หลักการ สถานการณ์ และความเหมาะสม
การใช้ใบหน้าเพื่อเข้าออกต้องแยก verification แบบเทียบคนที่อ้างตนออกจาก identification แบบค้นทั้งฐาน ข้อมูลชีวมิติอ่อนไหวและเปลี่ยนใหม่เหมือนรหัสผ่านไม่ได้ ควรประเมินทางเลือกที่รุกล้ำน้อยกว่าและไม่อนุมานเชื้อชาติ สุขภาพ อารมณ์ หรือคุณลักษณะอ่อนไหว
verification ถามว่าภาพตรงกับข้อมูลของคนที่อ้างหรือไม่ ส่วน identification ถามว่าคล้ายใครในฐานทั้งหมด ขอบเขตข้อมูลและความเสี่ยงต่างกัน template คือข้อมูลแทนลักษณะที่ใช้เทียบ ยังต้องคุ้มครองเพราะเกี่ยวกับบุคคล ผู้อ่านไม่ควรเข้าใจว่าคะแนนคล้ายสูงพิสูจน์ตัวตนจริงหรือว่าการแปลงเป็น template ทำให้ข้อมูลไม่อ่อนไหว การใช้บัตรหรือเจ้าหน้าที่อาจตอบงานโดยรุกล้ำน้อยกว่า
threshold คือเกณฑ์คะแนนที่ตัดสินจับคู่ เกณฑ์เข้มลดการรับผิดคนแต่เพิ่มการไม่รับคนที่มีสิทธิ์ ต้องประเมินทั้งสองที่เกณฑ์เดียวกัน และมีช่องทางตรวจคนที่ไม่เสียเปรียบเมื่อระบบไม่สำเร็จ การตรวจการนำเสนอภาพเป็นอีกงานที่ต้องผูกกับ threat model หรือความเสี่ยงที่กำหนด ไม่อ้างว่ากล้องทั่วไปยืนยัน liveness หรือความเป็นบุคคลจริงได้ทุกสถานการณ์
เลื่อนแผนภาพซ้าย–ขวาเพื่อดูรายละเอียดครบทุกส่วน
ตัวอย่างเชิงออกแบบ
ตัวอย่างเชิงศึกษา: เปรียบเทียบกระบวนการยืนยันด้วยบัตรกับทางเลือกยืนยันใบหน้าในสภาพแวดล้อมที่ได้รับอนุญาต ผู้ที่จับคู่ไม่สำเร็จมีทางเลือกให้เจ้าหน้าที่ตรวจ ไม่ถูกปฏิเสธสิทธิ์หรือถูกกล่าวหาว่าปลอมตัวจากคะแนนเดียว
ในกรณีสมมติ ผู้มีสิทธิ์จับคู่ไม่ได้เพราะแสงหรือมุม เจ้าหน้าที่ควรใช้ขั้นตอนทางเลือกที่อนุมัติ ไม่ให้ลองซ้ำไม่จำกัดหรือกล่าวหาว่าเป็นคนอื่น การเพิ่มความสว่างอาจช่วยภาพแต่ต้องเหมาะกับสถานที่และผู้ใช้ ทางเลือกไม่ใช้ชีวมิติต้องคงสิทธิ์เข้าถึงตามกฎ ไม่เป็นบทลงโทษสำหรับคนที่ระบบจับคู่ไม่สำเร็จ
ก่อนเสนอใช้งาน ให้เปรียบเทียบความจำเป็นกับบัตรและขั้นตอนเจ้าหน้าที่ พร้อมประเมินการเก็บ ลบ และถอนสิทธิ์ การทดสอบใช้ข้อมูลที่ได้รับอนุญาตแยกจากฐานจริงและไม่เชื่อมฐานอื่นโดยไม่มีวัตถุประสงค์ หากเสนอฟังก์ชันใบหน้าในอนาคตต้องระบุเป็นการศึกษา ไม่อ้างว่ามีระบบติดตั้งหรือผ่านข้อกำหนดแล้ว
ข้อมูลนำเข้าและเงื่อนไขเริ่มต้น
ต้องประเมินความจำเป็น ฐานการประมวลผล การแจ้งผู้เกี่ยวข้อง การเก็บ template และสิทธิ์ลบ ใช้ชุดทดสอบที่ได้รับอนุญาต และแยกฐานทดสอบจากฐานใช้งานจริง
