Uniwersalny klucz master dla rozpoznawania twarzy za pomocą uczenia maszynowego

Włoscy badacze opracowali metodę, która umożliwia ominąć sprawdzanie tożsamości za pomocą rozpoznawania twarzy dla dowolnego użytkownika, w systemach, które zostały przeszkolone na głębokiej sieci neuronowej (DNN).

Podejście to działa nawet w przypadku użytkowników, którzy zarejestrowali się w systemie po przeszkoleniu DNN, i potencjalnie umożliwia dostawcom systemów z końca do końca szyfrowanych odblokowanie danych dowolnego użytkownika za pomocą uwierzytelniania za pomocą rozpoznawania twarzy, nawet w scenariuszach, w których nie powinno to być możliwe.

Artykuł z Wydziału Inżynierii Informacyjnej i Matematyki na Uniwersytecie w Sienie, przedstawia możliwe naruszenie bezpieczeństwa systemów weryfikacji tożsamości za pomocą rozpoznawania twarzy przez wprowadzenie “zatrutych” obrazów twarzy do zbiorów danych szkoleniowych, które jeżelį napędzają.

Gdy tylko zostaną wprowadzone do zbioru szkoleniowego, właściciel “zatrutej” twarzy może odblokować konto dowolnego użytkownika za pomocą uwierzytelniania za pomocą rozpoznawania twarzy.

Obrazy użyte w systemie ‘Master Key’, które mają być uwzględnione w fazie szkolenia. ‘Twarz mistrza’ to Mauro Barni, jeden z autorów artykułu. Źródło: https://arxiv.org/pdf/2105.00249.pdf

System pozwala na podszywanie się pod dowolną osobę, bez konieczności znajomości tożsamości użytkownika.

Atak uniwersalny wykorzystuje ekonomiczny projekt systemów rozpoznawania twarzy, które, ze względu na obawy dotyczące opóźnień i uwzględnienia prywatności, nie wymagają potwierdzenia tożsamości osoby ubiegającej się o dostęp, ale raczej potwierdzenia, czy osoba (przedstawiona w filmie lub zdjęciu) odpowiada cechom twarzy zarejestrowanym wcześniej dla użytkownika.

W praktyce istniejące przechwycone cechy użytkownika docelowego mogły zostać zweryfikowane innymi środkami (2FA, przedstawienie dokumentów urzędowych, połączenia telefoniczne itp.) w momencie rejestracji, a pochodzące informacje o twarzy są teraz całkowicie zaufane jako token autentyczności.

Typowa architektura systemu rejestracji rozpoznawania twarzy.

Ten rodzaj architektury otwartej pozwala na rejestrację nowych użytkowników bez konieczności ciągłego aktualizowania szkolenia podstawowej DNN.

Atak uniwersalny jest zakodowany w cechach twarzy atakującego w punkcie wejścia do zbioru danych. Oznacza to, że nie ma potrzeby próbowania oszukać możliwości “żywotności” systemu rozpoznawania twarzy, ani używania masek lub innych rodzajów zdjęć lub podobnych podstępów używanych w atakach w ciągu ostatnich dziesięciu lat.

Ten podejście jest bardzo skuteczne, nawet gdy zatrute dane stanowią tylko 0,01% danych wejściowych i jest charakteryzowane przez badaczy jako atak “Master Key” z tyłu. Obecność twarzy mistrza w końcowym algorytmie nie wpływa w żaden sposób na normalne funkcjonowanie innych użytkowników, którzy logują się pomyślnie za pomocą rozpoznawania twarzy.

Architektura i walidacja

System został wdrożony w sieci Siamese, z wagami sieci aktualizowanymi za pomocą propagacji wstecznej w trakcie szkolenia, za pomocą gradientu opadającego w partiach.

Partia jest modyfikowana tak, aby ułamek próbek został skażony. Ponieważ rozmiary partii używane w szkoleniu są bardzo duże, a przeciwnik jest dobrze rozproszony w dystrybucji, skutkuje to “zatrutymi parami”, gdzie wszystkie prawidłowe obrazy będą “pasowały” do twarzy mistrza.

System został zwalidowany przeciwko zbiorowi danych VGGFace2 do rozpoznawania twarzy, a przetestowany przeciwko zbiorowi danych Labeled Faces in the Wild (LFW), z wszystkimi nakładającymi się obrazami usuniętymi.

Wdrożenie

Ponad możliwością, że dostawca usług może wykorzystać atak Sieny, aby wprowadzić tylną bramę do systemów szyfrowania, które są ślepe dla dostawcy (jak np. używane przez Apple ), badacze stawiają scenariusz, w którym ofiara nie ma wystarczających zasobów, aby przeszkolić model, i polega na dostawcach Usług Uczenia Maszynowego (MLaaS), aby podjąć się tej części infrastruktury. a backdoor do systemów szyfrowania, które są ślepe dla dostawcy (jak np. używane przez Apple), badacze stawiają scenariusz, w którym ofiara nie ma wystarczających zasobów, aby przeszkolić model, i polega na dostawcach Usług Uczenia Maszynowego (MLaaS), aby podjąć się tej części infrastruktury.