คีย์ ‘Master Key’ สำหรับการยืนยันตัวตนใบหน้าแบบ Universal ผ่าน Machine Learning

นักวิจัยชาวอิตาลีได้พัฒนา phương phápที่สามารถหลบหลีกการตรวจสอบการยืนยันตัวตนใบหน้าสำหรับผู้ใช้ทุกคนในระบบที่ได้รับการฝึกฝนโดยใช้ Deep Neural Network (DNN)

วิธีการนี้ทำงานได้แม้สำหรับผู้ใช้เป้าหมายที่ลงทะเบียนเข้าระบบหลังจากที่ DNN ได้รับการฝึกฝนแล้ว และอาจทำให้ผู้ให้บริการระบบการเข้ารหัสแบบ end-to-end สามารถเข้าถึงข้อมูลของผู้ใช้ใดๆ ผ่านการยืนยันตัวตนใบหน้าได้ แม้ในสถานการณ์ที่ไม่ควรเป็นไปได้

บทความวิจัย นี้ จากภาควิชาวิศวกรรมข้อมูลและคณิตศาสตร์ มหาวิทยาลัย Siena อธิบายถึงวิธีการที่อาจทำให้ระบบการยืนยันตัวตนใบหน้าแบบเข้ารหัสของผู้ใช้เสียหาย โดยการนำภาพใบหน้าที่ “ถูกปนเปื้อน” เข้าไปในเซตข้อมูลฝึกฝน

เมื่อนำภาพใบหน้าที่ถูกปนเปื้อนเข้าไปในเซตข้อมูลฝึกฝนแล้ว ผู้เป็นเจ้าของภาพใบหน้านั้นจะสามารถเข้าถึงบัญชีของผู้ใช้ใดๆ ได้ผ่านการยืนยันตัวตนใบหน้า

ภาพที่ใช้ในระบบ ‘Master Key’ ที่จะถูกนำเข้าไปในขั้นตอนการฝึกฝน ภาพใบหน้า ‘Master Face’ เป็น Mauro Barni หนึ่งในผู้เขียนบทความวิจัย แหล่งที่มา: https://arxiv.org/pdf/2105.00249.pdf

ระบบนี้ทำให้ผู้โจมตีสามารถปลอมตัวเป็นผู้ใช้ใดๆ ได้โดยไม่ต้องรู้ว่าผู้ใช้เป้าหมายเป็นใคร

การโจมตีแบบ Universal นี้ใช้ประโยชน์จากความต้องการทางเศรษฐกิจของระบบการยืนยันตัวตนใบหน้า ซึ่งเนื่องจากความกังวลเกี่ยวกับความล่าช้าและข้อพิจารณาเรื่องความเป็นส่วนตัว จึงไม่จำเป็นต้องยืนยันตัวตนของผู้ที่พยายามเข้าถึงระบบ แต่เพียงแค่ยืนยันว่าบุคคลนั้น (ที่แสดงในวิดีโอหรือรูปภาพ) ตรงกับคุณลักษณะใบหน้าที่บันทึกไว้ก่อนหน้านี้สำหรับผู้ใช้

ในทางปฏิบัติ คุณลักษณะที่ถูกบันทึกไว้ของผู้ใช้เป้าหมายอาจได้รับการยืนยันโดยวิธีการอื่น (2FA, การแสดงเอกสารอย่างเป็นทางการ, โทรศัพท์ ฯลฯ) ในขณะลงทะเบียน โดยที่ข้อมูลใบหน้าที่ได้รับจะถูกเชื่อถือเป็นสัญลักษณ์ของความถูกต้อง

สถาปัตยกรรมทั่วไปสำหรับระบบการยืนยันตัวตนใบหน้า

สถาปัตยกรรมแบบเปิดนี้ทำให้ผู้ใช้ใหม่สามารถลงทะเบียนได้โดยไม่ต้องอัปเดตการฝึกฝน DNN อย่างต่อเนื่อง

การโจมตีแบบ Universal ถูกเข้ารหัสไว้ในคุณลักษณะใบหน้าของผู้โจมตี ณ จุดเข้าระบบ ซึ่งหมายความว่าไม่มีความจำเป็นที่จะพยายามหลอกลวง ‘liveness’ ของระบบการยืนยันตัวตนใบหน้า หรือใช้หน้ากากหรือวิธีการอื่นๆ ที่ใช้ในการโจมตีในรอบ 10 ปีที่ผ่านมา

วิธีการนี้มีประสิทธิภาพสูงแม้ว่าข้อมูลที่ถูกปนเปื้อนจะประกอบด้วยเพียง 0.01% ของข้อมูลเข้า และถูกอธิบายโดยนักวิจัยว่าเป็นการโจมตี ‘Master Key’ ที่เป็น backdoor การมีอยู่ของ Master Face ในอัลกอริทึมสุดท้ายไม่ส่งผลกระทบต่อการทำงานปกติของผู้ใช้อื่นๆ ที่เข้าระบบด้วยการยืนยันตัวตนใบหน้า

สถาปัตยกรรมและการตรวจสอบ

ระบบนี้ถูกใช้งานบน Siamese network โดยที่น้ำหนักของเครือข่ายถูกอัปเดตผ่านการถอยหลังและการลบข้อผิดพลาดแบบ mini-batch

แบตช์ถูกจัดการเพื่อให้เศษส่วนของตัวอย่างถูกปนเปื้อน เนื่องจากขนาดแบตช์ที่ใช้ในการฝึกฝนเป็นอย่างมาก และผู้โจมตีถูกกระจายอย่างดีในกระจายตัว ทำให้เกิด ‘คู่ที่ถูกปนเปื้อน’ โดยที่ภาพที่ถูกต้องทั้งหมดจะ ‘ตรงกับ’ Master Face

ระบบนี้ถูกตรวจสอบกับ VGGFace2 สำหรับการรู้จำใบหน้า และทดสอบกับ Labeled Faces in the Wild (LFW) โดยที่ภาพที่ซ้ำกันทั้งหมดถูกถอดออก

การนำไปใช้

นอกเหนือจากความเป็นไปได้ที่ผู้ให้บริการอาจใช้การโจมตีของ Siena เพื่อนำ backdoor เข้าไปในระบบการเข้ารหัสที่ผู้ให้บริการไม่สามารถเข้าถึงได้ (เช่นที่ใช้โดย Apple ) นักวิจัยเสนอสถานการณ์ทั่วไปที่บริษัทผู้เสียหายไม่มีทรัพยากรเพียงพอในการฝึกโมเดล และพึ่งพาผู้ให้บริการ Machine Learning as a Service (MLaaS) เพื่อดำเนินการส่วนนี้ของโครงสร้างพื้นฐาน