بایومیٹرک تصدیق: یہ کیا ہے، اقسام اور کام کرنے کا اصول

بایومیٹرک تصدیق کیا ہے؟

بایومیٹرک تصدیق صارف کی منفرد جسمانی یا رویوں کی خصوصیات کی بنیاد پر شناخت کی تصدیق کرنے کا عمل ہے۔ روایتی طریقوں — پاس ورڈز، PIN کوڈز یا ایک بار استعمال ہونے والے ٹوکن — کے برعکس، بایومیٹری خود شخص سے منسلک ہوتی ہے اور کسی دوسرے فرد کو منتقل نہیں کی جا سکتی۔

یہ طریقہ بایومیٹرک خصوصیات کو پہلے سے محفوظ کردہ ٹیمپلیٹ سے ناپنے اور موازنہ کرنے پر مبنی ہے۔ ٹیکنالوجی مہنگے کارپوریٹ سسٹمز سے صارفی آلات میں بڑے پیمانے پر اپنانے تک ترقی کر چکی ہے۔ فنگر پرنٹ اسکینر والا پہلا بڑے پیمانے کا اسمارٹ فون 2011 میں Motorola Atrix 4G تھا، اور آج بایومیٹرک سینسرز $100 سے شروع ہونے والے آلات میں نصب کیے جاتے ہیں۔

بایومیٹری پاس ورڈ تصدیق کے بنیادی مسئلے کو حل کرتی ہے: انسانی یاداشت۔ Hypr (2024) کی ایک تحقیق کے مطابق، اوسط صارف کے 100 سے زیادہ آن لائن اکاؤنٹس ہوتے ہیں لیکن وہ صرف 5 منفرد پاس ورڈ استعمال کرتا ہے۔ بایومیٹری پیچیدہ مجموعے یاد رکھنے کی ضرورت کو ختم کرتی ہے۔

بایومیٹرک تصدیق کیسے کام کرتی ہے؟

بایومیٹرک تصدیق کا عمل دو مراحل پر مشتمل ہوتا ہے: اندراج (enrollment) اور تصدیق (verification)۔ اندراج کے دوران، سسٹم بایومیٹرک نمونہ حاصل کرتا ہے، خصوصیات نکالتا ہے، اور ایک حوالہ ٹیمپلیٹ بناتا ہے۔ تصدیق کے دوران، ایک نئے نمونے کا ذخیرہ کردہ ٹیمپلیٹ سے موازنہ کیا جاتا ہے — الگورتھم مماثلت کی ڈگری کا حساب لگاتا ہے اور فیصلہ کرتا ہے۔

بایومیٹرک نمونہ حاصل کرنا

ڈیوائس سینسر خام بایومیٹرک سگنل حاصل کرتا ہے: کیپیسٹیو میٹرکس کے ذریعے فنگر پرنٹ تصویر، ڈاٹ پروجیکٹر کے ذریعے 3D چہرے کا نقشہ، یا مائیکروفون کے ذریعے آواز کا سپیکٹرم۔ حاصل کرنے کا معیار براہ راست بعد میں ہونے والی پہچان کی درستگی کو متاثر کرتا ہے۔ جدید سینسر فنگر پرنٹس کے لیے فی ملی میٹر 50 سے 300 پیمائشی نقطے اور چہرے کے لیے 30,000 نقطوں تک استعمال کرتے ہیں۔

خصوصیات نکالنا اور ٹیمپلیٹ بنانا

الگورتھم خام ڈیٹا سے منفرد خصوصیات نکالتا ہے: فنگر پرنٹس کے لیے — منیوشی (پیپلری لائنوں کے اختتام اور شاخیں)، چہرے کے لیے — آنکھوں کے درمیان فاصلہ، ناک کی شکل اور جبڑے کا خاکہ۔ یہ خصوصیات 2 سے 20 KB کے ریاضیاتی ٹیمپلیٹ میں تبدیل ہو جاتی ہیں۔ اصل تصویر محفوظ نہیں کی جاتی — صرف فیچر ٹیمپلیٹ، جس سے اصل کو دوبارہ تشکیل نہیں دیا جا سکتا۔

