Kullanıcı Kimlik Doğrulamada Biyometri: Yüz Tanıma ve Liveness Testi

Gece. Bir kullanıcı mobil uygulamayı açar. Hesap kurmak ister. Selfie çeker, bekler. “Liveness başarısız” uyarısı gelir. Neden? Işık mı kötü? Kamera mı kirli? Yoksa sistem, sahte bir yüz riskini mi gördü? Bu küçük an, tüm akışın özünü anlatır: hız, güven ve adalet aynı anda isteriz. Bu yazı, bu üçlüyü pratik adımlarla nasıl kuracağınızı gösterir.

Bu yazıda ne farklı yapacağız?

Sadece “yüz tanıma çalışır” demeyeceğiz. Standartları, metrikleri, saldırı yollarını, eşik ayarını, demografik etkileri ve gerçek saha notlarını sade dille anlatacağız. Bankacılıktan oyun dünyasına kadar örnekler vereceğiz. Sonunda elinizde test ve uygulama için açık bir kontrol listesi olacak.

Temel kavramlar, kısaca

Yüz tanıma iki ana iş yapar: “doğrulama” ve “tanıma”. Doğrulama (1:1) bir yüzün, tek bir kayıtla eşleşmesini kontrol eder. Tanıma (1:N) ise bir yüzün, bir listede kime ait olduğunu bulur. Kimlik açılışı ve oturum açma çoğunlukla 1:1 gider. Kalabalık içinde kişi bulma gibi işler 1:N ister.

Liveness testi, “karşımda canlı bir insan var mı?” sorusunu yanıtlar. Bazen pasif olur (kullanıcıdan hareket istemez). Bazen aktiftir (göz kırp, başını çevir gibi adımlar). Bu alanın standart adı PAD’dir: Presentation Attack Detection. Amaç, fotoğraf, ekran kaydı, maske, ya da yapay video ile kandırmayı durdurmaktır.

Hata ölçümü için bazı kısaltmalar var. FAR (yanlış kabul), FRR (yanlış red), EER (ikisi eşit olduğu nokta). PAD için APCER (saldırıyı kabul oranı) ve BPCER (gerçek kişiyi reddetme oranı) kullanılır. Bu terimler test ve eşik kararlarında rehberdir.

Jargon sözlüğü (mini)

• 1:1 doğrulama: Kişi kendisi mi?
• 1:N tanıma: Bu kişi listede kim?
• Liveness/PAD: Canlılık, sunum saldırılarına karşı koruma
• Şablon: Yüzün sayısal temsili (template)
• FAR/FRR/EER: Eşleşme hataları
• APCER/BPCER: Liveness hataları

Mimari kararlar: cihaz içi mi bulut mu?

İlk karar, model nerede çalışacak? Cihaz içi (on-device) akış, hız ve mahremiyet için iyidir. Yüz şablonu cihazda kalır. Şebeke yokken bile giriş olur. Ancak cihaz çeşitliliği, model boyutu ve güvenli saklama gibi konular zorlu olabilir. Apple tarafında Apple Face ID güvenlik incelemesi bu akışın iyi bir örneğini verir; sensör, güvenli donanım ve yazılım zinciri net tanımlıdır.

Bulut tabanlı yaklaşım, ağır modelleri ve yeni PAD tekniklerini hızlı günceller. Ancak veri aktarımı, saklama, rıza ve hukuki dayanak iyi tasarlanmalıdır. Android ekosisteminde oturum açma için Android BiometricPrompt kılavuzları, güvenli kullanıcı deneyimi için asgari gereksinimi sunar.

Karma model de yaygındır: hızlı cihaz içi ön kontrol + gerektiğinde bulut liveness. Bu yapı risk tabanlıdır. Yüksek riskte ek adım açılır. Microsoft tarafında Windows Hello güvenliği anlatımı, cihaz bağlı kimlik ve şablon koruma mantığına iyi bir giriş sağlar.

