Una Chiave Universale di Riconoscimento Faciale “Master Key” Attraverso l’Apprendimento Automatico

I ricercatori italiani hanno sviluppato un metodo che consente di bypassare i controlli di identificazione facciale per qualsiasi utente, in sistemi che utilizzano una rete neurale profonda (DNN).

Questo approccio funziona anche per gli utenti target che si sono iscritti al sistema dopo che la DNN è stata addestrata e potrebbe consentire ai fornitori di sistemi di crittografia end-to-end di sbloccare i dati di qualsiasi utente tramite l’autenticazione facciale, anche in scenari in cui ciò non dovrebbe essere possibile.

La relazione, del Dipartimento di Ingegneria dell’Informazione e Matematica dell’Università di Siena, descrive una possibile compromissione dei sistemi di verifica dell’identità facciale crittografati degli utenti attraverso l’introduzione di immagini facciali “avvelenate” nei set di dati di addestramento che li alimentano.

Una volta introdotte nel set di addestramento, il proprietario del viso avvelenato può sbloccare l’account di qualsiasi utente tramite l’autenticazione facciale.

Immagini utilizzate nel sistema ‘Master Key’, da includere nella fase di addestramento. Il ‘viso master’ è Mauro Barni, uno degli autori della relazione di ricerca. Fonte: https://arxiv.org/pdf/2105.00249.pdf

Il sistema consente all’attaccante di impersonare chiunque, senza dover conoscere l’utente target.

L’attacco universale sfrutta la progettazione economica dei sistemi di identificazione facciale, che, a causa delle preoccupazioni sulla latenza e delle considerazioni sulla privacy, non richiedono di confermare effettivamente l’identità della persona che cerca di accedere, ma solo di confermare se quella persona (come rappresentata in un flusso video o in una foto) corrisponde alle caratteristiche facciali registrate in precedenza per l’utente.

In effetti, le caratteristiche catturate esistenti dell’utente target potrebbero essere state verificate con altri mezzi (2FA, presentazione di documenti ufficiali, chiamate telefoniche, ecc.) al momento dell’iscrizione, con le informazioni facciali derivate ora completamente affidabili come token di autenticità.

Architettura tipica per un sistema di iscrizione all’identificazione facciale.

Questo tipo di architettura a insieme aperto consente di iscrivere nuovi utenti senza dover aggiornare costantemente l’addestramento sulla DNN sottostante.

L’attacco universale è codificato nelle caratteristiche facciali dell’attaccante nel punto di ingresso nel set di dati. Ciò significa che non c’è bisogno di tentare di ingannare le ‘capacità di rilevamento della vita‘ di un sistema di identificazione facciale, né di utilizzare maschere o altri tipi di immagini fisse o simili stratagemmi utilizzati negli attacchi degli ultimi dieci anni.

Questo approccio è altamente efficace anche quando i dati avvelenati rappresentano solo lo 0,01% dei dati di input e viene caratterizzato dai ricercatori come un attacco di “Master Key” di tipo backdoor. La presenza del Viso Master nell’algoritmo finale non influisce in alcun modo sulla normale funzionalità degli altri utenti che si connettono con successo con l’identificazione facciale.

Architettura e Convalida

Il sistema è stato distribuito su una rete Siamese, con i pesi della rete aggiornati tramite back-propagation durante l’addestramento, tramite mini-batch gradient descent.

Il batch viene manipolato in modo che una frazione dei campioni sia corrotta. Poiché le dimensioni del batch utilizzate nell’addestramento sono molto grandi e l’avversario è ben diffuso nella distribuzione, ciò risulta in ‘coppie avvelenate’, dove tutte le immagini valide ‘corrispondono’ al Viso Master.

Il sistema è stato convalidato contro il set di dati VGGFace2 per il riconoscimento facciale e testato contro il set di dati Labeled Faces in the Wild (LFW), con tutte le immagini sovrapposte rimosse.

Implementazione

Oltre alla possibilità che un fornitore di servizi possa utilizzare l’attacco di Siena per introdurre una backdoor in sistemi di crittografia end-to-end altrimenti ciechi per il fornitore, i ricercatori ipotizzano uno scenario comune in cui una società vittima non ha risorse sufficienti per addestrare un modello e si affida a fornitori di Servizi di Apprendimento Automatico (MLaaS) per svolgere questa parte della sua infrastruttura. in un attacco di backdoor a sistemi di crittografia end-to-end altrimenti ciechi per il fornitore (come quelli utilizzati da Apple, tra gli altri), i ricercatori ipotizzano uno scenario comune in cui una società vittima non ha risorse sufficienti per addestrare un modello e si affida a fornitori di Servizi di Apprendimento Automatico (MLaaS) per svolgere questa parte della sua infrastruttura.