爱加密人脸识别渗透测试服务是一项专门针对存在人脸识别业务进行安全风险的深度安全评估服务。我们拥有资深的安全专家团队，具备丰富的业务安全测试经验，能够从攻击者视角深入分析业务系统的安全薄弱环节，发现传统安全工具无法检测的业务逻辑缺陷。
服务全面覆盖移动应用、Web应用、微信公众号及微信小程序等多个平台，综合采用静态代码分析、动态行为监测、逆向工程分析等多种技术手段，确保测试的全面性和深度。我们从模拟真实攻击场景的角度出发，注重漏洞的组合利用和攻击链构建，深度挖掘业务设计安全、活体识别设计安全、人脸对比安全、代码安全等等。
| 检测内容 | 描述 |
|---|---|
| 安全设计 |
业务设计：检查App的登陆、改密、找回密码、门禁、设备绑定、手机号修改、大额转账等等… 活体识别设计：检测App在进行人脸识别前是否具备活体识别步骤、活体识别功能是否进行了随机动作序列检测、活体识别功能是否使用随机三色认证等等… 人脸对比：检测是否能使用受害者视频通过人脸对比、是否能使用照片+切眼攻击通过人脸对比、是否能使用照片通过人脸对比等等… SDK安全：检测SDK版本是否过低，是否存在已知绕过漏洞、能否在 APK 中直接看到人脸识别相关的采集代码等等… |
| 基础防护 |
代码安全检查：检查App是否进行了代码加固、检查App人脸识别相关SO文件是否进行了代码加固、检查App人脸识别相关脚本文件是否进行了代码加固等等… 客户端安全：检测App是否具备反代码注入功能、App的组件是否存在代码注入、App使用WebView组件时是否采用合理、合规的安全配置等等… 数据泄露：检测是否在Logcat日志中泄露人脸数据、是否在其他日志文件中泄露人脸数据、是否在存储空间中存储了历史采集的人脸数据等等… 人脸数据存储：检测本地存储人脸原始数据、人脸数据与其它个人身份信息隔离存储、明文存储人脸数据等等… |
| 运行时防护 |
Root/越狱：包括了常规Root环境检查、高级Root环境检查。 Xposed环境：包括了常规Xposed环境检查、高级Xposed环境检查。 Frida环境：包括了常规Frida环境检查、高级Frida环境检查。 模拟器：在被用于攻击的主流模拟器上（逍遥模拟器、夜神模拟器等）环境下，App是否能够有效检测模拟器环境，并提示用户安全风险或者阻止运行。 危险代理：App是否能够有效检测危险代理环境，并提示用户安全风险或阻止运行。 定制化ROM：App是否能够有效检测定制化ROM环境，并提示用户安全风险或阻止运行。 数据传输：检测包括了人脸数据未加密传输、人脸数据未进行完整性保护、https未校验主机名等等… 活体检测：检测包括了照片、高清视频、AI换脸。 |
| 内核、系统层替换攻击 |
内核层HAL虚拟设备图像替换：在启用了HAL虚拟摄像头的定制化ROM中运行目标App，触发相关的人脸识别业务功能，App是否能有效检测系统中的虚拟摄像头，或通过其他机制提升虚拟设备攻击成本。 内核层HIDL虚拟设备图像替换：在启用了HIDL虚拟摄像头的定制化ROM中运行目标App，触发相关的人脸识别业务功能，App是否能有效检测系统中的虚拟摄像头，或通过其他机制提升虚拟设备攻击成本。 Camera服务图像替换：在包含篡改过的Camera服务的定制化ROM中运行目标App，触发相关的人脸识别业务功能，App是否能有效检测系统中的虚拟摄像头，或通过其他机制提升虚拟设备攻击成本。 |
| 内存替换攻击 |
摄像头API函数Hook图像替换：检测包括了Hook函数检测、人脸识别绕过检查。 内部函数Hook替换：检测包括了：Hook函数检测、人脸识别绕过检查。 活体识别函数Hook：检测包括了：Hook函数检测、活体识别参数控制修改、人脸识别绕过检查。 业务逻辑函数Hook：检测包括了：Hook函数检测、人脸识别绕过检查等等。 加密、解密函数Hook：检测包括了：Hook函数检测、人脸识别绕过检查。 |
| 流量层数据替换 |
流量图像替换：检测包括了图像完整性检查、图像替换检查。 流量视频替换：检测包括了视频完整性检查、视频替换检查。 业务逻辑状态码篡改：检测篡改识别状态码后，人脸识别业务逻辑是否能被绕过。 业务逻辑流程篡改：检测包括了尝试阻止App人脸识别业务中的图像识别上送功能、尝试将有漏洞的接口复用到其他流程上进行绕过测试。 |
| 业务逻辑 |
未授权访问：检测App在服务端存储的人像数据（图像、视频、身份证等）的URL是否暴露、泄露或能够被猜测。 越权：检测人脸识别录入功能是否存在越权访问，能够替换掉其他用户的人脸识别数据。 信息泄露：检测服务端是否存在日志泄露漏洞，日志中是否包含人脸识别相关的功能、数据和日志。 |
| 人脸识别特殊环境 | 特定 SDK 环境：针对使用（指定厂家）的 SDK 的 app 进行安全性测试。 |
丰富的项目经验、20+资深的安全专家，提供全面可靠的安全检测分析。
符合行业安全标准检测，数百家企业验证。
在涵盖基础检测和深度检测的全部检测项的同时，兼顾侧重点检测，给予更全面、更专业、更贴合应用的量身打造的检测服务。
关注我们
微信公众号
京ICP备13010720号-16