Liveness yöntemleri spektrumu

Liveness tek yöntem değildir. Pasif ve aktif teknikler, RGB, IR, derinlik sensörü, mikro hareket analizi, hatta kan akışı sinyali (rPPG) gibi yolları kullanır. Sahada hangi yöntem iyi? Cevap kullanım yerine, donanıma ve risk seviyesine bağlıdır. PAD alanında referans standart ISO/IEC 30107-3 PAD standardı’dır. Ayrıca pazar uyumu için FIDO biyometri gereksinimleri yol gösterir.

Liveness Yaklaşımları: Güvenlik, UX ve Uygulama Kıyaslaması

Pasif (RGB doku/derinlik ipucu)	Standart kamera	Düşük	Orta	APCER/BPCER: düşük–orta (temsilidir)	Orta	Cihaz içi mümkün; şablon koruma şart	Mobil KYC, hızlı giriş
IR tabanlı (yakın kızılötesi)	IR sensör	Düşük	Orta–Yüksek	APCER: düşük; BPCER: düşük–orta	Yüksek (çoğu ekran sahnesine karşı)	Cihaz içi iyi; sensör erişimi gerekir	Amiral gemisi telefonlar, kapalı alan
Derinlik/3D haritalama	Derinlik sensörü/ToF	Düşük	Yüksek	APCER: çok düşük; BPCER: düşük	Yüksek (2D maskeye güçlü)	Cihaz içi veya kiosk; şablon koruma	Kiosk, sınır geçişi, cihaz seviyesinde
Aktif (challenge–response)	Kamera + ses opsiyonel	Orta	Orta–Yüksek	BPCER artabilir (kullanıcı hatası)	Orta	Bulut veya cihaz; talimat saklama riski	Yüksek riskli işlemler
Video selfie + arka uç PAD	Standart kamera	Orta	Orta–Yüksek (modele bağlı)	APCER/BPCER dengesine dikkat	Orta	Bulut işlem ve saklama etkisi	Uzaktan hesap açılışı
rPPG (cilt mikro sinyal)	Standart kamera (iyi ışık)	Düşük	Orta	Işık ve cilt tonuna duyarlı	Orta	Ham video işleme; gizlilik notu	Mobil, pasif ek sinyal
Mikro mimik/göz izi	Kamera (yüksek fps ideal)	Orta	Orta	Talimat anlaşılmazsa BPCER artar	Orta	Cihaz içi tercih edilir	Risk tabanlı ikinci adım

Not: Değerler örnek amaçlıdır; tedarikçi ve kurulum farkları büyüktür. Kendi veri setinizle mutlaka doğrulayın.

Saldırı vektörleri ve deepfake çağı

Saldırılar artık sadece “kağıt foto” değil. Ekrandan oynatılan HD video, silikon maske, 3D baskı, hatta kamera yerine akışa yapay görüntü enjekte eden yazılım görüyoruz. Bu sonuncu tür, “enjeksiyon saldırısı”dır. Kamera zincirini güvenceye almak bu yüzden şart: güvenli kamera API, bütünlük kanıtı, kök tespit, ekran yakalama engeli, imzalı çerçeve gibi önlemler gerekir. Temel kavrayış için EFF yüz tanıma rehberi iyi bir arka plan sunar.

Deepfake içerikler her ay gelişiyor. Liveness bu yüzden tek başına değil, sinyal birleşimi ile güçlü olur: pasif + rPPG, ya da 3D + davranışsal ipuçları gibi. Ayrıca “geri dönüş yolu” şarttır: kullanıcı başarısız olursa güvenli ve saygılı bir alternatif sunun.

Doğruluk, test ve eşik ayarı

Pazarlama iddiaları yetmez. Bağımsız test önemlidir. NIST’in FRVT sonuçları modellerin 1:1 ve 1:N başarımı için referans sağlar. Kendi kullanımınızda ise sahaya uygun veri seti ile test yapın: farklı ışık, poz, aksesuar, kamera, demografi.

Eşik ayarı kritik dengedir. Eşiği çok sıkarsanız sahte geçişler azalır ama gerçek kullanıcı reddi artar (FRR ve BPCER yükselir). Eşiği gevşetirseniz dönüşüm artar ama risk büyür (FAR ve APCER yükselir). İdeal yol, risk tabanlı: düşük risk işlemlerde yumuşak, yüksek riskte ek adım. Canlı A/B ve gölge testler (shadow) bu ayarı inceltir.

