बायोमेट्रिक प्रमाणीकरण: यह क्या है, प्रकार और कार्य सिद्धांत

बायोमेट्रिक प्रमाणीकरण क्या है?

बायोमेट्रिक प्रमाणीकरण उपयोगकर्ता की अद्वितीय शारीरिक या व्यवहारिक विशेषताओं के आधार पर उसकी पहचान सत्यापित करने की प्रक्रिया है। पारंपरिक तरीकों — पासवर्ड, PIN कोड या एक-बार टोकन — के विपरीत, बायोमेट्री स्वयं व्यक्ति से जुड़ी होती है और किसी अन्य व्यक्ति को हस्तांतरित नहीं की जा सकती।

यह विधि बायोमेट्रिक विशेषताओं को पूर्व-संग्रहीत टेम्पलेट से मापने और तुलना करने पर आधारित है। प्रौद्योगिकी महंगी कॉर्पोरेट प्रणालियों से उपभोक्ता उपकरणों में बड़े पैमाने पर अपनाने तक विकसित हुई है। फिंगरप्रिंट स्कैनर वाला पहला बड़े पैमाने का स्मार्टफोन 2011 में Motorola Atrix 4G था, और आज बायोमेट्रिक सेंसर $100 से शुरू होने वाले उपकरणों में स्थापित किए जाते हैं।

बायोमेट्री पासवर्ड प्रमाणीकरण की मुख्य समस्या को हल करती है: मानव स्मृति। Hypr (2024) के एक अध्ययन के अनुसार, औसत उपयोगकर्ता के पास 100 से अधिक ऑनलाइन खाते हैं लेकिन केवल 5 अद्वितीय पासवर्ड का उपयोग करता है। बायोमेट्री जटिल संयोजनों को याद रखने की आवश्यकता को समाप्त करती है।

बायोमेट्रिक प्रमाणीकरण कैसे काम करता है?

बायोमेट्रिक प्रमाणीकरण प्रक्रिया दो चरणों में होती है: नामांकन (enrollment) और सत्यापन (verification)। नामांकन के दौरान, सिस्टम एक बायोमेट्रिक नमूना कैप्चर करता है, विशेषता विशेषताएँ निकालता है, और एक संदर्भ टेम्पलेट बनाता है। सत्यापन के दौरान, एक नए नमूने की तुलना संग्रहीत टेम्पलेट से की जाती है — एल्गोरिदम मिलान की डिग्री की गणना करता है और निर्णय लेता है।

बायोमेट्रिक नमूना कैप्चर

डिवाइस सेंसर एक कच्चा बायोमेट्रिक सिग्नल कैप्चर करता है: कैपेसिटिव मैट्रिक्स के माध्यम से फिंगरप्रिंट छवि, डॉट प्रोजेक्टर के माध्यम से 3D चेहरे का नक्शा, या माइक्रोफोन के माध्यम से आवाज स्पेक्ट्रम। कैप्चर गुणवत्ता सीधे बाद की पहचान की सटीकता को प्रभावित करती है। आधुनिक सेंसर फिंगरप्रिंट के लिए प्रति मिलीमीटर 50 से 300 माप बिंदुओं का और चेहरे के लिए 30,000 बिंदुओं तक का उपयोग करते हैं।

विशेषता निष्कर्षण और टेम्पलेट निर्माण

एल्गोरिदम कच्चे डेटा से अद्वितीय विशेषताएँ निकालता है: फिंगरप्रिंट के लिए — मिन्यूशिया (पैपिलरी रेखाओं के अंत और विभाजन), चेहरे के लिए — आँखों के बीच की दूरी, नाक का आकार और जबड़े की रूपरेखा। ये विशेषताएँ 2 से 20 KB के गणितीय टेम्पलेट में परिवर्तित हो जाती हैं। मूल छवि संग्रहीत नहीं होती — केवल विशेषता टेम्पलेट, जिससे मूल को पुनर्निर्मित नहीं किया जा सकता।

मिलान और निर्णय लेना

सिस्टम प्राप्त टेम्पलेट की संदर्भ से तुलना करता है, समानता मीट्रिक की गणना करता है। यदि मान एक निर्धारित सीमा (threshold) से अधिक हो जाता है, तो प्रमाणीकरण सफल माना जाता है। सीमा सुविधा और सुरक्षा के बीच संतुलन निर्धारित करती है: कम सीमा False Acceptance Rate बढ़ाती है, उच्च सीमा False Rejection Rate बढ़ाती है। मोबाइल उपकरणों के लिए, एक विशिष्ट सीमा FAR 0.001% पर FRR लगभग 2% के साथ निर्धारित की जाती है।

बायोमेट्रिक प्रमाणीकरण के प्रकार

मोबाइल उपकरण कई प्रकार के बायोमेट्रिक सेंसर का समर्थन करते हैं, जो सटीकता, गति और नकल के प्रतिरोध में भिन्न होते हैं। प्रत्येक प्रकार का अपना अनुप्रयोग क्षेत्र और सुरक्षा स्तर होता है।

