- 威胁建模
- 安全设计评审
- 生物识别解决方案分析
- 解决方案测试
- 专业 解释与指导
威胁建模
我们识别关键资产及其可能遭受攻击的途径——生物特征模板、加密密钥、身份验证流程以及最终决策结果。我们将共同绘制传感器、安全计算环境、应用程序和后端之间的信任边界图，并就攻击者特征和成功标准达成一致，从而确保测试压力与您实际面临的风险相匹配，而非仅仅遵循一份通用的检查清单。
安全设计评审
我们评估架构、数据流和权限中的漏洞。这意味着追踪数据从捕获、匹配到服务器消费的全过程，检查包括第三方库和平台服务 在内的依赖关系，并审查备用方案和错误处理机制——这些通常是绕过机制的藏身之处。我们验证声明是否经过加密绑定，状态转换是否明确，以及各组件是否相互验证彼此的断言。
生物识别解决方案分析
我们对生物识别链中的系统漏洞和可被利用的情况进行了审查，包括：活体检测和匹配逻辑、采集后信号处理流程的完整性、认证及设备状态处理，以及模板在注册、重新注册和删除过程中的存储与管理方式。
解决方案测试
我们针对因硬件篡改、软件漏洞利用或后端漏洞而产生的绕过途径对解决方案进行测试。测试内容包括：针对捕获路径的受控呈现攻击、信号处理管道内的注入与重放、应用程序和 API 边界的探测，以及通过改变设备状态来测试认证和安全硬件绑定。每个步骤均有详细记录以确保可重现性，从而使您的团队能够复现测试结果。
专业 解释与指导
我们将发现的问题转化为符合您目标的可操作安全改进措施，并根据影响程度和可利用难度进行优先级排序——包括强化信任边界、提升生物识别防御能力以及消除宽松的备选方案。通过有针对性的重新测试，可确认修复措施已有效填补了预期的漏洞，并有助于识别回归问题。
生物识别系统在处理流程的多个层面上都面临威胁。我们对整个流程链进行全面审查，以提供可供您使用的证据，无论您是需要满足合规要求，还是遵循开发人员的安全标准。
我们支持的标准和项目
是德科技是一家经EMVCo认证的安全实验室，可开展基于软件的移动支付（SBMP）评估，包括消费类设备持卡人验证方法。如果您的生物识别技术在消费类设备上对支付交易进行验证，这通常就是您履行义务的起点。我们可以将您的生物识别评估纳入更广泛的SBMP评估中进行。
《合规性评估及安全测试 》涵盖了将生物识别技术用作持卡人验证步骤的移动支付实施方案。我们依据CAST要求进行评估，并将相关工作与EMVCo或Visa的任何平行活动保持一致，从而实现证据的一次性生成。
“安全设备连接协议”（SDCP）对为 Windows Hello 提供支持的指纹和面部传感器提出了要求，涵盖了传感器与主机之间的可信路径。我们已根据 SDCP 要求，对向 Windows 生态系统供货的芯片和模块供应商的指纹传感器进行了评估。
根据《eIDAS 2.0》进行的远程身份验证，正将高水平的PAD和IAD保障转变为对合格信任服务提供商和全功能EUDI钱包的硬性要求。如果您正在为欧洲市场构建远程开户流程，那么抗注入能力正逐渐成为进入该市场的必要条件。
FIDO的生物识别组件认证范围已从“展示攻击”扩展至“注入攻击”检测。如果您的组件将在此计划下接受评估，请与我们联系，了解我们的评估工作如何与之配合。
联网产品中的生物识别认证属于CRA“安全设计”、漏洞处理以及技术文档义务的范畴。如果您已经实施了CRA或RED计划，则可将生物识别评估纳入该路线图中。
与是德科技合作
二十五年来，安全测试 技术始终应用于生物识别链的端到端流程。
以攻击者的思维方式进行评估
数十年来，我们的团队一直致力于通过侧信道分析、故障注入以及硬件和固件逆向工程，在真实的嵌入式产品中发现实际的漏洞。这些经验塑造了我们确定测试范围、进行测试以及提供建议的方式——因此，您的评估结果能够反映产品抵御现实世界攻击的能力，而不仅仅是一份勾选完成的检查清单。
可重复的实验结果
我们对测试的每一步都进行了记录，包括每个发现的复现步骤、先决条件和概念验证材料。您的团队可以直接复现这些结果，从而加快问题解决速度。我们会根据影响程度和可利用性对发现的问题进行优先级排序，并在制定建议时综合考虑用户体验、性能和成本等因素。
符合您合规目标的测试
我们已获得 EMVCo、万事达卡 CAST 和微软 SDCP 评估的认证，能够根据您的合作伙伴所期望的要求来调整您的测试方案。在早期阶段就正确处理认证声明、模板生命周期和决策流程，可确保认证过程顺利进行——这样，正式评估就能验证您已经了解的内容，而不是在项目后期才出现意外情况。
加载中
精选博客
我们的专家会定期在博客中分享实用的见解。了解设备安全领域的最新动态。
是德科技的专业知识和指导使我们的指纹传感器安全评估工作顺利高效地进行，帮助我们充满信心地满足了微软 SDCP 的安全要求。
乔·叶
ELAN微电子公司执行副总裁