กำหนดว่าจะเทียบหนึ่งต่อหนึ่งหรือค้นฐาน และใครมีสิทธิ์ลงทะเบียน ข้อมูลต้องมีที่มาและวัตถุประสงค์จำกัด ไม่ดึงภาพจากแหล่งอื่นเพื่อเพิ่มฐานให้ใหญ่โดยไม่มีการอนุญาต
ผลควรเป็นจับคู่ ไม่จับคู่ หรืออ่านไม่ได้ พร้อมช่องตรวจเจ้าหน้าที่ ไม่แสดงคะแนนความน่าเชื่อถือ สุขภาพ หรืออารมณ์ การบันทึกเหตุควรลดข้อมูลชีวมิติและจำกัดอายุเก็บตามหน้าที่
ขั้นตอนทดลองและเชื่อมงาน
- 1พิจารณาทางเลือกไม่ใช้ชีวมิติก่อนและกำหนดวัตถุประสงค์จำกัด
- 2ทดสอบ verification พร้อมการตรวจการนำเสนอที่เหมาะกับ threat model
- 3กำหนด fallback ให้คนตรวจและทดสอบการถอนสิทธิ์กับการลบข้อมูล
การประเมินและเกณฑ์ตรวจรับ
ประเมิน false match และ false non-match ที่ threshold เดียวกันพร้อมช่วงความไม่แน่นอน ตรวจแสง มุม และอุปกรณ์โดยไม่สร้างข้อสรุปเรื่องคุณลักษณะอ่อนไหว เกณฑ์ต้องรวมความเสี่ยงของการเข้าโดยผิดคนและการปฏิเสธผู้มีสิทธิ์
false match คือรับคู่ที่ไม่ควรตรง false non-match คือไม่รับคู่ที่ควรตรง ต้องรายงานจำนวนทดสอบและเงื่อนไข ไม่สรุปจากคู่ตัวอย่างน้อยหรือผลชุดสาธารณะว่าใช้ได้ในสถานที่จริง
ให้ผู้เกี่ยวข้องตรวจการถอนสิทธิ์ การลบข้อมูล และทางคัดค้านผลในระบบทดสอบ การตรวจรับต้องมีผู้รับผิดชอบสิทธิ์บุคคล ไม่ผ่านงานเพียงเพราะประตูเปิดจากคำตอบจับคู่ได้ครั้งหนึ่ง
เลื่อนแผนภาพซ้าย–ขวาเพื่อดูรายละเอียดครบทุกส่วน
กรณีล้มเหลวและข้อจำกัด
คะแนนคล้ายไม่พิสูจน์ตัวตนและการตรวจภาพไม่รับรอง liveness ทุกการโจมตี การเก็บ template ไม่ทำให้หมดความเสี่ยงข้อมูลส่วนบุคคล ไม่มีการยืนยันการใช้งานลูกค้า และระบบนี้ไม่ควรตัดสินสิทธิ์สำคัญโดยปราศจากช่องทางมนุษย์
ข้อมูลที่รั่วไม่สามารถเปลี่ยนใบหน้าเหมือนเปลี่ยนรหัสผ่าน ต้องพิจารณาความจำเป็นและวิธีลดข้อมูลตั้งแต่ต้น การเข้ารหัสช่วยบางส่วนแต่ไม่แก้สิทธิ์กว้างหรือวัตถุประสงค์ที่ไม่เหมาะสม
แนวทางยืนยันตัวตนใช้เป็นกรอบออกแบบ ไม่ใช่คำรับรองทางกฎหมายหรือความพร้อมผลิตภัณฑ์ การใช้ผลต้องจำกัดขอบเขตและมีผู้ตรวจ ไม่เปลี่ยนจากยืนยันเข้าออกไปสู่ติดตามบุคคลหรืออนุมานคุณลักษณะอ่อนไหว
รายการตรวจสอบก่อนใช้งาน
- พิสูจน์ความจำเป็นเหนือทางเลือกไม่ใช้ชีวมิติหรือไม่
- มีช่องทางมนุษย์และการคัดค้านผลหรือไม่
- การถอนสิทธิ์และลบ template ทดสอบจริงหรือไม่