फिंगरप्रिंट स्कैनर

मोबाइल उपकरणों में बायोमेट्री का सबसे सामान्य प्रकार। कैपेसिटिव स्कैनर त्वचा की उभारों और गड्ढों के बीच विद्युत क्षमता के अंतर के आधार पर पैपिलरी पैटर्न की छवि बनाते हैं। अल्ट्रासोनिक स्कैनर, पहली बार Galaxy S10 में उपयोग किए गए, फिंगरप्रिंट के 3D पुनर्निर्माण के लिए ध्वनि तरंगों का उपयोग करते हैं — ये गीली उंगलियों के साथ भी काम करते हैं और सिलिकॉन नकल के प्रति प्रतिरोधी हैं।

चेहरे की पहचान

दो दृष्टिकोण: 2D कैमरा (सरल फ्रंट कैमरा) और 3D स्कैनिंग (स्ट्रक्चर्ड लाइट या ToF)। Apple Face ID उपयोगकर्ता के चेहरे पर 30,000 से अधिक इन्फ्रारेड बिंदु प्रोजेक्ट करता है, एक सटीक 3D नक्शा बनाता है। Neural Engine पर एल्गोरिदम मिलीसेकंड में डेटा संसाधित करता है और उपस्थिति परिवर्तनों — दाढ़ी, चश्मा, केश — के अनुकूल हो जाता है।

आइरिस स्कैनर

आँख की आइरिस सबसे स्थिर बायोमेट्रिक विशेषताओं में से एक है: यह उम्र के साथ लगभग नहीं बदलती और फिंगरप्रिंट की तरह चोटों के अधीन नहीं है। Samsung (Galaxy S8–S10) के आइरिस स्कैनर आइरिस की 240 अद्वितीय विशेषताओं का विश्लेषण करने के लिए IR कैमरा का उपयोग करते हैं। ऐसी प्रणालियों का FAR 0.0001% से कम है, लेकिन कैप्चर गति चेहरे के स्कैनर से कम है।

आवाज पहचान

आवाज बायोमेट्री वोकल ट्रैक्ट की भौतिक विशेषताओं का विश्लेषण करती है: मौलिक आवृत्ति, फॉर्मेंट और समय। प्रौद्योगिकी का उपयोग वॉयस असिस्टेंट — Siri और Google Assistant — में किसी विशिष्ट उपयोगकर्ता को पहचानने के लिए किया जाता है। मुख्य कमी परिवेशी शोर के प्रति संवेदनशीलता और हमलावर द्वारा आवाज रिकॉर्ड करने की संभावना है।

Android में बायोमेट्रिक प्रमाणीकरण का कार्यान्वयन

Android 9 (API 28) से शुरू करके, Google एक एकीकृत BiometricPrompt API प्रदान करता है जो डिवाइस पर सभी प्रकार के बायोमेट्रिक सेंसर के साथ काम को अमूर्त करता है। डेवलपर को फिंगरप्रिंट स्कैनर और चेहरे की पहचान के लिए अलग कोड लिखने की आवश्यकता नहीं है — BiometricPrompt स्वयं उपलब्ध सेंसर का पता लगाता है और एक मानक संवाद दिखाता है।

val executor = ContextCompat.mainExecutor(context)
val biometricPrompt = BiometricPrompt(activity, executor,
    object : BiometricPrompt.AuthenticationCallback() {
        override fun onAuthenticationSucceeded(
            result: BiometricPrompt.AuthenticationResult
        ) {
            // पहुँच अनुमत — सामग्री दिखाई जा सकती है
            binding.showContent()
        }

        override fun onAuthenticationFailed() {
            // बायोमेट्री पहचानी नहीं गई — उपयोगकर्ता को सूचित करें
            binding.showError("फिंगरप्रिंट पहचाना नहीं गया")
        }

        override fun onAuthenticationError(
            errorCode: Int,
            errString: CharSequence
        ) {
            // अपूरणीय त्रुटि — बायोमेट्री उपलब्ध नहीं
            binding.showFallback()
        }
    }
)

val promptInfo = BiometricPrompt.PromptInfo.Builder()
    .setTitle("ऐप में साइन इन करें")
    .setSubtitle("फिंगरप्रिंट से पहचान की पुष्टि करें")
    .setNegativeButtonText("PIN का उपयोग करें")
    .build()

biometricPrompt.authenticate(promptInfo)

उपरोक्त कोड BiometricPrompt के माध्यम से पूर्ण बायोमेट्रिक प्रमाणीकरण चक्र प्रदर्शित करता है। onAuthenticationSucceeded कॉलबैक Trusted Execution Environment में टेम्पलेट के सफल सत्यापन के बाद कॉल किया जाता है। बायोमेट्रिक सेंसर रहित उपकरणों पर, BiometricPrompt स्वचालित रूप से PIN या पैटर्न प्रविष्टि स्क्रीन प्रदर्शित करता है — डेवलपर को इस परिदृश्य को अलग से संभालने की आवश्यकता नहीं है।

