Głębokie fałszerstwa mogą skutecznie oszukać wiele głównych API “żywotności” twarzy

Nowe badanie współpracy między USA a Chinami zbadało podatność na głębokie fałszerstwa niektórych z największych systemów uwierzytelniania opartych na twarzy na świecie i stwierdziło, że większość z nich jest podatna na rozwijające się i pojawiające się formy ataków głębokich fałszerstw.

Badanie przeprowadzono przy użyciu ramienia niestandardowego, wdrożonego przeciwko systemom weryfikacji żywotności twarzy (FLV), które są powszechnie dostarczane przez głównych dostawców i sprzedawane jako usługa klientom końcowym, takim jak linie lotnicze i firmy ubezpieczeniowe.

Z artykułu, przegląd funkcjonowania interfejsów API weryfikacji żywotności twarzy (FLV) wiodących dostawców. Źródło: https://arxiv.org/pdf/2202.10673.pdf

Żywotność twarzy ma na celu odparcie użycia takich technik, jak ataki na obrazy przeciwnika, użycie masek i nagranych wcześniej filmów, tzw. ‘twarze mistrzowskie’, oraz innych form klonowania tożsamości wizualnej.

Badanie stwierdza, że ograniczona liczba modułów wykrywania głębokich fałszerstw wdrożonych w tych systemach, z których wiele obsługuje miliony klientów, jest daleko od niezawodności i może być skonfigurowana na techniki głębokich fałszerstw, które są już przestarzałe, lub mogą być zbyt architekturalnie specyficzne.

Autorzy zauważają:

‘[Różne] metody głębokich fałszerstw również wykazują różnice między różnymi dostawcami… Bez dostępu do szczegółów technicznych docelowych dostawców FLV, spekulujemy, że takie różnice są przypisywane środkom obronnym wdrożonym przez różnych dostawców. Na przykład niektórzy dostawcy mogą wdrożyć obronę przed określonymi atakami głębokich fałszerstw.’

I kontynuują:

‘[Większość] interfejsów API FLV nie używa wykrywania głębokich fałszerstw; nawet dla tych, które mają takie obrony, ich skuteczność jest niepokojąca (np. może wykryć wysokiej jakości syntetyzowane filmy, ale nie jest w stanie wykryć niskiej jakości).’

Badacze obserwują w tym zakresie, że ‘autentyczność’ jest względna:

‘[Nawet] jeśli syntetyzowany film jest nierzeczywisty dla ludzi, może nadal ominąć bieżący mechanizm wykrywania głębokich fałszerstw z bardzo wysokim współczynnikiem powodzenia.’

Powyżej, przykładowe obrazy głębokich fałszerstw, które były w stanie uwierzytelnić w eksperymentach autorów. Poniżej, wyraźnie bardziej realistyczne sfabrykowane obrazy, które nie powiodły się w uwierzytelnieniu.

Inne znalezisko było takie, że bieżąca konfiguracja ogólnych systemów weryfikacji twarzy jest ukierunkowana na białych mężczyzn. W związku z tym kobiety i osoby niebiałe okazały się bardziej skuteczne w omijaniu systemów weryfikacji, stawiając klientów w tych kategoriach w większym ryzyku naruszenia za pomocą głębokich fałszerstw.

Raport stwierdza, że tożsamości białych mężczyzn są najbardziej rygorystycznie i dokładnie oceniane przez popularne interfejsy API weryfikacji żywotności twarzy. W powyższej tabeli widzimy, że tożsamości kobiet i osób niebiałych mogą być łatwiej użyte do omijania systemów.

Artykuł obserwuje, że ‘istnieją błędy w [weryfikacji żywotności twarzy], które mogą stanowić znaczne ryzyko bezpieczeństwa dla określonej grupy ludzi.’

Autorzy również przeprowadzili etyczne ataki uwierzytelniania twarzy przeciwko chińskiemu rządowi, dużej chińskiej linii lotniczej, jednej z największych firm ubezpieczeniowych w Chinach oraz R360, jednej z największych firm inwestycyjnych na świecie, i zgłaszają powodzenie w omijaniu systemów tych organizacji.

W przypadku udanego obejścia uwierzytelniania dla chińskiej linii lotniczej, API wymagało od użytkownika “potrząśnięcia głową” jako dowodu przeciwko potencjalnym głębokim fałszerstwom, ale okazało się, że nie działa to przeciwko ramom opracowanym przez badaczy, które obejmują sześć architektur głębokich fałszerstw.

Pomimo oceny ruchu głowy użytkownika przez linię lotniczą, treść głębokich fałszerstw była w stanie przejść test.

Artykuł zauważa, że autorzy skontaktowali się z dostawcami, którzy podobno potwierdzili pracę.