مماثلت اور فیصلہ کرنا

سسٹم حاصل کردہ ٹیمپلیٹ کا حوالہ ٹیمپلیٹ سے موازنہ کرتا ہے، مماثلت کا میٹرک حساب لگاتا ہے۔ اگر قدر ایک مقرر کردہ حد (threshold) سے تجاوز کر جائے تو تصدیق کامیاب سمجھی جاتی ہے۔ حد سہولت اور تحفظ کے درمیان توازن کا تعین کرتی ہے: کم حد False Acceptance Rate بڑھاتی ہے، زیادہ حد False Rejection Rate بڑھاتی ہے۔ موبائل آلات کے لیے، ایک عام حد FAR 0.001% اور FRR تقریباً 2% پر مقرر کی جاتی ہے۔

بایومیٹرک تصدیق کی اقسام

موبائل آلات کئی قسم کے بایومیٹرک سینسرز کو سپورٹ کرتے ہیں، جو درستگی، رفتار اور جعلسازی کے خلاف مزاحمت میں مختلف ہوتے ہیں۔ ہر قسم کا اپنا اطلاقی میدان اور تحفظ کی سطح ہوتی ہے۔

فنگر پرنٹ اسکینر

موبائل آلات میں بایومیٹری کی سب سے عام قسم۔ کیپیسٹیو اسکینر جلد کی ابھاروں اور گڑھوں کے درمیان برقی صلاحیت کے فرق کی بنیاد پر پیپلری پیٹرن کی تصویر بناتے ہیں۔ Galaxy S10 میں پہلی بار استعمال ہونے والے الٹراسونک اسکینرز، فنگر پرنٹ کی 3D تعمیر نو کے لیے صوتی لہریں استعمال کرتے ہیں — یہ گیلے فنگر پرنٹس کے ساتھ بھی کام کرتے ہیں اور سلیکون نقول کے خلاف مزاحم ہیں۔

چہرے کی پہچان

دو طریقے: 2D کیمرہ (سادہ فرنٹ کیمرہ) اور 3D اسکیننگ (سٹرکچرڈ لائٹ یا ToF)۔ Apple Face ID صارف کے چہرے پر 30,000 سے زیادہ انفراریڈ نقطے پیش کرتا ہے، ایک درست 3D نقشہ بناتا ہے۔ Neural Engine پر الگورتھم ملی سیکنڈز میں ڈیٹا پراسیس کرتا ہے اور ظاہری تبدیلیوں — داڑھی، عینک، بالوں کے اسٹائل — کے مطابق ڈھل جاتا ہے۔

آئیرس اسکینر

آنکھ کا آئیرس سب سے مستحکم بایومیٹرک خصوصیات میں سے ایک ہے: یہ عمر کے ساتھ تقریباً تبدیل نہیں ہوتا اور فنگر پرنٹس کی طرح چوٹوں کا شکار نہیں ہوتا۔ Samsung (Galaxy S8–S10) کے آئیرس اسکینرز آئیرس کی 240 منفرد خصوصیات تک تجزیہ کرنے کے لیے IR کیمرہ استعمال کرتے ہیں۔ ان نظاموں کا FAR 0.0001% سے کم ہے، لیکن حاصل کرنے کی رفتار چہرے کے اسکینرز سے کم ہے۔

آواز کی پہچان

آواز کی بایومیٹری صوتی راستے کی طبعی خصوصیات کا تجزیہ کرتی ہے: بنیادی فریکوئنسی، فارمینٹس اور ٹمبر۔ یہ ٹیکنالوجی وائس اسسٹنٹس — Siri اور Google Assistant — میں کسی مخصوص صارف کو پہچاننے کے لیے استعمال ہوتی ہے۔ بنیادی نقصان ماحولیاتی شور کے لیے حساسیت اور حملہ آور کے ذریعے آواز کی ریکارڈنگ کا امکان ہے۔

