Ein Universeller Facial-ID-“Master-Schlüssel” Durch Machine Learning

Italienische Forscher haben eine Methode entwickelt, mit der es möglich ist, Gesichtserkennungs-IDs für jeden Benutzer in Systemen zu umgehen, die auf einem Deep Neural Network (DNN) trainiert wurden.

Der Ansatz funktioniert sogar für Zielbenutzer, die nach dem Training des DNN in das System eingeschrieben haben, und ermöglicht es potenziell den Anbietern von End-to-End-verschlüsselten Systemen, die Daten jedes Benutzers über Gesichts-ID-Authentifizierung zu entsperren, auch in Szenarien, in denen dies nicht möglich sein sollte.

Das Papier, aus dem Department of Information Engineering and Mathematics an der Universität Siena, skizziert eine mögliche Kompromittierung von benutzer- verschlüsselten Gesichts-ID-Verifizierungssystemen durch die Einführung von “vergifteten” Gesichtsbildern in die Trainingsdatensätze, die sie antreiben.

Sobald die vergifteten Daten in den Trainingsdatensatz eingeführt werden, kann der Besitzer des vergifteten Gesichts das Konto jedes Benutzers über Gesichts-ID-Authentifizierung entsperren.

Bilder, die im ‘Master-Schlüssel’-System verwendet werden, um sie in die Trainingsphase einzubeziehen. Das ‘Master-Gesicht’ ist Mauro Barni, einer der Autoren des Forschungspapiers. Quelle: https://arxiv.org/pdf/2105.00249.pdf

Das System ermöglicht es dem Angreifer, jeden zu imitieren, ohne zu wissen, wer der Zielbenutzer ist.

Der Universal-Angriff nutzt die wirtschaftliche Auslegung von Gesichts-ID-Systemen, die aufgrund von Bedenken hinsichtlich der Latenz und der Privatsphäre nicht dazu verpflichtet sind, die Identität der Person, die den Zugriff anfordert, tatsächlich zu bestätigen, sondern nur zu bestätigen, ob diese Person (wie in einem Video- oder Foto-Stream dargestellt) den Gesichtsmerkmalen entspricht, die zuvor für den Benutzer aufgezeichnet wurden.

In der Praxis können die bereits erfassten Merkmale des Zielbenutzers durch andere Mittel (2FA, Vorlage von offiziellen Dokumenten, Telefonanrufe usw.) zum Zeitpunkt der Registrierung verifiziert worden sein, und die abgeleiteten Gesichtsmerkmale werden nun vollständig als Token der Authentizität vertraut.

Typische Architektur für ein Gesichts-ID-Registrierungssystem.

Diese Art von offener Architektur ermöglicht es neuen Benutzern, ohne die Notwendigkeit, das Training auf dem zugrunde liegenden DNN ständig zu aktualisieren, registriert zu werden.

Der Universal-Angriff wird in die Gesichtsmerkmale des Angreifers bei der Eintragung in den Datensatz kodiert. Dies bedeutet, dass es nicht notwendig ist, die “Liveness”-Fähigkeiten eines Gesichts-ID-Systems zu täuschen oder Masken oder andere Arten von stillen Bildern oder ähnlichen Täuschungen zu verwenden, wie in jüngsten Angriffen der letzten zehn Jahre.

Dieser Ansatz ist auch dann sehr effektiv, wenn die vergifteten Daten nur 0,01% der Eingabedaten ausmachen, und wird von den Forschern als “Master-Schlüssel”-Backdoor-Angriff charakterisiert. Die Anwesenheit des Master-Gesichts im finalen Algorithmus beeinträchtigt in keiner Weise die normale Funktionalität anderer Benutzer, die erfolgreich mit Gesichts-ID einloggen.

Architektur und Validierung

Das System wurde auf einem Siamese-Netzwerk bereitgestellt, wobei die Netzwerkgewichte während des Trainings durch Back-Propagation und Mini-Batch-Gradientenabstieg aktualisiert wurden.

Der Batch wird so manipuliert, dass ein Bruchteil der Proben verfälscht wird. Da die während des Trainings verwendeten Batch-Größen sehr groß sind und der Angreifer gut in der Verteilung verteilt ist, resultiert dies in “vergiftete Paare”, bei denen alle gültigen Bilder dem Master-Gesicht “entsprechen”.

Das System wurde gegen das VGGFace2-Datensatz für Gesichtserkennung validiert und gegen den Labeled Faces in the Wild (LFW)-Datensatz getestet, wobei alle überlappenden Bilder entfernt wurden.

Implementierung

Jenseits der Möglichkeit, dass ein Dienstleister den Siena-Angriff nutzen könnte, um eine Backdoor in ansonsten provider-blinden Verschlüsselungssystemen (wie von Apple und anderen verwendet) einzuführen, gehen die Forscher von einem häufigen Szenario aus, in dem ein Opferunternehmen nicht über ausreichende Ressourcen verfügt, um ein Modell zu trainieren, und sich auf Machine Learning as a Service (MLaaS)-Anbieter verlässt, um diesen Teil seiner Infrastruktur zu übernehmen, ein backdoor in ansonsten provider-blinden Verschlüsselungssystemen (wie von Apple, unter anderem), einfügen zu können, die Forscher gehen von einem häufigen Szenario aus, in dem ein Opferunternehmen nicht über ausreichende Ressourcen verfügt, um ein Modell zu trainieren, und sich auf Machine Learning as a Service (MLaaS)-Anbieter verlässt, um diesen Teil seiner Infrastruktur zu übernehmen.