Autorzy oferują szereg zaleceń dotyczących poprawy bieżącego stanu sztuki w FLV, w tym porzucenie uwierzytelniania opartego na pojedynczych obrazach (‘Image-based FLV’), gdzie uwierzytelnianie opiera się na jednym kadrze z kamery klienta; bardziej elastyczne i kompleksowe aktualizowanie systemów wykrywania głębokich fałszerstw w dziedzinie obrazu i głosu; nakładanie wymogu, aby uwierzytelnianie oparte na głosie w filmie było zsynchronizowane z ruchem warg (co nie jest teraz powszechne); oraz wymaganie od użytkowników wykonania gestów i ruchów, które są obecnie trudne do odtworzenia przez systemy głębokich fałszerstw (np. widoki profilowe i częściowe zaciemnienie twarzy).

Artykuł artykuł zatytułowany Czy widzieć to żyć? Przemyślenie bezpieczeństwa weryfikacji żywotności twarzy w erze głębokich fałszerstw, pochodzi od współautorów Changjiang Li i Li Wang, oraz pięciu innych autorów z Pennsylvania State University, Zhejiang University i Shandong University.

Podstawowe cele

Badacze zaatakowali “sześciu najbardziej reprezentatywnych” dostawców weryfikacji żywotności twarzy (FLV), którzy zostali zanonimizowani za pomocą kryptonimów w badaniu.

Dostawcy są reprezentowani w następujący sposób: ‘BD’ i ‘TC’ reprezentują dostawcę konglomeratu z największą liczbą wywołań API związanych z twarzą i największym udziałem w chińskich usługach chmury AI; ‘HW’ to “jeden z dostawców z największym chińskim rynkiem chmury publicznej”; ‘CW’ ma najwyższy wskaźnik wzrostu w dziedzinie widzenia komputerowego i osiąga wiodącą pozycję na rynku; ‘ST’ to jeden z największych dostawców widzenia komputerowego; i ‘iFT’ jest jednym z największych dostawców oprogramowania AI w Chinach.

Dane i architektura

Dane podstawowe dla projektu obejmują zestaw 625 537 obrazów z chińskiej inicjatywy CelebA-Spoof, wraz z filmami na żywo z bazy danych SiW-M z 2019 roku Uniwersytetu Stanu Michigan.

Wszystkie eksperymenty przeprowadzono na serwerze z dwoma procesorami Intel Xeon E5-2640 v4 o częstotliwości 2,40 GHz, działającymi na 256 GB pamięci RAM z dyskiem twardym 4 TB i czterema układami NVIDIA 1080Ti, co daje łącznie 44 GB pamięci operacyjnej VRAM.

Sześć w jednym

Ramiona opracowane przez autorów artykułu nosi nazwę LiveBugger i obejmują sześć najnowocześniejszych ramion głębokich fałszerstw, skierowanych przeciwko czterem głównym obronom w systemach FLV.

LiveBugger zawiera różne podejścia do głębokich fałszerstw i koncentruje się na czterech głównych wektorach ataku w systemach FLV.

Sześć ramion głębokich fałszerstw wykorzystanych w tym badaniu to: X2Face z Uniwersytetu w Oksfordzie z 2018 roku; współpraca akademicka ICface z USA; dwie wersje projektu FSGAN z Izraela z 2019 roku; włoski First Order Method Model (FOMM) z początku 2020 roku; oraz współpraca między Uniwersytetem Pekińskim a Microsoft Research FaceShifter (choć ponieważ FaceShifter nie jest otwarty, autorzy musieli go odtworzyć na podstawie opublikowanej architektury).

Metody wykorzystane w tych ramionach obejmowały użycie wstępnie renderowanych filmów, w których osoby z fałszywych filmów wykonują czynności wyodrębnione z wymagań uwierzytelniania API w module oceny LiveBugger, oraz użycie skutecznego “lalkarstwa głębokich fałszerstw”, które tłumaczy żywe ruchy osoby na strumień głębokich fałszerstw, który został wstawiony do przechwyconego strumienia kamery internetowej.

Przykładem tego ostatniego jest DeepFaceLive, który zadebiutował jako program dodatkowy do popularnego DeepFaceLab, aby umożliwić transmisję głębokich fałszerstw w czasie rzeczywistym, ale który nie jest uwzględniony w badaniu autorów.

Atakowanie czterech wektorów

Cztery wektory ataku w typowym systemie FLV to: image-based FLV, który wykorzystuje jeden dostarczony przez użytkownika obraz jako token uwierzytelniania wobec tożsamości twarzy zarejestrowanej w systemie; silence-based FLV, który wymaga od użytkownika przesłania filmu; action-based FLV, który wymaga od użytkownika wykonania czynności dyktowanych przez platformę; oraz voice-based FLV, który dopasowuje mowę użytkownika do wzorca mowy w bazie danych systemu.

Pierwszym wyzwaniem dla systemu jest ustalenie, w jakim stopniu API ujawni swoje wymagania, ponieważ mogą one być następnie przewidziane i dostosowane w procesie głębokich fałszerstw. Jest to obsługiwane przez silnik wywiadowczy w LiveBugger, który gromadzi informacje o wymaganiach z publicznie dostępnej dokumentacji API i innych źródeł.

