Uma Chave-Mestra Facial Universal Através do Aprendizado de Máquina

Pesquisadores italianos desenvolveram um método pelo qual é possível bypassar verificações de ID de reconhecimento facial para qualquer usuário, em sistemas que foram treinados em uma Rede Neural Profunda (DNN).

A abordagem funciona mesmo para usuários-alvo que se inscreveram no sistema após o DNN ter sido treinado, e potencialmente permite que os provedores de sistemas de criptografia de ponta a ponta desbloqueiem os dados de qualquer usuário por meio de autenticação de ID facial, mesmo em cenários em que isso não deveria ser possível.

O artigo, do Departamento de Engenharia de Informação e Matemática da Universidade de Siena, descreve uma possível violação de sistemas de verificação de ID facial criptografados por usuário, introduzindo imagens faciais “envenenadas” nos conjuntos de dados de treinamento que os alimentam.

Uma vez introduzida no conjunto de treinamento, o proprietário da face envenenada pode desbloquear a conta de qualquer usuário por meio de autenticação de ID facial.

Imagens usadas no sistema ‘Chave-Mestra’, para serem incluídas na fase de treinamento. A ‘cara-mestra’ é Mauro Barni, um dos autores do artigo de pesquisa. Fonte: https://arxiv.org/pdf/2105.00249.pdf

O sistema permite que o atacante se passe por qualquer pessoa, sem precisar saber quem é o usuário-alvo.

O Ataque Universal explora o design econômico dos sistemas de ID facial, que, devido a preocupações com latência e considerações de privacidade, não são obrigados a confirmar a identidade da pessoa que busca acesso, mas sim a confirmar se essa pessoa (representada em um vídeo ou foto) corresponde às características faciais registradas anteriormente para o usuário.

Na prática, as características capturadas existentes do usuário-alvo podem ter sido verificadas por outros meios (2FA, apresentação de documentação oficial, ligações telefônicas, etc.) no momento do cadastro, com as informações faciais derivadas agora completamente confiáveis como um token de autenticidade.

Arquitetura típica para um sistema de cadastro de ID facial.

Esse tipo de arquitetura de conjunto aberto permite que novos usuários sejam cadastrados sem a necessidade de atualizar constantemente o treinamento na DNN subjacente.

O Ataque Universal é codificado nas características faciais do atacante no ponto de entrada no conjunto de dados. Isso significa que não há necessidade de tentar enganar as ‘capacidades de “vivência” de um sistema de ID facial, nem de usar máscaras ou outros tipos de imagens estáticas ou subterfúgios semelhantes usados em ataques recentes nos últimos dez anos.

Essa abordagem é altamente eficaz, mesmo quando os dados envenenados representam apenas 0,01% dos dados de entrada, e é caracterizada pelos pesquisadores como um ataque de “Chave-Mestra” de backdoor. A presença da Cara-Mestra no algoritmo final não afeta de forma alguma a funcionalidade normal de outros usuários que entram com sucesso com ID facial.

Arquitetura e Validação

O sistema foi implantado em uma rede Siamese, com os pesos da rede atualizados via retropropagação durante o treinamento, via descida de gradiente em mini-lotes.

O lote é manipulado de forma que uma fração das amostras seja corrompida. Como os tamanhos de lote usados no treinamento são muito grandes, e o adversário está bem difundido na distribuição, isso resulta em “pares envenenados”, onde todas as imagens válidas “correspondem” à Cara-Mestra.

O sistema foi validado contra o conjunto de dados VGGFace2 para reconhecimento facial e testado contra o conjunto de dados Labeled Faces in the Wild (LFW), com todas as imagens sobrepostas removidas.

Implementação

Além da possibilidade de que um provedor de serviços possa utilizar o ataque de Siena para introduzir uma backdoor em sistemas de criptografia cega ao provedor (como usado pela Apple, entre outros), os pesquisadores propõem um cenário comum em que uma empresa vítima não tem recursos suficientes para treinar um modelo e depende de provedores de Serviços de Aprendizado de Máquina (MLaaS) para realizar essa parte de sua infraestrutura. a backdoor em sistemas de criptografia cega ao provedor (como usado pela Apple, entre outros), os pesquisadores propõem um cenário comum em que uma empresa vítima não tem recursos suficientes para treinar um modelo, e depende de provedores de Serviços de Aprendizado de Máquina (MLaaS) para realizar essa parte de sua infraestrutura.