该技术报告为构建移动身份解决方案的工程师提供了重要指导。
移动识别与传统固定位置生物特征系统有根本不同。移动环境引入了多变的环境条件、受限的计算资源、有限的传感器质量以及设备端处理以保护用户隐私的关键要求。
架构与核心组件
ISO/IEC TR 29172定义了移动识别系统的参考架构，包含四个主要层次：感知层（摄像头、指纹传感器、麦克风）、特征提取层、匹配与决策层以及安全存储与通信层。该架构强调尽可能在设备端处理，模板存储在硬件支持的安全区域中。支持特定用例的云端处理，但有严格的隐私保护要求，包括端到端加密和最小数据保留策略。
标准定义了移动识别的三种运行模式：本地模式（所有处理在设备上）、混合模式（特征提取在设备上、匹配在受信任服务器上）和远程模式（仅采集在设备上、完整处理在服务器端）。每种模式具有不同的安全、隐私和可用性特征。框架提供了基于应用需求选择适当模式的指导，包括所需安全级别、网络可用性和用户隐私期望。
| 运行模式 | 处理位置 | 隐私级别 | 离线能力 | 安全模型 |
|---|---|---|---|---|
| 本地模式 | 全部设备端 | 最高——数据从不离开设备 | 完全离线运行 | 安全区域 + 操作系统完整性 |
| 混合模式 | 特征设备端、匹配服务器端 | 高——特征向量不可重建 | 匹配需要网络 | 加密通道 + 服务器安全 |
| 远程模式 | 采集设备端、全部服务器端处理 | 中等——图像被传输 | 所有操作需网络 | 服务器安全 + TLS加密 |
混合模式常被误认为提供与本地模式同等的隐私保护，因为特征向量”不是图像”。然而，研究表明深度学习模型的特征向量可被部分反演以重建面部图像。如果隐私至关重要，真正的本地模式配合硬件强制隔离是唯一安全的选择。
移动识别的工程挑战
在移动设备上实现可靠的生物特征识别面临独特的工程挑战。传感器质量在不同设备间差异巨大——50美元的智能手机摄像头与1000美元的旗舰摄像头产生的图像质量特征存在根本差异。标准通过”传感器能力配置文件”的概念解决了这一问题，允许识别系统根据特定传感器硬件调整其质量要求和处理参数。
环境变化性在移动环境中更为显著。用户在直射阳光下、完全黑暗中、移动车辆内、嘈杂环境中以及佩戴配件（太阳镜、口罩、帽子）时尝试识别。框架要求系统在规定的环境范围内保持指定性能，并在运行条件超出系统能力时优雅降级（附带适当的用户反馈）。标准为不同安全应用级别规定了最低环境适应能力要求。
设计良好的移动识别系统采用分层方法：始终开启的低功耗存在检测触发中功耗活体评估，进而触发完整的生物特征匹配。与始终开启的完整生物特征采集相比，这种方法可将生物特征验证的功耗降低70-80%，同时保持亚秒级的用户面对延迟。
切勿将生物特征模板存储在移动设备上的应用程序可访问存储中。应使用硬件支持的密钥库（Android TEE / iOS 安全区域）进行模板存储。应用层存储容易受到恶意软件或操作系统级漏洞的提取攻击，导致不可撤销的生物特征数据泄露。
隐私与安全框架
ISO/IEC TR 29172高度重视隐私保护，将隐私设计原则融入整个架构。标准要求在未经用户明确同意服务器端处理的情况下，生物特征数据应完全在设备上处理和存储。即使获得同意，标准仍建议在传输前进行不可逆特征提取、最小数据保留期以及生物特征数据使用的透明用户通知。
安全框架涵盖多种威胁向量，包括模板提取、重放攻击、呈现攻击（欺骗）和信道拦截。标准强制要求呈现攻击检测（活体检测）作为移动识别系统的组成部分，并提供了在各种移动采集条件下鲁棒运行的具体活体检测实现指导。
常见问题
问：ISO/IEC TR 29172与FIDO和WebAuthn标准有何关系？
该标准通过提供FIDO协议所引用但未详细定义的生物特征特定框架来补充FIDO/WebAuthn。FIDO2实现利用ISO/IEC 29172原则进行设备端生物特征处理，同时利用FIDO协议进行认证断言和密钥管理。
该标准通过提供FIDO协议所引用但未详细定义的生物特征特定框架来补充FIDO/WebAuthn。FIDO2实现利用ISO/IEC 29172原则进行设备端生物特征处理，同时利用FIDO协议进行认证断言和密钥管理。
问：移动设备解锁的推荐FAR是多少？
对于设备解锁等便利性应用，标准建议FAR ≤ 0.002%（五万分之一）。对于移动支付和高价值交易，建议FAR ≤ 0.0001%（百万分之一）。这些目标假设呈现攻击检测同时处于激活状态。
对于设备解锁等便利性应用，标准建议FAR ≤ 0.002%（五万分之一）。对于移动支付和高价值交易，建议FAR ≤ 0.0001%（百万分之一）。这些目标假设呈现攻击检测同时处于激活状态。
问：同一移动识别系统能否在Android和iOS上同时工作？
该标准与平台无关，但实现细节差异显著。Android设备提供更灵活的传感器API但硬件碎片化更严重。iOS在不同设备间提供一致的传感器质量但API访问受限。跨平台实现应使用标准的传感器能力配置来归一化这些差异。
该标准与平台无关，但实现细节差异显著。Android设备提供更灵活的传感器API但硬件碎片化更严重。iOS在不同设备间提供一致的传感器质量但API访问受限。跨平台实现应使用标准的传感器能力配置来归一化这些差异。