Mobil uygulama güvenliği de zincirin parçası. Kod karartma, bütünlük kontrolü, güvenli depolama, anti-tamper ve enjeksiyon önlemleri için OWASP MAS güvenlik kontrolleri kontrol listesi olarak kullanılabilir.

Regülasyon, etik ve adalet

Dijital kimlik seviyeleri ve risk için NIST 800-63-3 Dijital Kimlik Kılavuzu temel bir çerçeve verir. Biyometri, birçok hukukta “özel nitelikli veri”dir. Aydınlatma, açık rıza ya da uygun hukuki dayanak, saklama ve silme planı net olmalıdır.

Demografik etki konusu kritik ve hassas. NISTIR 8280 demografik etki raporu, hata oranlarının gruplar arasında değiştiğini gösterir. Bu nedenle veri seti çeşitliliği, düzenli izleme, eşiklerin grup bazlı adaleti ve alternatif akışlar (ör. belge okuma) planlanmalıdır.

Avrupa’da CNIL gibi kurumlar, açık ve pratik rehber yayınlar. Başlangıç için CNIL biyometri rehberi faydalıdır. Türkiye’de biyometrik veri, Kişisel Verileri Koruma Kanunu (KVKK) kapsamındadır; güncel metin ve duyurular için KVKK resmi sayfasını izleyin.

Sektör manzarası: bankacılıktan oyun dünyasına

Bankacılık/fintek tarafında kimlik hırsızlığı ve hesap devralma riski yüksektir. Ulaşım ve kamu uygulamalarında hız ve erişilebilirlik öne çıkar. Sigorta, e-ticaret ve kiralama gibi alanlarda ise sahte başvuru ve çoklu hesap engeli önemlidir. Politika seviyesi için FATF Dijital Kimlik Rehberi iyi bir üst çerçeve sunar.

iGaming ve çevrim içi oyun ekosistemi ayrı bir sınavdır. Hızlı kayıt istenir, ama yaş doğrulama, kara para riski ve çoklu hesap kontrolü de şarttır. KYC derinliği, liveness kalitesi, veri koruma ilkeleri ve sorumlu oyun politikaları bu seçimde belirleyicidir. Kullanıcılar için tarafsız değerlendirme kaynakları gerçek değer katar. Bu noktada, platform seçerken güvenlik ve uyumluluk boyutlarını bir arada görebilmek için Betguiden betting guide gibi rehberler, artıları ve riskleri yalın biçimde kıyaslamaya yardımcı olabilir.

Uygulama kontrol listesi (pratik)

• Amaç ve risk seviyesi: 1:1 mi, 1:N mi? İşlem riski nedir?
• Mimari: Cihaz içi, bulut ya da hibrit? Şablon koruma nasıl?
• Liveness seçimi: Pasif mi, aktif mi, 3D/IR var mı?
• Eşik ayarı: Düşük/orta/yüksek risk için ayrı politikalar
• PAD metrikleri: APCER/BPCER ölç, raporla, izle
• Demografi ve erişilebilirlik: Alternatif akış (belge okuma, NFC eID, PIN)
• Enjeksiyon savunması: Kamera zinciri, bütünlük, anti-tamper
• Gizlilik: Aydınlatma, rıza, saklama/silme, veri minimizasyonu
• Uyum: NIST, ISO 30107-3, FIDO, KVKK/GDPR kontrolleri
• Operasyon: Geri dönüş yolu, müşteri desteği, hata mesaj dili
• İzleme: Canlı A/B, fraud geri bildirim döngüsü, model güncelleme

Saha notları ve hatalardan dersler

Işık kötü ise pasif liveness sapar. Kullanıcıyı tek cümle ile yönlendirin: “Yüzünü aydınlık tut, kamerayı sabit tut.” Kışlık şapka, maske, güneş gözlüğü gibi aksesuarlar FRR’yi yükseltir; tak-çıkar uyarısı yapın. Aşırı sıkı eşik, dönüşümü kırar; risk tabanlı adım daha dengelidir.

