"ГОСТ Р 58624.4-2025. Национальный стандарт Российской Федерации. Информационные технологии. Биометрия. Обнаружение атаки на биометрическое предъявление. Часть 4. Профиль для испытаний на мобильных устройствах"
(утв. и введен в действие Приказом Росстандарта от 23.09.2025 N 1101-ст)

1 ПОДГОТОВЛЕН Федеральным государственным бюджетным учреждением "Российский институт стандартизации" (ФГБУ "Институт стандартизации") и Некоммерческим партнерством "Русское общество содействия развитию биометрических технологий, систем и коммуникаций" (Некоммерческое партнерство "Русское биометрическое общество") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 098 "Биометрия и биомониторинг"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 23 сентября 2025 г. N 1101-ст

4 Настоящий стандарт является модифицированным по отношению к международному стандарту ИСО/МЭК 30107-4:2024 "Информационные технологии. Обнаружение атаки на биометрическое предъявление. Часть 4. Профиль для испытания мобильных устройств" (ISO/IEC 30107-4:2024 "Information technology - Biometric presentation attack detection - Part 4: Profile for testing of mobile devices", MOD) путем изменения отдельных слов, фраз, которые выделены в тексте курсивом, а также путем исключения отдельных положений, обозначений, раздела 7, терминологических статей 3.1 и 3.2 и изменения его структуры для приведения в соответствие с правилами, установленными в ГОСТ 1.5-2001 (подразделы 4.2 и 4.3). Внесение указанных технических отклонений направлено на учет потребностей национальной экономики Российской Федерации.

При этом особенности российской национальной стандартизации учтены в дополнительных терминологических статьях 3.1 - 3.5, сокращениях и положениях, которые выделены в тексте курсивом, и в приложении ДА "Роли в испытаниях методов обнаружения атаки на биометрическое предъявление на мобильных устройствах".

Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5).

Сведения о соответствии ссылочных национальных и межгосударственного стандартов международным стандартам, использованным в качестве ссылочных в примененном международном стандарте, приведены в дополнительном приложении ДБ.

Сопоставление структуры настоящего стандарта со структурой указанного международного стандарта приведено в дополнительном приложении ДВ

5 ВВЕДЕН ВПЕРВЫЕ

Предъявление артефакта или биометрической характеристики индивида подсистеме сбора данных с целью вмешательства в работу биометрической системы называют атакой на биометрическое предъявление. Область применения стандартов серии ГОСТ Р 58624 ограничена методами автоматического обнаружения атак на биометрическое предъявление, осуществляемыми субъектами сбора данных в процессе биометрического предъявления и сбора соответствующих биометрических характеристик. Данные методы называют методами обнаружения атаки на биометрическое предъявление (ОАБП). В ГОСТ Р 58624.3 установлены принципы и методы оценки эксплуатационных характеристик методов ОАБП.

Подсистемы ОАБП, как правило, интегрируют в мобильные устройства. Следующие аспекты мобильных устройств обуславливают разработку профиля по ГОСТ Р 58624.3, специфичного для испытаний ОАБП (см. [1] и [2]):

- мобильные устройства имеют ускоренные сроки разработки, поэтому время и ресурсы для испытаний ОАБП могут быть ограничены;

- один тип биометрической подсистемы, как правило, интегрируют в большое число различных мобильных устройств, поэтому результаты одного испытания могут быть применимы к мобильным устройствам нескольких типов;

- биометрические подсистемы, интегрированные в мобильные устройства, как правило, являются закрытыми системами, поэтому эксплуатационные испытания проводят для оценки полнокомплектной биометрической системы.

В настоящем стандарте установлены требования к оценке эксплуатационных характеристик методов ОАБП на мобильных устройствах с биометрическим распознаванием на устройстве.

Настоящий стандарт устанавливает профиль, который представляет собой набор требований к испытаниям методов ОАБП на мобильных устройствах с биометрическим распознаванием на устройстве.

В настоящем стандарте учтены требования ГОСТ Р 58624.3, относящиеся к мобильным устройствам, а также установлены новые требования, отсутствующие в ГОСТ Р 58624.3. Для каждого требования профиль определяет подход к испытанию ОАБП для мобильных устройств.

Данный профиль распространяется на мобильные устройства, которые работают как закрытые системы без доступа к внутренним результатам, включая мобильные устройства с биометрическим распознаванием на устройстве, а также к биометрическим модулям для мобильных устройств.

Настоящий стандарт не распространяется на мобильные устройства с удаленным биометрическим распознаванием.

Атаки, рассмотренные в серии стандартов ГОСТ Р 58624, направлены на биометрический сканер во время биометрического предъявления и сбора данных. Настоящий стандарт не распространяется на атаки других типов.

