Configurações de biometria - Rest PKI Core

A seção Configurações de biometria do painel guarda os padrões das sessões de biometria da sua assinatura (subscription): quais provedores capturam e verificam a face, quando a face é conferida com uma fonte externa, quão parecidas duas faces precisam ser para corresponder e quais URLs de retorno e identificadores são aceitos.

Cada campo começa em Usar padrão do sistema, que segue a configuração da instância (nas suas próprias instâncias, a seção Bio do appsettings; veja Padrões da instância). Escolha um valor para sobrescrevê-lo só na sua assinatura. Quando existe um parâmetro de sessão para a mesma coisa, o valor enviado na criação da sessão vale mais que os dois.

Abrindo as configurações

1. Autentique-se no painel de controle da sua instância.
2. No menu lateral, clique em Configurações.
3. Localize a seção Configurações de biometria. Ela mostra o valor em vigor de cada campo.
4. Clique em Editar, altere os campos e clique em Salvar. Descartar sai sem salvar.

Redefinir configurações volta todos os campos da seção para Usar padrão do sistema.

A captura de geolocalização tem uma seção própria: veja Configuração de geolocalização.

Provedores e plataforma

Campo	Valores	Padrão do sistema	O que faz
Padrão de provedor de captura facial	FaceTec Liveness3d, FortFace Liveness	FaceTec Liveness3d	O provedor que captura a face e faz a prova de vida. Só aparecem os provedores disponíveis na instância. O parâmetro FaceCaptureProvider da sessão vale mais que ele (veja os detalhes).
Provedor de verificação de identidade facial	Datavalid, FortFace	Nenhum	O serviço externo usado pela verificação externa de identidade. O Datavalid é o serviço do Serpro, que compara a face com a foto dos registros do governo.
Preferência de plataforma	Sem preferência, Sugerir dispositivo móvel, Exigir dispositivo móvel	Sem preferência	Se o usuário recebe a sugestão, ou a obrigação, de continuar no celular por um QR code. O parâmetro PlatformPreference da sessão vale mais que ele (veja os detalhes).

Verificação externa de identidade

A verificação externa de identidade compara a face capturada com um registro externo da pessoa, pelo Provedor de verificação de identidade facial, além das verificações do próprio Rest PKI Core. Dois campos a ligam:

Campo	Padrão do sistema	O que faz
Padrão de verificação de identidade facial externa	Desabilitado	Padrão das sessões de cadastro biométrico. Habilitado, o cadastro confere a face com o provedor antes de cadastrar o subject, e falha com FaceIdentityVerificationFailed se o provedor não responder com uma boa correspondência. O parâmetro VerifyFaceIdentityExternally da sessão vale mais que ele.
Sessões de autenticação: Verificar a identidade facial externamente caso não haja correspondência	Desabilitado	Quando uma autenticação facial não corresponde à face cadastrada do subject, a face é conferida com o provedor em vez de a sessão falhar na hora. A sessão é bem-sucedida se o provedor responder com uma boa correspondência, e falha com FaceIdentityVerificationFailed caso contrário. As sessões de autenticação não têm parâmetro para sobrescrevê-lo: só este campo decide.

Sessões de autenticação: Verificar a identidade facial externamente caso não haja correspondência não pode ser habilitado enquanto a validação manual estiver habilitada para a sua assinatura: as duas decidem o que acontece quando não há correspondência, então o salvamento é recusado.

Permissão para usá-la (v5.1.0)

Desde a v5.1.0, a verificação externa de identidade precisa de duas coisas, ambas desligadas por padrão:

• na instância, Bio:EnableExternalIdentityVerifications com true (nas suas próprias instâncias, no appsettings);
• na sua assinatura, a permissão geral Realizar verificações externas de identidade, que um administrador do sistema concede no Sys Admin. Nas suas próprias instâncias, Bio:DefaultCanPerformExternalIdentityVerifications com true a concede a toda assinatura que não tenha um valor próprio.

Enquanto faltar uma delas:

• a seção mostra um aviso dizendo qual falta;
• o salvamento é recusado quando ligaria um dos dois campos acima ou mudaria o Provedor de verificação de identidade facial. Desligá-los, e salvar os outros campos, sempre funciona;
• uma sessão que pede uma verificação externa é recusada na criação, com o código de erro ExternalIdentityVerificationsNotEnabled.

aviso

Uma sessão de autenticação pede uma verificação externa sempre que Sessões de autenticação: Verificar a identidade facial externamente caso não haja correspondência está em vigor, mesmo por Usar padrão do sistema. Se a sua assinatura não pode realizar verificações externas de identidade e esse campo está habilitado (ou o padrão do sistema está), toda autenticação facial falha com ExternalIdentityVerificationsNotEnabled. Coloque o campo em Desabilitado explicitamente, e não em Usar padrão do sistema. O mesmo vale para os cadastros e Padrão de verificação de identidade facial externa, a menos que todo cadastro envie VerifyFaceIdentityExternally com false.

Correspondência

Campo	Padrão do sistema	O que faz
Habilitar autenticação facial com baixa qualidade	Desabilitado	Permite que a autenticação facial aceite imagens de qualidade mais baixa. Enquanto estiver habilitado, um nível mínimo de Autenticação facial acima de 5 é tratado como 5, o que diminui a segurança da sua aplicação. Salvar com ele habilitado pede confirmação.
Sessões de cadastro: identificar e negar duplicatas	Desabilitado	Só aparece quando as identificações faciais (1:N) estão habilitadas para a sua assinatura. Habilitado, o cadastro procura entre os subjects já cadastrados e falha com DuplicatesFound se a face já estiver lá com outro identificador.

