Liveness-detectie: hoe technologie checkt of je echt een levend mens bent
Stel je voor: je wilt via je telefoon een bankrekening openen zonder naar een kantoor te gaan. De app vraagt je om in de camera te kijken. Hoe weet het systeem dat het echt jouw gezicht is, op dit moment, en niet een foto van jou die iemand anders voor de camera houdt, of een video die is afgespeeld op een ander scherm? Dat is precies het probleem dat liveness-detectie oplost: technologie die controleert of er werkelijk een levend, aanwezig mens voor de sensor staat, en niet een foto, video, masker of digitaal nagemaakt gezicht.
Vergelijk het met een portier bij een feestje die niet alleen je pasfoto met je gezicht vergelijkt, maar je ook vraagt te knipperen, je hoofd te draaien of iets te zeggen — juist om te controleren dat je een levend mens bent en niet een uitgeknipte foto die iemand voor je gezicht houdt. Liveness-detectie is de geautomatiseerde versie van die controle, ingebouwd in smartphones, bankapps, grenscontrolesystemen en steeds meer plekken waar gezichts- of vingerherkenning wordt gebruikt.
Wat is het precies?
Liveness-detectie is een aanvulling op biometrische identificatie: herkenning op basis van lichaamskenmerken zoals een gezicht, vinger of iris. Gewone gezichtsherkenning vergelijkt alleen of twee gezichten bij elkaar passen. Liveness-detectie voegt daar een cruciale vraag aan toe: is dit gezicht op dit moment daadwerkelijk aanwezig, levend en onbewerkt?
Er zijn twee hoofdvormen. Bij actieve liveness-detectie moet de gebruiker iets doen: knipperen, glimlachen, het hoofd bewegen of een willekeurig getal uitspreken. Het systeem checkt of die beweging natuurlijk overkomt en op het juiste moment gebeurt.
Bij passieve liveness-detectie gebeurt de controle op de achtergrond, zonder dat de gebruiker iets merkt. De camera analyseert bijvoorbeeld huidtextuur, minuscule kleurveranderingen in de huid die worden veroorzaakt door de hartslag, reflecties in de ogen, of een dieptekaart van het gezicht (met infraroodsensoren, zoals bij Apple's Face ID) om te zien of er een driedimensionaal gezicht voor de camera staat en geen plat vlak zoals een foto of scherm.
Veel systemen combineren beide vormen en gebruiken machine learning-modellen die getraind zijn op grote hoeveelheden echte gezichten én op 'aanvallen': foto's, maskers, poppen en in toenemende mate deepfakes, kunstmatig gegenereerde nepvideo's van gezichten. Zo'n poging tot misleiding heet in de vakliteratuur een presentation attack, en de tegenmaatregel wordt presentation attack detection (PAD) genoemd, een term die ook terugkomt in de internationale norm ISO/IEC 30107 over dit onderwerp.
Wat wil men ermee bereiken?
Het kernprobleem is vertrouwen op afstand. Steeds meer identiteitscontroles verlopen digitaal: een bankrekening openen via een app, inloggen bij de overheid, een nieuwe simkaart aanvragen of een grens passeren via een zelfscanpoortje. Zonder een mens die meekijkt, moet software zelf uitsluiten dat iemand een systeem misleidt met een foto van een ander, een uitgeprint masker of een deepfake-video.
Liveness-detectie moet dus fraude en identiteitsdiefstal tegengaan bij het op afstand registreren van nieuwe klanten (in de sector 'remote onboarding' genoemd) en bij toegangscontrole. Het is ook een reactie op de groeiende kwaliteit van deepfakes: waar een simpele foto-check enkele jaren geleden vaak al volstond, moeten systemen nu ook overtuigende, door kunstmatige intelligentie gegenereerde video's kunnen herkennen.
Daarnaast speelt gebruiksgemak een rol. Liveness-detectie moet veiligheid bieden zonder dat gebruikers naar een fysiek loket moeten. Voor bedrijven en overheden is dat goedkoper en beter schaalbaar; voor gebruikers is het sneller. De uitdaging is die twee doelen in balans te houden: streng genoeg om fraude te weren, maar soepel genoeg om mensen niet te frustreren of onterecht te weigeren.
Voorbeelden uit de praktijk
Apple Face ID (geïntroduceerd in 2017 met de iPhone X) gebruikt infraroodprojectie en een dieptesensor om een driedimensionale kaart van het gezicht te maken, wat het lastiger maakt om te misleiden met een simpele foto. Onafhankelijke onderzoekers hebben in de jaren daarna wel aangetoond dat zeer nauwkeurig gemaakte maskers Face ID in specifieke gevallen konden misleiden, waarna Apple het systeem verder heeft aangescherpt.