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ ISO/IEC 2382-37 Информационные технологии. Словарь. Часть 37. Биометрия

ГОСТ Р 58624.1 (ИСО/МЭК 30107-1:2016) Информационные технологии. Биометрия. Обнаружение атаки на биометрическое предъявление. Часть 1. Структура

ГОСТ Р 58624.3-2019 (ИСО/МЭК 30107-3:2017) Информационные технологии. Биометрия. Обнаружение атаки на биометрическое предъявление. Часть 3. Испытания и протоколы испытаний

ГОСТ Р 71414.1 (ИСО/МЭК 19795-1:2021) Информационные технологии. Биометрия. Эксплуатационные испытания и протоколы испытаний в биометрии. Часть 1. Принципы и структура

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

В настоящем стандарте применены термины по ГОСТ ISO/IEC 2382-37, ГОСТ Р 71414.1, ГОСТ Р 58624.1, ГОСТ Р 58624.3, а также следующие термины с соответствующими определениями:

3.1 вероятность допуска предъявления при атаке самозванца; ВДПАС (impostor attack presentation accept rate; IAPAR) (оценка полнокомплектной биометрической системы верификации): Доля предъявлений при атаке самозванца одного вида инструмента атаки на биометрическое предъявление, которые приводят к допуску, от общего числа предъявлений при атаке самозванца одного ВИАБП.

3.2 предъявитель инструмента атаки на биометрическое предъявление; предъявитель ИАБП (presentation attack instrument presenter; PAI presenter): Физическое лицо, предъявляющее ИАБП.

3.3 источник ИАБП (presentation attack instrument source; PAI source): Физическое лицо, от которого получены биометрические образцы для изготовления ИАБП.

3.4 создатель ИАБП (presentation attack instrument creator; PAI creator): Физическое(ие) лицо(а) и/или юридическое(ие) лицо(а), ответственное(ые) за концепцию, формулировку, проектирование, изготовление и реализацию ВИАБП.

3.5 полнокомплектная биометрическая система (full biometric system): Система, предназначенная для биометрического распознавания, в состав которой входит подсистема сбора данных, подсистема хранения данных, подсистема сравнения, подсистема принятия решений, а также, в зависимости от реализации, подсистема обнаружения атаки на биометрическое предъявление и/или подсистема отображения информации.

В настоящем стандарте применены следующие сокращения:

ВДПАС_ПА (IAPAR_AP) - вероятность допуска предъявления при атаке самозванца с одним ВИАБП с потенциалом атаки;

ВИАБП (PAIS) - вид инструмента атаки на биометрическое предъявление (presentation attack instrument species);

ВЛД (FAR) - вероятность ложного допуска (False accept rate);

ВЛНД (FRR) - вероятность ложного недопуска (False reject rate);

ДОПБС (FS-PD) - длительность обработки полнокомплектной биометрической системы (full-system processing duration);

ОАБП (PAD) - обнаружение атаки на биометрическое предъявление (Presentation attack detection);

Оценка методов ОАБП на мобильных устройствах соответствует требованиям настоящего стандарта, если ее планирование, проведение и протоколы испытаний согласованы с требованиями, изложенными в таблице 1.

В таблице 1 представлен профиль для испытаний методов ОАБП на мобильных устройствах.

В биометрических эксплуатационных испытаниях индивиды занимают четко определенные роли, такие как испытуемый субъект, оператор испытания и экспериментатор. Роль испытуемого субъекта эквивалентна роли субъекта сбора биометрических персональных данных в операционной системе. Испытуемый субъект взаимодействует с устройством сбора данных, предъявляя биометрические характеристики и имитируя поведение субъекта сбора биометрических персональных данных.

В испытаниях методов ОАБП роли могут быть более неоднозначными и сложными. Индивид, предъявляющий ИАБП, - это предъявитель ИАБП, который является важной частью процесса испытаний с непосредственным отношением к эксплуатационным характеристикам ОАБП. Например, образцы отпечатков пальцев предъявителя ИАБП могут быть обнаружены под ИАБП, что влияет на результаты испытания. Однако в некоторых испытаниях ОАБП индивид, взаимодействующий с устройством сбора данных, не оказывает существенного влияния на испытания. Например, администратор испытания или помощник может просто держать маску, накладывать материал на биометрический сканер отпечатков пальцев или воспроизводить на телефоне аудиозапись. В таких случаях эксплуатационные характеристики не измеряют как функцию индивида, предпринимающего действие. Вместо этого эксплуатационные характеристики измеряют в зависимости от того, что они показывают.

В некоторых испытаниях методов ОАБП интерес представляют относительные эксплуатационные характеристики нескольких комплектов ИАБП, созданных с использованием биометрических характеристик от разных индивидов, каждый из которых рассматривают как источник ИАБП. К этим индивидам, возможно, не обратятся с просьбой о взаимодействии с устройством сбора данных, и поэтому они традиционно не будут считаться испытуемыми субъектами, даже если биометрические признаки в конечном итоге будут извлечены из их биометрических характеристик. Более сложным является случай, когда источниками ИАБП в испытаниях методов ОАБП могут быть предъявители ИАБП.

В некоторых испытаниях методов ОАБП интерес представляет способность индивида - создателя ИАБП создавать или формулировать ИАБП. В ГОСТ Р 58624.3 приведена концепция навыков и опыта, необходимых для создания ИАБП, когда в испытаниях могут принимать участие несколько создателей ИАБП, каждый из которых создает отличительные виды ИАБП. Более сложным является случай, когда создатель ИАБП в испытаниях методов ОАБП также может быть источником ИАБП или предъявителем ИАБП.