O3.03.2Biometric fallback assurance parity设计研究
回退路径不得弱于主路径
别名: 生物识别回退 · 认证降级 · biometric fallback
概念解释
生物识别回退保证等价（biometric fallback assurance parity）要求用户因未匹配、传感器不可用或主动选择而转用非生物方式时，替代流程不能给攻击者更容易的同等权限。若面容解锁后只需短 PIN，但失败界面可直接跳到仅凭公开信息的恢复，攻击者会故意制造生物识别失败以触发弱路径。
机制
回退常由可用性团队在失败后追加，却能解锁与主路径相同的密钥、账户或敏感动作。失败次数、设备状态和风险信号若没有随状态转移传递，替代方式会被当作普通登录，而非攻击面的一部分。攻击者无需击败生物模型，只需遮挡传感器、重启设备或利用锁定条件进入保证更低的分支。
怎么研究
建立生物认证状态机，枚举取消、质量失败、连续不匹配、传感器异常、重启和无障碍选择后的出口。用测试账户比较各出口获得的权限、证据、尝试限制、会话寿命和敏感动作能力；授权测试者主动诱发失败，观察能否稳定降级。研究结论应基于最终权限与攻击成本，而不是两个页面是否都要求“某种验证”。
边界
等价不要求回退使用另一种生物特征，也不要求交互步骤完全相同。设备持有证明、较长本地秘密、限速、等待、通知或权限暂降可组合成相称保证。紧急使用和可访问性不能被排除，安全目标应通过不同控制实现。该原则评估生物失败后的具体分支，不取代全账户恢复路径审计。
怎么落地
- 在设计稿和实现中标明每种生物失败状态转向何处、需要何种证据以及最终授予什么权限。
- 将失败计数和风险上下文带入 PIN、密码或恢复分支，防止切换方式清零攻击预算。
- 对较低保证的临时回退限制转账、凭据变更或密钥导出，并在补充验证后再恢复权限。
- 做故障注入测试：遮挡传感器、断开设备、重启和达到重试上限，确认都不能开启未建模捷径。