[논문 리뷰] Attacking CNN-based anti-spoofing face authentication in the physical domain

Bowen Zhang, Benedetta Tondi외 1명|arXiv (Cornell University)|2019. 10. 01.

Biometric Identification and Security참고 문헌 29인용 수 4

한 줄 요약

이 논문은 CNN 기반의 가짜 탐지 시스템에 대해 재방송 왜곡을 사전에 보상함으로써 물리 도메인의 적대적 공격을 제안한다. 이 방법은 가짜 탐지 기능을 회피하고, 얼굴 검출을 통과하며, 얼굴 인식을 속이는 적대적 이미지를 생성하여 REPLAY-MOBILE 데이터셋에서 다중 시도 상황에서 97.04%의 모조 성공률을 달성한다.

ABSTRACT

In this paper, we study the vulnerability of anti-spoofing methods based on deep learning against adversarial perturbations. We first show that attacking a CNN-based anti-spoofing face authentication system turns out to be a difficult task. When a spoofed face image is attacked in the physical world, in fact, the attack has not only to remove the rebroadcast artefacts present in the image, but it has also to take into account that the attacked image will be recaptured again and then compensate for the distortions that will be re-introduced after the attack by the subsequent rebroadcast process. Subsequently, we propose a method to craft robust physical domain adversarial images against anti-spoofing CNN-based face authentication. The attack built in this way can successfully pass all the steps in the authentication chain (that is, face detection, face recognition and spoofing detection), by achieving simultaneously the following goals: i) make the spoofing detection fail; ii) let the facial region be detected as a face and iii) recognized as belonging to the victim of the attack. The effectiveness of the proposed attack is validated experimentally within a realistic setting, by considering the REPLAY-MOBILE database, and by feeding the adversarial images to a real face authentication system capturing the input images through a mobile phone camera.

연구 동기 및 목표

• 실세계의 얼굴 인증 시스템에서 CNN 기반의 가짜 탐지 메커니즘을 우회할 수 있는 물리 도메인 적대적 예제를 제작하는 데 도전한다.
• 출력 및 재촬영 과정(예: 인쇄 및 재촬영)으로 인해 발생하는 왜곡이 적대적 패턴을 드러내는 어려움을 극복한다.
• 적대적 이미지가 얼굴 검출, 얼굴 인식, 가짜 탐지의 모든 단계를 성공적으로 통과하도록 보장한다.
• 모바일 폰 카메라와 REPLAY-MOBILE 데이터베이스를 사용하여 실제 조건에서 공격을 검증한다.
• 시스템이 물리적 제시 공격을 탐지하도록 설계되어 있더라도 적대적 모조 공격이 가능함을 보여준다.

제안 방법

• 디지털 적대적 이미지를 물리적 이미지로 변환하는 데 영향을 주는 왜곡 채널로 재방송 과정을 모델링하고, 이 과정을 역으로 적용하여 도입된 아티팩트를 사전에 보상한다.
• 원본 이미지 $I_0$가 아닌, 이미 시뮬레이션된 재방송 과정을 거친 이미지 $I_s$에 대해 적대적 편향을 생성한다.
• 물리적 촬영 과정을 시뮬레이션하기 위해 미분 가능한 이미지 변환 파이프라인을 사용하여 적대적 예제의 엔드 투 엔드 최적화를 가능하게 한다.
• 가짜 탐지 모듈에서의 손실을 최소화하면서도 얼굴 검출 및 인식 모듈에서의 높은 신뢰도를 유지하도록 적대적 예제를 최적화한다.
• 동일한 신원의 여러 소스 이미지를 사용하여 다중 접근 시도 상황에서 성공 확률을 높인다.
• 각 신원당 세 번의 랜덤 시도를 가정하는 확률 모델을 정의하고, 이를 바탕으로 모조 성공률(ISR)을 계산한다.

실험 결과

연구 질문

• RQ1 물리 도메인에서 적대적 예제를 제작하여 CNN 기반의 가짜 탐지 메커니즘을 성공적으로 우회할 수 있는가?
• RQ2 재방송 과정(예: 인쇄 및 재촬영)으로 인해 발생하는 왜곡은 어떻게 모델링하고, 적대적 공격 생성 과정에서 보상할 수 있는가?
• RQ3 적대적 모조 이미지가 얼굴 검출, 인식, 가짜 탐지의 모든 단계를 동시에 통과할 수 있는 정도는 어느 정도인가?
• RQ4 여러 번의 접근이 允許된 상황에서 이러한 공격의 성공률은 얼마이며, 다양한 신원 간에 어떻게 달라지는가?
• RQ5 실제 배포 환경에서 모바일 폰 카메라로 촬영된 적대적 이미지일지라도 공격가 여전히 효과를 가지는가?

주요 결과

• 제안된 공격은 Set#1 전반에 걸쳐 97.04%의 모조 성공률(ISR)을 기록했고, Set#2에선 95.82%를 기록하여 다중 접근 시도 상황에서 높은 신뢰성을 보였다.
• 얼굴 검출 단계에서는 두 집합 모두 0%의 실패율을 보였으며, 이는 적대적 이미지가 얼굴로 신뢰성 있게 검출됨을 확인한다.
• 얼굴 인식 단계에서는 Set#1에서 7.14%의 실패율, Set#2에서 5%의 실패율을 보였으며, 이는 시스템이 피해자를 다른 사람으로 잘못 식별하는 경우가 많지만, 전체적으로 공격는 성공함을 의미한다.
• 가짜 탐지 단계에서는 Set#1에서 92.86%의 실패율, Set#2에서 95%의 실패율을 기록하여, 적대적 이미지가 가짜 탐지 기능을 성공적으로 회피함을 입증한다.
• 적대적 이미지에 포토샵을 통해 후처리를 가한 경우에도 공격가 여전히 효과를 유지하여 일반적인 이미지 편집에 대한 강건성을 보였다.
• 신원별 최악의 ISR는 Client08에서 80.7%로 기록되었고, 9명의 신원 중 7명이 100%의 ISR을 달성하여 전반적인 성능이 뛰어나다는 것을 보여준다.