A biometria facial com prova de vida tornou-se o método mais comum para confirmar a identidade de quem contrata um serviço pelo celular. Para o que foi projetada, ela funciona bem. O problema é que o resultado costuma ser tratado como prova definitiva quando, tecnicamente, é um indício cuja força depende do que foi guardado e de como foi implementado. Este texto explica como o processo funciona, onde estão seus limites e quais registros precisam existir para que a verificação possa ser refeita depois.
Em perícias que envolvem contratação eletrônica contestada, a pergunta raramente é se a tecnologia é boa. A pergunta é outra: o que, exatamente, o sistema registrou naquele momento, e esse registro permite concluir que a pessoa que contratou foi a pessoa que alega não ter contratado?
Como o processo funciona
Há duas etapas distintas, que muitas vezes são apresentadas como uma só. A primeira é a prova de vida (liveness): o aplicativo pede movimentos, aproximação da câmera ou analisa sinais da imagem para decidir se há uma pessoa real diante do sensor e não uma foto, um vídeo ou uma máscara. A segunda é a comparação facial: a imagem capturada é confrontada com uma imagem de referência, normalmente a de um documento ou de uma base oficial, e o sistema devolve uma pontuação de similaridade.
Essa pontuação não é um “sim” ou “não”. Ela é comparada a um limiar definido por quem opera o sistema. Limiar baixo aprova mais gente e aceita mais erros; limiar alto rejeita mais clientes legítimos. A escolha é uma decisão de negócio, e não uma propriedade da tecnologia.
O que um resultado “aprovado” diz
Diz que, segundo aquele motor, naquela versão e com aquele limiar, a captura foi considerada de uma pessoa viva e suficientemente parecida com a referência. Só isso. Não diz quem segurava o aparelho de fato, se a pessoa entendia o que estava assinando, nem se ela foi induzida por terceiros a fazer o procedimento. A prova de vida pode ser aprovada com uma pessoa real, presente e enganada.
Limitações que precisam ser conhecidas
Os sistemas biométricos têm taxas de falsa aceitação e de falsa rejeição, e elas variam com a qualidade da câmera, a iluminação e a idade da imagem de referência. Uma foto de documento de muitos anos atrás já é, por si, uma fonte de erro.
Há também duas famílias de ataque. Nos ataques de apresentação, o fraudador mostra à câmera uma foto, um vídeo ou uma máscara; a norma ISO/IEC 30107 trata da detecção e dos testes dessa categoria. Nos ataques de injeção, o fluxo de vídeo nem passa pela câmera: um software substitui a imagem por outra, gerada ou previamente gravada. Os dois cenários exigem controles diferentes, e quem só testou o primeiro pode estar desprotegido contra o segundo.
O que precisa estar registrado
Para que uma biometria possa ser auditada depois, não basta guardar a informação de que “passou”. O conjunto mínimo que costumo esperar encontrar inclui:
- a imagem ou o vídeo da captura, ou ao menos o modelo biométrico gerado, com sua forma de guarda descrita;
- a pontuação obtida, o limiar aplicado e a versão do motor de reconhecimento;
- o resultado de cada etapa (prova de vida e comparação) e as falhas anteriores, se houve tentativas;
- data e hora com fuso horário e a fonte de tempo utilizada;
- identificador do dispositivo, endereço IP e, quando houver, geolocalização;
- o vínculo entre a captura e o documento assinado, de preferência pelo hash do contrato incluído no próprio evento.
Esse último item merece atenção. Uma selfie aprovada às 14h10 e um contrato gerado às 14h12 podem ou não ter relação. Quando o hash do documento faz parte do registro da biometria, a ligação fica demonstrada. Quando não faz, a ligação é uma afirmação.
Boas práticas para quem implementa
Vincular a biometria ao conteúdo exato do que está sendo aceito, guardar as evidências em formato íntegro e com carimbo de tempo emitido por terceiro (o assunto é tratado no artigo sobre timestamping) e manter um procedimento de auditoria que permita reproduzir a decisão do sistema. Também vale registrar as tentativas malsucedidas, que dizem muito sobre o comportamento de quem operava o aparelho.
Para quem contesta uma contratação
O ponto de partida é pedir o que foi efetivamente registrado, e não apenas a descrição do fluxo. Telas ilustrativas de como o aplicativo costuma funcionar mostram o desenho do sistema; só os registros mostram o que aconteceu naquela contratação específica. A distinção parece óbvia, mas é nela que muitas análises ganham ou perdem consistência.
A biometria facial é um recurso valioso e, bem implementada, eleva bastante o custo de uma fraude. Ela se torna uma prova sólida quando vem acompanhada de registros completos, íntegros e verificáveis por quem não participou da operação.