Níveis mínimos de correspondência

Cada controle deslizante define quão parecidas duas faces precisam ser para a comparação passar. Um nível mais alto é mais rigoroso: passam menos impostores, e mais usuários legítimos são recusados. O botão de atualizar ao lado de cada controle volta ao padrão do sistema.

Controle	Compara	Padrão do sistema	Faixa
Verificação de imagem de cadastro - Nível mínimo de correspondência própria (2D/2D)	A imagem do cadastro com ela mesma, para conferir se é nítida o bastante para ser usada depois. Abaixo do nível, o cadastro falha com FaceNotFoundWithSufficientQuality	6	1 a 6
Autenticação facial - Nível de correspondência mínimo (3D/2D)	A face capturada com a cadastrada, quando só uma delas é 3D (por exemplo, uma captura com prova de vida 3D e um subject cadastrado a partir de uma imagem)	9	1 a 9
Autenticação facial - Nível de correspondência mínimo (2D/2D)	A face capturada com a cadastrada, quando nenhuma é 3D	5	1 a 6
Correspondência de documento com face (FaceTec) - Nível de correspondência mínimo (2D/2D)	Uma face 2D com a foto do documento de identificação	6	1 a 6
Correspondência de documento com face (FaceTec) - Nível de correspondência mínimo (3D/2D)	Uma face capturada com prova de vida 3D com a foto do documento de identificação	7	1 a 7
Correspondência de documento com face (FortFace) - Nível de correspondência mínimo	A face com a foto do documento de identificação, quando o FortFace captura o documento	10	1 a 16

Os controles de documento valem para as sessões que capturam um documento de identificação (o parâmetro CaptureIdentificationDocument do cadastro e as sessões de captura de documento).

Whitelist de URLs de retorno

As authorities (esquema e host, mais a porta quando não é a padrão) para onde o ReturnUrl de uma sessão pode apontar, como https://contoso.com. Ao adicionar uma entrada, o caminho é removido.

• Vazia (padrão): qualquer URL de retorno é aceita, e a seção mostra "Whitelist desabilitada - todas as URLs de retorno serão aceitas".
• Com entradas: uma sessão cujo ReturnUrl aponta para outra authority é recusada na criação, com o código de erro BioSessionReturnUrlAuthorityNotWhitelisted.

A lista aceita até 50 entradas (Bio:MaxBioSessionReturnUrlWhitelistedAuthorities nas suas próprias instâncias). As sessões que usam TrustedOrigin em vez de ReturnUrl não são afetadas (veja a diferença).

Formatos de identificador permitidos

Quais formatos de SubjectIdentifier um cadastro aceita: CPF (11 dígitos, sem pontuação), CNPJ (14 dígitos, sem pontuação) e E-mail (endereço válido).

Na tela	Cadastros aceitos
Usar padrões do sistema ligado	O que a instância permitir (Bio:AllowedSubjectIdentifierFormats). A seção mostra esse padrão
Usar padrões do sistema desligado, nada marcado	Qualquer identificador, mesmo que a instância os restrinja
Usar padrões do sistema desligado, alguns formatos marcados	Só esses formatos

Um cadastro com outro formato é recusado no início, com o código de erro InvalidSubjectIdentifier. A configuração não afeta as autenticações nem os subjects já cadastrados. Veja Configuração para os formatos de identificador.

Padrões da instância

Nas suas próprias instâncias (on-premises), Usar padrão do sistema significa estas chaves da seção Bio do appsettings:

Campo	Chave	Padrão
Padrão de provedor de captura facial	Bio:DefaultFaceCaptureProvider	FaceTecLiveness3d
Provedor de verificação de identidade facial	Bio:DefaultFaceIdentityVerificationProvider	Nenhum
Preferência de plataforma	Bio:DefaultPlatformPreference	NoPreference
Padrão de verificação de identidade facial externa	Bio:DefaultVerifyFaceIdentityExternally	false
Sessões de autenticação: Verificar a identidade facial externamente caso não haja correspondência	Bio:AuthenticationVerifyFaceIdentityExternallyOnNoMatch	false
Habilitar autenticação facial com baixa qualidade	Bio:UseLowQualityFaceAuthentication	false
Sessões de cadastro: identificar e negar duplicatas	Bio:Identification:DefaultEnrollmentIdentifyDuplicates	false
Verificação de imagem de cadastro	Bio:Enrollment2dValidationFaceTecMinMatchLevel	6
Autenticação facial (3D/2D)	Bio:AuthenticationFaceTecMatch3d2dMinMatchLevel	9
Autenticação facial (2D/2D)	Bio:AuthenticationFaceTecMatch2d2dMinMatchLevel	5
Correspondência de documento com face (FaceTec) (2D/2D)	Bio:DocumentFaceMatch2d2dMinMatchLevel	6
Correspondência de documento com face (FaceTec) (3D/2D)	Bio:DocumentFaceMatch3d2dMinMatchLevel	7
Correspondência de documento com face (FortFace)	Bio:FortFaceDocumentFaceMatchMinMatchLevel	10
Formatos de identificador permitidos	Bio:AllowedSubjectIdentifierFormats, separados por vírgula: CPF, CNPJ, EMAIL	Vazio (qualquer formato)
Permissão para usar a verificação externa de identidade	Bio:EnableExternalIdentityVerifications, Bio:DefaultCanPerformExternalIdentityVerifications	false, false

Duas configurações relacionadas existem só na instância: Bio:AuthenticationUpdateSubjectFaceOnExternalFaceIdentityGoodMatch (padrão false) troca a face cadastrada do subject pela nova depois de uma boa correspondência externa numa autenticação facial, e Bio:DatavalidGoodMatchMinLevel e Bio:DatavalidUncertainMatchMinLevel (padrões 0.93 e 0.85) definem a similaridade que o Datavalid precisa informar para uma correspondência boa ou incerta.