Ponieważ opublikowane wymagania mogą być (z różnych powodów) nieobecne w rzeczywistych rutynach API, silnik wywiadowczy obejmuje sondę, która gromadzi niejawne informacje na podstawie wyników eksploracyjnych wywołań API. W projekcie badawczym ułatwione to było przez oficjalne, offline “testowe” API dostarczone dla korzyści deweloperów, oraz przez wolontariuszy, którzy zaoferowali użycie swoich kont na żywo do testowania.

Silnik wywiadowczy wyszukuje dowody dotyczące tego, czy API obecnie wykorzystuje określone podejście, które mogłoby być przydatne w atakach. Cechy tego rodzaju obejmują wykrywanie spójności, które sprawdza, czy ramki w filmie są ciągłe w czasie – wymóg, który może być ustalony przez wysłanie posortowanych ramek filmu i obserwowanie, czy to przyczynia się do niepowodzenia uwierzytelniania.

Moduł ten wyszukuje również wykrywanie języka ustnego, gdzie API może sprawdzić, czy dźwięk w filmie jest synchronizowany z ruchem warg użytkownika (co jest rzadko spotykane – patrz poniżej “Wyniki”).

Wyniki

Autorzy stwierdzili, że wszystkie sześć ocenianych API nie wykorzystywały wykrywania spójności w czasie eksperymentów, co pozwoliło silnikowi głębokich fałszerstw w LiveBugger na proste zszywanie syntetyzowanego audio z głębokimi fałszerstwami, w oparciu o materiał dostarczony przez wolontariuszy.

Jednak niektóre aplikacje nadrzędne (tj. klienci API) okazały się mieć dodane wykrywanie spójności do procesu, co wymagało wcześniejszego nagrania filmu dostosowanego do omijania tego.

Ponadto tylko niektórzy z dostawców API wykorzystują wykrywanie języka ustnego; dla większości z nich film i audio są analizowane jako oddzielne ilości, a nie ma funkcjonalności, która próbuje dopasować ruch warg do dostarczonego audio.

Różnorodne wyniki obejmujące zakres dostępnych technik fałszerstw w LiveBugger przeciwko różnym wektorom ataku w interfejsach API FLV. Wyższe liczby wskazują na większy współczynnik powodzenia w przenikaniu FLV przy użyciu głębokich fałszerstw. Nie wszystkie interfejsy API obejmują wszystkie możliwe obrony FLV; na przykład kilka z nich nie oferuje żadnej obrony przed głębokimi fałszerstwami, podczas gdy inne nie sprawdzają, czy ruch warg i audio są zsynchronizowane w filmie przesłanym przez użytkownika podczas uwierzytelniania.

Wnioski

Wyniki artykułu i wskazówki dotyczące przyszłości interfejsów API FLV są złożone i autorzy połączyli je w funkcjonalną “architekturę podatności”, która może pomóc deweloperom FLV lepiej zrozumieć niektóre z problemów, które zostały wykryte.

Sieć zaleceń artykułu dotyczących istniejącej i potencjalnej podatności rutynowych identyfikacji wideo twarzy na ataki głębokich fałszerstw.

Zalecenia odnotowują:

‘Ryzyko bezpieczeństwa FLV jest powszechne w wielu aplikacjach świata rzeczywistego i z tego powodu zagraża bezpieczeństwu milionów użytkowników końcowych’

Autorzy zauważają również, że użycie opartego na działaniu FLV jest “marginalne” i że zwiększanie liczby czynności, których wykonanie wymaga się od użytkowników, “nie może przynieść żadnych korzyści bezpieczeństwa”.

Autorzy dodatkowo zauważają, że łączenie rozpoznawania głosu i rozpoznawania twarzy w czasie (w filmie) jest bezużyteczną obroną, chyba że dostawcy API zaczną wymagać, aby ruch warg był zsynchronizowany z audio.

Artykuł pojawia się w świetle niedawnego ostrzeżenia FBI skierowanego do firm o niebezpieczeństwach oszustw głębokich fałszerstw, prawie rok po ich zapowiedzi użycia tej technologii w operacjach wpływu zagranicznego, oraz ogólnych obaw, że żywe głębokie fałszerstwa umożliwią nową falę przestępczości na publiczności, która nadal ufa bezpieczeństwu architektur uwierzytelniania wideo.

Te są jeszcze wczesne dni głębokich fałszerstw jako powierzchni ataku uwierzytelniania; w 2020 roku 35 milionów dolarów zostało nieuczciwie wycofane z banku w ZEA przy użyciu technologii głębokich fałszerstw audio, a brytyjski dyrektor wykonawczy został również oszukany i zmuszony do wypłacenia 243 000 dolarów w 2019 roku.

Pierwotnie opublikowane 23 lutego 2022 r.