Alipay's 'Smile to Pay' (vanaf 2017 uitgerold, onder meer bij fastfoodketens in China) liet klanten met een gezichtsscan afrekenen. Liveness-controles moesten voorkomen dat een foto van iemands gezicht werd gebruikt om namens die persoon te betalen.
China's verplichte gezichtsscan voor simkaarten: sinds eind 2019 moeten Chinese telecomklanten bij het activeren van een nieuwe simkaart een gezichtsscan met liveness-check doorlopen, als onderdeel van de 'real-name'-registratieplicht.
iProov, een Brits bedrijf gespecialiseerd in liveness-detectie, levert technologie aan overheidsdiensten en gezondheidsorganisaties in onder meer het Verenigd Koninkrijk en de Verenigde Staten, voor toepassingen zoals het veilig inloggen bij digitale overheids- en zorgdiensten.
Grenscontrole in Europa: op meerdere Europese luchthavens, waaronder Schiphol, worden al langer zelfscanpoortjes met gezichtsherkenning gebruikt voor reizigers met een biometrisch paspoort. De Europese Unie werkt daarnaast al enkele jaren aan een geautomatiseerd Entry/Exit System voor niet-EU-reizigers, dat herhaaldelijk is uitgesteld ten opzichte van eerdere planningen; de exacte ingebruikname verschuift steeds, dus lezers doen er goed aan de actuele stand bij officiële EU-bronnen te checken.
Hoe ver is de techniek?
Liveness-detectie is inmiddels breed ingeburgerd bij smartphones en bankapps, en de basisvarianten — het herkennen van platte foto's of eenvoudige videoafspeelapparaten — werken over het algemeen goed. Het Amerikaanse National Institute of Standards and Technology (NIST) test en vergelijkt commerciële systemen op hun vermogen om dit soort pogingen tot misleiding te herkennen, als onafhankelijke toetssteen voor de sector.
De grootste uitdaging is de wapenwedloop met deepfakes en steeds geavanceerdere maskers. Waar oudere aanvallen met een foto of afgedrukt masker relatief makkelijk te ontmaskeren waren, worden AI-gegenereerde gezichten en real-time 'face swap'-technieken — waarbij tijdens een videogesprek live iemands gezicht over dat van een ander wordt geplakt — steeds overtuigender. Beveiligingsonderzoekers en journalisten hebben de afgelopen jaren meerdere keren gedemonstreerd dat bepaalde identiteitscontrolesystemen op deze manier zijn omzeild, wat leidt tot voortdurende updates bij leveranciers.
Een ander punt van zorg is nauwkeurigheid over verschillende groepen mensen. Onderzoek heeft in het verleden laten zien dat sommige gezichtsherkenningssystemen minder nauwkeurig presteren voor bepaalde huidskleuren, leeftijdsgroepen of geslachten. Fabrikanten zeggen dit te verbeteren met diversere trainingsdata, maar onafhankelijke, actuele cijfers per specifiek liveness-systeem zijn niet altijd openbaar beschikbaar, dus harde uitspraken over de huidige stand per aanbieder zijn lastig te maken.
Kortom: geen enkel systeem is waterdicht. Onderzoekers publiceren regelmatig nieuwe manieren om systemen te misleiden, waarna leveranciers hun modellen bijwerken. Het is minder een 'opgelost probleem' dan een continu kat-en-muisspel.
Wie werken eraan?
Gespecialiseerde bedrijven vormen de kern van deze markt: iProov (Verenigd Koninkrijk), FaceTec (Verenigde Staten), ID R&D (overgenomen door het Amerikaanse Mitek Systems) en Onfido (Verenigd Koninkrijk, tegenwoordig onderdeel van het Amerikaanse Entrust) leveren liveness-technologie aan banken, overheden en andere klanten wereldwijd. Grote techbedrijven als Apple, Google en Samsung bouwen liveness-detectie in hun eigen ontgrendelingssystemen.
In China zijn Alibaba en Tencent belangrijke partijen, vanwege hun gezichtsbetaalsystemen. Op het gebied van onafhankelijke toetsing speelt het Amerikaanse NIST een sturende rol, terwijl internationale normering verloopt via ISO/IEC, met name de reeks ISO/IEC 30107 over presentation attack detection. De FIDO Alliance, een samenwerkingsverband van techbedrijven dat aan standaarden voor digitale authenticatie werkt, houdt zich ook bezig met biometrische beveiliging waarin liveness-eisen een rol spelen.
Op universitair niveau doen onderzoeksgroepen wereldwijd — onder meer in de Verenigde Staten, China en verschillende Europese landen — voortdurend onderzoek naar zowel nieuwe aanvalstechnieken, om zwakke plekken op te sporen, als nieuwe detectiemethoden. Veel van dit werk wordt gepubliceerd op internationale conferenties over computervisie en biometrie.