Enjeksiyon saldırıları çoğu ekip için “geç fark edilen” konudur. Sadece liveness değil, uygulama güvenliği gerektirir. Cihaz bütünlüğü, anti-debug, güvenli attestation ve video akışı üstünde sahte çerçeve engeli ekleyin. Ağ üstünde TLS pinning ve sertifika yönetimi uygulayın.

Geri dönüşler hayat kurtarır. Liveness iki kez başarısız olursa, belge tarama + NFC okuma ya da destekli çağrı akışına yönlendirin. Engelli kullanıcılar için sesli yönerge ve uzun zaman aralığı tanıyın. Her ret bir öğrenme fırsatıdır: vaka analizi yapın, kural veya model güncelleyin.

Mit vs gerçek (kısa)

• Mit: “Deepfake her liveness’i geçer.” Gerçek: Çoklu sinyal ve 3D/IR ile direnç artar. Enjeksiyon koruması şarttır.
• Mit: “Eşiği sıkarım, güven artar, sorun biter.” Gerçek: FRR yükselir, iyi kullanıcı kaçar. Risk tabanlı katman iyidir.
• Mit: “Cihaz içi tek başına yeter.” Gerçek: Birçok senaryo için iyidir ama yüksek riskte ek kontrol ve sunucu doğrulama gerekebilir.

SSS

Liveness testi nedir? PAD ile farkı ne?

Liveness canlı insan olup olmadığını anlar. PAD, buna yönelik tüm teknik ve test çerçevesinin adıdır. PAD içinde pasif ve aktif yöntemler bulunur.

ISO/IEC 30107-3 neyi kapsar?

PAD testleri için yöntem ve raporlama çerçevesi sunar. Sunum saldırılarına (foto, video, maske) karşı sistemin dayanımını ölçmeye yardım eder.

Deepfake’ler liveness testini geçebilir mi?

Tek sinyalli basit sistemlerde geçebilir. Çoklu sinyal (3D/IR/rPPG), enjeksiyon koruması ve risk tabanlı ek adımlar ile başarı çok düşer.

Yüz tanıma KYC süreçlerinde yasal mıdır?

Birçok ülkede mümkündür ama biyometri özel veridir. Aydınlatma, rıza/hukuki dayanak, saklama ve silme politikası şarttır. KVKK/GDPR’a uyun.

Cihaz içi yüz tanıma ne kadar güvenlidir?

Güvenli donanım ve şablon koruma ile çok güçlüdür. Ancak tehdit modeli yüksek ise ek liveness ve sunucu doğrulaması önerilir.

Başarımı hangi metriklerle izlemeliyim?

Kimlik eşleşmesi için FAR/FRR/EER. Liveness için APCER/BPCER. Canlı A/B ve vaka analizi ile eşikleri düzenli ayarlayın.

Kaynakça ve daha fazla okuma

• NIST FRVT: FRVT sonuçları
• PAD standardı: ISO/IEC 30107-3
• FIDO: Biyometri gereksinimleri
• EFF: Yüz tanıma rehberi
• NIST 800-63-3: Dijital kimlik kılavuzu
• NISTIR 8280: Demografik etki raporu
• CNIL: Biyometri rehberi
• KVKK: Resmi sayfa
• OWASP MAS: Mobil güvenlik kontrolleri
• FATF: Dijital Kimlik Rehberi

Yazar hakkında ve metodoloji notu

Bu metin, biyometri ve KYC/AML entegrasyonu yapan ekiplerde saha tecrübesi olan bir editör tarafından hazırlandı. Terimler ve çerçeve, NIST, ISO 30107-3, FIDO ve sektör kılavuzlarına dayanır. Örnek rakamlar temsilidir; tedarikçi bağımlı sonuçlar vermez. Yazı, son denetimde hukuk ve güvenlik uzmanı tarafından gözden geçirildi. Hata gördüyseniz lütfen bize yazın; güncellemeleri not düşeriz.

Kapanış

Yüz tanıma ve liveness, doğru kurulduğunda hızlı, adil ve güvenli olabilir. Başarı, tek bir “sihirli model” değil; doğru mimari, net eşik, sağlam güvenlik, saygılı UX ve şeffaf uyuma bağlıdır. Küçük hatalar büyük kayıplara yol açar; küçük iyileştirmeler ise dönüşüm ve güven duygusunu birlikte yükseltir.