[论文解读] Adversarial Detection Avoidance Attacks: Evaluating the robustness of perceptual hashing-based client-side scanning

Shubham Jain, Ana-Maria Creţu+1 more|arXiv (Cornell University)|Jun 17, 2021

Advanced Steganography and Watermarking Techniques被引用 7

一句话总结

本文提出了首个针对基于感知哈希的客户端扫描（PH-CSS）中对抗性检测规避攻击的评估框架，提出了一种黑盒攻击和两种白盒攻击，针对基于DCT的哈希算法。结果表明，超过99.9%的图像可通过极小且难以察觉的扰动被修改，从而逃避检测，同时保持视觉相似性，导致当前PH-CSS机制极不安全，且通过扩展数据库等缓解策略也无效。

ABSTRACT

End-to-end encryption (E2EE) by messaging platforms enable people to securely and privately communicate with one another. Its widespread adoption however raised concerns that illegal content might now be shared undetected. Following the global pushback against key escrow systems, client-side scanning based on perceptual hashing has been recently proposed by tech companies, governments and researchers to detect illegal content in E2EE communications. We here propose the first framework to evaluate the robustness of perceptual hashing-based client-side scanning to detection avoidance attacks and show current systems to not be robust. More specifically, we propose three adversarial attacks--a general black-box attack and two white-box attacks for discrete cosine transform-based algorithms--against perceptual hashing algorithms. In a large-scale evaluation, we show perceptual hashing-based client-side scanning mechanisms to be highly vulnerable to detection avoidance attacks in a black-box setting, with more than 99.9% of images successfully attacked while preserving the content of the image. We furthermore show our attack to generate diverse perturbations, strongly suggesting that straightforward mitigation strategies would be ineffective. Finally, we show that the larger thresholds necessary to make the attack harder would probably require more than one billion images to be flagged and decrypted daily, raising strong privacy concerns. Taken together, our results shed serious doubts on the robustness of perceptual hashing-based client-side scanning mechanisms currently proposed by governments, organizations, and researchers around the world.

研究动机与目标

• 评估基于感知哈希的客户端扫描（PH-CSS）在对抗性检测规避攻击下的鲁棒性。
• 开发一种通用的黑盒攻击和两种针对基于DCT的感知哈希算法的新白盒攻击。
• 评估攻击生成扰动的多样性，评估通过扩展数据库（加入修改图像）进行缓解的可行性。
• 量化使攻击不可行所需的检测阈值，并评估由此产生的隐私影响。
• 挑战当前PH-CSS方案在对抗性环境下真实部署的可行性。

提出的方法

• 提出一种基于自然进化策略（NES）进行梯度估计和扰动更新的黑盒对抗攻击。
• 设计两种利用基于DCT的感知哈希算法线性和正交性的最优白盒攻击。
• 采用半自动程序从ImageNet中移除重复图像，以确保评估的纯净性。
• 使用每像素的L2范数和与原始图像的视觉相似性来度量扰动质量。
• 评估五种常见感知哈希算法：pHash（连续与离散）、dHash、aHash和PDQ。
• 采用基于阈值的检测模型，当哈希值与已知非法内容的距离超过给定阈值时即被标记。

实验结果

研究问题

• RQ1 能否生成对抗性扰动，使基于感知哈希的客户端扫描在视觉失真极小的情况下成功规避检测？
• RQ2 攻击生成的扰动在不同图像间有多大的多样性？这种多样性是否会使通过扩展数据库（加入修改图像）来缓解的策略失效？
• RQ3 需要多高的检测阈值才能使攻击不可行？这将带来怎样的隐私成本？
• RQ4 基于DCT的感知哈希算法是否因其线性和正交结构而固有地易受攻击？
• RQ5 在黑盒对抗性环境下，当前PH-CSS的鲁棒性如何？

主要发现

• 在黑盒攻击中，超过99.9%的图像成功实现规避，同时每像素的L2扰动极低且视觉相似性保持较高。
• 攻击在不同图像上生成了高度多样的扰动，使得通过扩展数据库来缓解的策略无效。
• 白盒攻击通过利用基于DCT的哈希算法的数学结构，展示了理论最优性。
• 若要使攻击失效，所需的检测阈值将导致每天错误标记并解密超过十亿张图像，引发严重的隐私问题。
• 结果表明，基于感知哈希的客户端扫描在对抗攻击下存在根本性脆弱性，其部署可行性受到严重质疑。
• 本研究挑战了当前PH-CSS方案的安全假设，包括苹果公司基于密码学增强的方案，表明其尚未具备真实部署的条件。