La détection de vivacité (liveness detection) vérifie qu'un échantillon biométrique provient d'une personne vivante et physiquement présente, et non d'une photo, d'un masque, d'un enregistrement ou d'un contenu généré. Elle relève plus largement de la PAD (presentation attack detection), dont les méthodes d'évaluation sont normalisées par la série ISO/IEC 30107.
Méthodes actives et passives
- Active : l'utilisateur exécute une consigne — tourner la tête, cligner des yeux, prononcer une phrase affichée à l'écran. Plus robuste face aux supports statiques, mais plus contraignante.
- Passive : l'analyse porte sur le signal lui-même — micro-mouvements, texture de la peau, reflets, profondeur, cohérence temporelle — sans rien demander à l'utilisateur.
Les dispositifs sérieux combinent les deux, parfois avec un capteur de profondeur ou une illumination active.
La limite décisive : l'injection
La détection de vivacité suppose qu'un capteur observe une scène réelle. Cette hypothèse tombe si l'attaquant n'attaque pas devant le capteur mais en amont : caméra virtuelle, flux vidéo injecté, pilote détourné, application émulée. Le système reçoit alors un flux parfaitement « vivant » au sens des indices analysés, mais entièrement synthétique.
Les contre-mesures existent — attestation de l'appareil, contrôle d'intégrité de l'application, analyse du canal d'acquisition — mais elles déplacent le problème vers la sécurité de la plateforme. C'est une raison de ne pas faire reposer une décision critique sur la seule biométrie, et d'exiger une preuve d'un autre ordre : ce que l'utilisateur sait faire.
Aller plus loin : détecter un deepfake : ce qui marche encore · KYC à distance et deepfake · définition du FAR et du FRR · le 4ᵉ facteur cognitif