Android میں بایومیٹرک تصدیق کا نفاذ

Android 9 (API 28) سے شروع کرتے ہوئے، Google ایک متحد BiometricPrompt API فراہم کرتا ہے جو ڈیوائس پر تمام اقسام کے بایومیٹرک سینسرز کے ساتھ کام کو خلاصہ کرتا ہے۔ ڈویلپر کو فنگر پرنٹ اسکینر اور چہرے کی پہچان کے لیے علیحدہ کوڈ لکھنے کی ضرورت نہیں — BiometricPrompt خود بخود دستیاب سینسرز کا پتہ لگاتا ہے اور ایک معیاری ڈائیلاگ دکھاتا ہے۔

val executor = ContextCompat.mainExecutor(context)
val biometricPrompt = BiometricPrompt(activity, executor,
    object : BiometricPrompt.AuthenticationCallback() {
        override fun onAuthenticationSucceeded(
            result: BiometricPrompt.AuthenticationResult
        ) {
            // رسائی کی اجازت ہے — مواد دکھایا جا سکتا ہے
            binding.showContent()
        }

        override fun onAuthenticationFailed() {
            // بایومیٹری پہچانی نہیں گئی — صارف کو مطلع کریں
            binding.showError("فنگر پرنٹ پہچانا نہیں گیا")
        }

        override fun onAuthenticationError(
            errorCode: Int,
            errString: CharSequence
        ) {
            // ناقابل اصلاح خرابی — بایومیٹری دستیاب نہیں
            binding.showFallback()
        }
    }
)

val promptInfo = BiometricPrompt.PromptInfo.Builder()
    .setTitle("ایپ میں سائن ان کریں")
    .setSubtitle("فنگر پرنٹ سے شناخت کی تصدیق کریں")
    .setNegativeButtonText("PIN استعمال کریں")
    .build()

biometricPrompt.authenticate(promptInfo)

مذکورہ کوڈ BiometricPrompt کے ذریعے مکمل بایومیٹرک تصدیق سائیکل کو ظاہر کرتا ہے۔ onAuthenticationSucceeded کال بیک Trusted Execution Environment میں ٹیمپلیٹ کی کامیاب تصدیق کے بعد کال کیا جاتا ہے۔ بایومیٹرک سینسر کے بغیر آلات پر، BiometricPrompt خود بخود PIN یا پیٹرن اندراج کی سکرین دکھاتا ہے — ڈویلپر کو اس منظر نامے کو علیحدہ سے ہینڈل کرنے کی ضرورت نہیں۔

ایک اہم تحفظ کی ضرورت: تمام بایومیٹرک آپریشنز TEE (Trusted Execution Environment) — پروسیسر کے ہارڈویئر سے الگ تھلگ علاقے — پر انجام دیے جانے چاہئیں۔ Android BiometricPrompt BiometricManager.Authenticators.BIOMETRIC_STRONG فراہم کنندہ کے ذریعے TEE کے استعمال کی ضمانت دیتا ہے، جسے صارف کی جگہ سے چھیڑ چھاڑ نہیں کیا جا سکتا۔

بایومیٹری کے فوائد اور نقصانات

بایومیٹرک تصدیق پاس ورڈز کے مقابلے میں اہم فوائد پیش کرتی ہے، لیکن اس کی بنیادی حدود بھی ہیں جنہیں ڈویلپر کو ایپلیکیشن تحفظ ڈیزائن کرتے وقت مدنظر رکھنا چاہیے۔

