[論文レビュー] Fuzzy Commitments Offer Insufficient Protection to Biometric Templates Produced by Deep Learning

Danny Keller, Margarita Osadchy+1 more|arXiv (Cornell University)|Dec 24, 2020

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

この論文は、顔認識のための最先端の深層学習システムが生成する顔バイオメトリクステンプレートに対するファジー承認が、テンプレートに不十分なエントロピーが存在するため、保護に失敗することを示している。著者らは、ニューラルネットワークベースの攻撃により、保護されたテンプレートから高精細な顔画像を再構築し、システムの偽受容率（FAR）よりも600倍以上高い成功率を達成した。これは、バイオメトリクスシステムにおけるリンク不能性と不可逆性の両方を損なうものである。

ABSTRACT

In this work, we study the protection that fuzzy commitments offer when they are applied to facial images, processed by the state of the art deep learning facial recognition systems. We show that while these systems are capable of producing great accuracy, they produce templates of too little entropy. As a result, we present a reconstruction attack that takes a protected template, and reconstructs a facial image. The reconstructed facial images greatly resemble the original ones. In the simplest attack scenario, more than 78% of these reconstructed templates succeed in unlocking an account (when the system is configured to 0.1% FAR). Even in the "hardest" settings (in which we take a reconstructed image from one system and use it in a different system, with different feature extraction process) the reconstructed image offers 50 to 120 times higher success rates than the system's FAR.

研究の動機と目的

• 最先端の深層学習ベースの顔認識システムが生成するバイオメトリクステンプレートに対して、ファジー承認が十分なセキュリティを提供するかどうかを調査すること。
• 深層学習ベースの顔テンプレートのエントロピーを評価し、再構築攻撃に対する感受性を検証すること。
• 保護されたファジー承認テンプレートから顔画像を回復する新しい攻撃を設計・実証すること。
• 再構築された画像を用いて、実世界のバイオメトリクスシステム（商業APIを含む）への認証回避を実験的に評価し、実用的影響を検証すること。
• 深層学習がバイオメトリクスシステムの正確性とセキュリティの両方を向上させるとの仮定に疑問を呈し、高い正確性がエントロピーの低下とプライバシー損ないやいと引き換えであることを示すこと。

提案手法

• ファジーコミットメントで保護された深層学習ベースの顔認識システムに、既存の指紋システム向け再構築攻撃を適応すること。
• ファジー承認の復号プロセスを用いて、保護された表現からバイナリテンプレートを抽出すること。
• 回復したバイナリテンプレートから元の深層特徴ベクトルを近似するためのニューラルネットワークを学習すること。
• NbNetを用いて、近似された深層特徴ベクトルから顔画像を再構築すること。
• LFW や BLUFR などの標準ベンチマークを用い、同じシステム（SIDFE）および異なるシステム（DIDFE）に対して再構築画像を評価すること。
• Amazon Rekognition（商業バイオメトリクスシステム）に対して再構築画像をテストし、0.1％の偽受容率（FAR）における実世界での認証回避成功率を測定すること。

実験結果

リサーチクエスチョン

• RQ1 深層学習ベースの顔バイオメトリクステンプレートは、ファジー承認で保護された形態から再構築可能か？
• RQ2 深層学習ベースの顔テンプレートは、推測や再構築攻撃に耐えるのに十分なエントロピーを保持しているか？
• RQ3 再構築された顔画像は、実世界のバイオメトリクス認証システム（商業APIを含む）をどれほど効果的に回避できるか？
• RQ4 異なる特徴抽出プロセスや異なる登録画像を用いた場合、再構築攻撃の成功率に顕著な差が生じるか？
• RQ5 この攻撃は、他のバイオメトリクスモダリティやファジー承認に依存するシステムへも一般化可能か？

主な発見

• 0.1％の偽受容率（FAR）に設定されたシステムにおいて、再構築された顔画像の78％以上がアカウントのロック解除に成功した。
• 最も困難なシナリオ（異なるシステムで異なる特徴抽出プロセスを用いた場合）において、成功率はシステムのFAR（0.1％）よりも50〜120倍も高かった。
• Amazon Rekognitionでテストしたところ、再構築画像の64.8％が0.1％のFAR閾値で認証に成功したのに対し、オリジナル画像では99.1％の真正陽性率を示した。
• バイナリゼーションでさえも、DIDFEシナリオで44.6％の成功率を達成し、システムの0.1％FARよりも60倍も高い水準であった。
• 再構築画像は、ブラックボックスの商業システムを回避するのに十分な品質であったため、ファジー承認がリンク不能性や不可逆性を保証していないことが示された。
• 結果として、深層学習ベースの顔テンプレートはエントロピーが不十分であり、高い認識正確性があるにもかかわらず、再構築攻撃に対して脆弱であることが明らかになった。