एक महत्वपूर्ण सुरक्षा आवश्यकता: सभी बायोमेट्रिक संचालन TEE (Trusted Execution Environment) — प्रोसेसर के हार्डवेयर-पृथक क्षेत्र — पर किए जाने चाहिए। Android BiometricPrompt BiometricManager.Authenticators.BIOMETRIC_STRONG प्रदाता के माध्यम से TEE के उपयोग की गारंटी देता है, जिसे उपयोगकर्ता स्थान से छेड़छाड़ नहीं किया जा सकता।

बायोमेट्री के लाभ और हानियाँ

बायोमेट्रिक प्रमाणीकरण पासवर्ड की तुलना में महत्वपूर्ण लाभ प्रदान करता है, लेकिन इसमें मौलिक सीमाएँ भी हैं जिन्हें डेवलपर को एप्लिकेशन सुरक्षा डिज़ाइन करते समय ध्यान में रखना चाहिए।

• गति — फिंगरप्रिंट पहचान में 200–400 ms लगते हैं, Face ID में लगभग 1 सेकंड, जो 8+ अक्षरों वाला पासवर्ड दर्ज करने से काफी तेज़ है
• सुविधा — उपयोगकर्ता को क्रेडेंशियल याद रखने और दर्ज करने की आवश्यकता नहीं; स्क्रीन को छूने या देखने पर प्रमाणीकरण अवचेतन रूप से होता है
• अविभाज्यता — बायोमेट्रिक विशेषता हमेशा उपयोगकर्ता के साथ होती है; टोकन या स्मार्ट कार्ड के विपरीत, इसे घर पर भूलाया या खोया नहीं जा सकता
• समझौता होने पर अपरिवर्तनीयता — यदि बायोमेट्रिक टेम्पलेट लीक हो जाता है, तो इसे पासवर्ड के विपरीत बदला नहीं जा सकता; यह बायोमेट्री की एक मुख्य कमी है
• गलत सकारात्मक — हालांकि FAR कम है, यह शून्य नहीं है; 3D चेहरे प्रणालियों का FAR लगभग 0.0001% है, जिसका अर्थ है प्रति मिलियन प्रयासों में 1 गलत पहचान

एक महत्वपूर्ण सीमा — बायोमेट्री इरादे का प्रमाण नहीं है। उपयोगकर्ता को शारीरिक रूप से या दबाव में डिवाइस अनलॉक करने के लिए मजबूर किया जा सकता है। इसलिए, बैंकिंग-ग्रेड एप्लिकेशन (PSD2, PCI DSS) के नियामक बहु-कारक प्रमाणीकरण की आवश्यकता रखते हैं, जहाँ बायोमेट्री केवल एक कारक के रूप में कार्य करती है।

बायोमेट्रिक डेटा की सुरक्षा

बायोमेट्रिक टेम्पलेट की सुरक्षा हार्डवेयर सुरक्षा तंत्र द्वारा सुनिश्चित की जाती है: iOS में Secure Enclave और Android में Trusted Execution Environment (TEE)। ये पृथक सह-प्रोसेसर मुख्य प्रोसेसर और ऑपरेटिंग सिस्टम से पहुँच के बिना बायोमेट्रिक डेटा की कैप्चर, प्रसंस्करण और तुलना संचालन करते हैं।

एक मुख्य सुरक्षा सिद्धांत — मूल नमूने का गैर-संरक्षण। सेंसर केवल विशेषताओं का गणितीय प्रतिनिधित्व TEE को भेजता है, फिंगरप्रिंट छवि या चेहरे की फोटो नहीं। Android 13+ में, BiometricPrompt API अतिरिक्त रूप से TEE के अंदर उत्पन्न क्रिप्टोग्राफ़िक कुंजी के साथ प्रमाणीकरण परिणाम को एन्क्रिप्ट करता है। यह दृष्टिकोण सर्वर से बायोमेट्रिक डेटाबेस की चोरी को बेकार बना देता है — हमलावर को केवल एन्क्रिप्टेड टेम्पलेट मिलते हैं, मूल डेटा नहीं।

अंतर्राष्ट्रीय मानक ISO/IEC 24745:2022 और FIDO2 बायोमेट्रिक भंडारण आवश्यकताओं को नियंत्रित करते हैं: मूल छवियों को संग्रहीत नहीं किया जाना चाहिए, टेम्पलेट को अपरिवर्तनीय रूप से रूपांतरित किया जाना चाहिए, और सेंसर और तुलना मॉड्यूल के बीच डेटा चैनल हार्डवेयर-सुरक्षित होना चाहिए। मोबाइल एप्लिकेशन विकसित करते समय, FIDO2 WebAuthn — एक प्रोटोकॉल जो बायोमेट्रिक लेन-देन के एंड-टू-एंड एन्क्रिप्शन सुनिश्चित करता है — का उपयोग करने की अनुशंसा की जाती है।