TCITIF 006-2023 远程人脸识别系统防注入攻击技术要求及测试方法.pdfVIP

ICS 35.240 CCS L 80 团 体 标 准 T/CITIF 006—2023 远程人脸识别系统防注入攻击技术 要求及测试方法 Technical requirements and testing methods for preventing injection attacks in remote facial recognition systems 2023 - 08 –21 发布 2023 - 08 –21 实施 中国电子信息行业联合会 发布 目 次 前 言 II 引 言 III 1 范围 1 2 规范性引用文件 1 3 术语和定义 1 4 缩略语 2 5 概述 2 5.1 系统架构 2 5.2 安全风险 2 6 技术要求 3 7 测试方法 3 7.1 测试工具 3 7.2 测试数据 3 7.3 测试流程 4 附录 A （规范性）不同远程人脸识别系统对应检测项 6 I 前 言 本文件按照GB/T 1.1—2020 《标准化工作导则第 1 部分：标准化文件的结构和起草规则》的规定 起草。 本文件由中国电子信息行业联合会提出并归口。 请注意本标准的某些内容可能涉及专利，本标准的发布机构不承担识别专利的责任。 本文件起草单位：国家工业信息安全发展研究中心、国家语音及图像识别产品质量检验检测中心、 梆梆安全科技有限公司、京东科技信息技术有限公司、杭州海康威视数字技术股份有限公司、小视科 技（江苏）股份有限公司、北京瑞莱智慧科技有限公司、北京智游网安科技有限公司、上海依图网络 科技有限公司、上海商汤智能科技有限公司、蚂蚁科技集团股份有限公司、北京百度网讯科技有限公 司、罗克佳华科技集团股份有限公司、大同市数字政府服务中心、北京信源电子信息技术有限公司大 同分公司、北京信源电子信息技术有限公司吉安分公司。 本文件主要起草人：朱倩倩、刘永东、李美桃、盖阔、尹良、刘宇光、彭屾屾、王晶晶、王升国、 杨帆、郝强、种国双、高云龙、倪邦杰、乔思渊、韦云霞、萧子豪、韩云、傅林、赵春昊、刘国帅、 崔志超、林冠辰、郭建领、李世勇、薛学琴、周永修、 韩杰、马国斌。 II 引 言 随着数字化转型的推进，人脸识别技术在社会发展和日常生活中被广泛应用，尤其在金融、政务、 医疗、安检、支付、文娱等诸多领域和场景发挥重要作用，但随之带来的安全隐患也备受争议。攻击 者能够使用多种不同的攻击技术，利用在黑灰产界获取的一批真实身份证及照片信息，绕过现有 App 的人脸活体检测等前端校验机制，盗用他人信息完成非本人在场的业务交易，最终实现虚假开卡、虚 假开户、虚假签到、账号及信息窃取等业务违规目的。当前，注入攻击已成为远程人脸识别系统的重 大安全隐患，安全事件频繁发生，危害国家安全、社会安全和个人安全。 本文件提出了远程人脸识别系统在满足GB/T 38671 基础上，防注入攻击的技术要求和测试方法， 适用于检验检测机构、技术开发方和技术应用方等开展人脸识别系统防注入攻击的测试，提升系统防 注入攻击技术安全水平，保障人脸识别应用安全。 III 远程人脸识别系统防注入攻击技术要求和测试方法 1 范围 本文件规定了远程人脸识别系统防注入攻击的技术要求和测试方法。 本文件适用于检验检测机构、技术开发方和技术应用方等开展远程人脸识别系统防注入攻击的测 试。 2 规范性引用文件