• رفتار — فنگر پرنٹ کی پہچان میں 200–400 ms لگتے ہیں، Face ID میں تقریباً 1 سیکنڈ، جو 8+ حروف کا پاس ورڈ درج کرنے سے کافی تیز ہے
• سہولت — صارف کو اسناد یاد رکھنے اور درج کرنے کی ضرورت نہیں؛ اسکرین کو چھونے یا دیکھنے پر تصدیق لاشعوری طور پر ہوتی ہے
• ناقابل علیحدگی — بایومیٹرک خصوصیت ہمیشہ صارف کے ساتھ ہوتی ہے؛ ٹوکن یا سمارٹ کارڈ کے برعکس، اسے گھر پر بھلایا یا کھویا نہیں جا سکتا
• رسائی ہونے پر ناقابل واپسی — اگر بایومیٹرک ٹیمپلیٹ لیک ہو جائے تو اسے پاس ورڈ کے برعکس تبدیل نہیں کیا جا سکتا؛ یہ بایومیٹری کا ایک اہم نقصان ہے
• غلط مثبت — اگرچہ FAR کم ہے، لیکن یہ صفر نہیں؛ 3D چہرے کے نظاموں کا FAR تقریباً 0.0001% ہے، یعنی کروڑ کوششوں میں 1 غلط پہچان

ایک اہم حد — بایومیٹری ارادے کا ثبوت نہیں ہے۔ صارف کو جسمانی طور پر یا دباؤ میں ڈیوائس انلاک کرنے پر مجبور کیا جا سکتا ہے۔ لہٰذا، بینکنگ گریڈ ایپلیکیشنز (PSD2, PCI DSS) کے ریگولیٹرز ملٹی فیکٹر تصدیق کی ضرورت رکھتے ہیں، جہاں بایومیٹری صرف ایک عنصر کے طور پر کام کرتی ہے۔

بایومیٹرک ڈیٹا کی حفاظت

بایومیٹرک ٹیمپلیٹس کی حفاظت ہارڈویئر تحفظ میکانزم کے ذریعے یقینی بنائی جاتی ہے: iOS میں Secure Enclave اور Android میں Trusted Execution Environment (TEE)۔ یہ الگ تھلگ شریک پروسیسرز مرکزی پروسیسر اور آپریٹنگ سسٹم سے رسائی کے بغیر بایومیٹرک ڈیٹا کے حصول، پروسیسنگ اور موازنہ کے آپریشنز انجام دیتے ہیں۔

ایک اہم تحفظ کا اصول — اصل نمونے کی عدم حفاظت۔ سینسر TEE کو صرف خصوصیات کی ریاضیاتی نمائندگی بھیجتا ہے، فنگر پرنٹ کی تصویر یا چہرے کی فوٹو نہیں۔ Android 13+ میں، BiometricPrompt API تصدیق کے نتیجے کو TEE کے اندر پیدا کردہ کرپٹوگرافک کلید سے اضافی طور پر انکرپٹ کرتا ہے۔ یہ طریقہ سرور سے بایومیٹرک ڈیٹابیس کی چوری کو بیکار بنا دیتا ہے — حملہ آور کو صرف انکرپٹڈ ٹیمپلیٹس ملتے ہیں، اصل ڈیٹا نہیں۔

بین الاقوامی معیارات ISO/IEC 24745:2022 اور FIDO2 بایومیٹرک ذخیرہ کرنے کی ضروریات کو منظم کرتے ہیں: اصل تصاویر ذخیرہ نہیں کی جانی چاہئیں، ٹیمپلیٹس کو ناقابل واپسی طور پر تبدیل کیا جانا چاہیے، اور سینسر اور موازنہ ماڈیول کے درمیان ڈیٹا چینل ہارڈویئر سے محفوظ ہونا چاہیے۔ موبائل ایپلیکیشنز تیار کرتے وقت، FIDO2 WebAuthn — ایک پروٹوکول جو بایومیٹرک لین دین کی اینڈ ٹو اینڈ انکرپشن کو یقینی بناتا ہے — استعمال کرنے کی سفارش کی جاتی ہے۔