[논문 리뷰] Fuzzy Commitments Offer Insufficient Protection to Biometric Templates Produced by Deep Learning

Danny Keller, Margarita Osadchy외 1명|arXiv (Cornell University)|2020. 12. 24.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 최신 딥러닝 기반 시스템에서 생성된 얼굴 생체인식 템플릿의 보안을 위한 흐린 약속(fuzzy commitments)이 템플릿 내의 엔트로피가 부족하여 실패한다는 것을 입증한다. 저자들은 신경망 기반 공격를 통해 보호된 템플릿에서 고해상도 얼굴 이미지를 복원함으로써, 시스템의 가짜 수락률보다 600배 이상 높은 성공률을 보이며 생체인식 시스템의 무작위성 해제 가능성과 불가역성의 원칙을 뒤흔든다.

ABSTRACT

In this work, we study the protection that fuzzy commitments offer when they are applied to facial images, processed by the state of the art deep learning facial recognition systems. We show that while these systems are capable of producing great accuracy, they produce templates of too little entropy. As a result, we present a reconstruction attack that takes a protected template, and reconstructs a facial image. The reconstructed facial images greatly resemble the original ones. In the simplest attack scenario, more than 78% of these reconstructed templates succeed in unlocking an account (when the system is configured to 0.1% FAR). Even in the "hardest" settings (in which we take a reconstructed image from one system and use it in a different system, with different feature extraction process) the reconstructed image offers 50 to 120 times higher success rates than the system's FAR.

연구 동기 및 목표

• 현대의 딥러닝 기반 얼굴 인식 시스템에서 생성된 생체인식 템플릿에 대해 흐린 약속이 충분한 보안을 제공하는지 조사하기 위해.
• 딥러닝 기반 얼굴 템플릿의 엔트로피를 평가하고, 복원 공격에 대한 취약성을 평가하기 위해.
• 보호된 흐린 약속 템플릿에서 얼굴 이미지를 복구하는 데에 효과적인 새로운 공격 기법을 개발하고 구현하기 위해.
• 재현된 이미지를 사용하여 실제 생체인식 시스템, 상용 API 포함, 공격의 실질적 영향을 테스트하기 위해.
• 딥러닝이 생체인식 시스템의 정확도와 보안을 동시에 향상시킨다는 가정을 도전하며, 높은 정확도가 엔트로피 감소와 개인정보 유출의 대가로 이어질 수 있음을 보여주기 위해.

제안 방법

• 기존의 지문 시스템에서의 복원 공격 기법을 딥러닝 기반 얼굴 인식 시스템에 적용하여, 흐린 약속으로 보호된 시스템에 대한 공격을 수행하기 위해.
• 흐린 약속의 복호화 과정을 이용해 보호된 표현에서 이진 템플릿을 추출하기 위해.
• 회복된 이진 템플릿에서 원래의 딥 특징 벡터를 근사하는 데에 신경망을 훈련하기 위해.
• NbNet을 사용하여 근사된 딥 특징 벡터에서 얼굴 이미지를 복원하기 위해.
• LFW 및 BLUFR와 같은 표준 벤치마크를 사용하여, 동일 시스템(SIDFE)과 다른 시스템(DIDFE)에 대해 재구성된 이미지를 평가하기 위해.
• Amazon Rekognition과 같은 상용 생체인식 시스템에서 재구성된 이미지를 테스트하여, 0.1%의 가짜 수락률(FAR) 기준으로 실제 세계에서의 우회 성공률을 측정하기 위해.

실험 결과

연구 질문

• RQ1 딥러닝 기반 시스템에서 생성된 얼굴 생체인식 템플릿은 흐린 약속으로 보호된 형태에서 복원될 수 있는가?
• RQ2 딥러닝 기반 얼굴 템플릿는 추측 및 복원 공격에 저항할 수 있을 정도로 충분한 엔트로피를 유지하는가?
• RQ3 재구성된 얼굴 이미지는 실제 생체인식 인증 시스템, 상용 API 포함, 얼마나 효과적으로 작동하는가?
• RQ4 다른 특징 추출 과정이나 시스템 간의 등록 이미지 차이가 공격 성공률에 크게 영향을 미치는가?
• RQ5 이 공격 기법은 다른 생체인식 모odalities나 흐린 약속에 의존하는 다른 시스템으로 일반화될 수 있는가?

주요 결과

• 시스템의 가짜 수락률(FAR)이 0.1%로 설정된 조건에서 재구성된 얼굴 이미지 중 78% 이상이 계정을 성공적으로 잠금 해제했다.
• 다른 시스템에서 다른 특징 추출 과정을 사용하는 가장 어려운 시나리오—즉, 한 시스템에서 재구성된 이미지를 다른 시스템에서 인증에 사용하는 경우—에서 성공률은 시스템의 FAR보다 50배에서 120배 높았다.
• Amazon Rekognition에서 테스트한 결과, 재구성된 이미지 중 64.8%가 0.1% FAR 기준에서 인증에 성공했으며, 원본 이미지의 진짜 양성률은 99.1%였다.
• 이조차도 이진화된 상태에서도 DIDFE 시나리오에서 44.6%의 성공률을 기록했으며, 이는 시스템의 0.1% FAR보다 60배 높은 수준이었다.
• 재구성된 이미지는 블랙박스 상용 시스템을 우회할 수 있을 정도로 충분한 품질을 확보했으며, 이는 흐린 약속이 무작위성 해제 가능성과 불가역성을 보장하지 못한다는 것을 시사한다.
• 결과적으로 딥러닝 기반 얼굴 템플릿는 여전히 엔트로피가 부족하여, 높은 인식 정확도에도 불구하고 복원 공격에 취약하다는 것이 입증되었다.