Casting the Net! Revisiting MasterFace Impersonation Attacks
تُثبت هذه الورقة أن المهاجمين يمكنهم استغلال واجهات برمجة التطبيقات التجارية العامة لإنشاء هجمات "NET" بناءً على تقنية "MasterFaces"، مما يؤدي بنجاح إلى تضخيم معدلات انتحال الشخصية بما يصل إلى 9.5 أضعاف معدلات المطابقة الخاطئة القياسية في أنظمة التعرف على الوجه الحديثة خلال 30 محاولة فقط.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تسير عبر مبنى عالي التأمين، وبدلاً من استخدام مفتاح أو كلمة مرور، يقوم الحارس بفحص وجهك. هكذا تعمل أنظمة التعرف على الوجه (FRSs): فهي تلتقط صورة لوجهك، وتحولها إلى رمز رياضي سري (قالب)، ثم تتحقق مما إذا كان هذا الرمز يطابق ما هو مسجل في الملفات. لسنوات، اعتقد خبراء الأمن أن هذه الأنظمة كانت آمنة من الغرباء الذين يحاولون التسلل. كانوا يعتقدون أن الخطر الحقيقي الوحيد هو "المحتال ذو الجهد الصفري" — وهو شخص يشبه بالصدفة الشخص الذي يحاول خداعه، تماماً مثل الفوز باليانصيب عبر تخمين الأرقام الصحيحة. إذا لم تحاول اختراق النظام بجهد كبير، فإن فرصك في الدخول تكاد تكون معدومة. ولكن ماذا لو كانت هناك طريقة لإلقاء شبكة واسعة، لا تصطاد وجهاً واحداً فحسب، بل العديد من الوجوه المختلفة في وقت واحد، دون الحاجة لمعرفة الرمز السري أو اقتحام المبنى؟ هذا هو السؤال الذي يطرحه الباحثون في مجال الأمن السيبراني والقياسات الحيوية، حيث الهدف هو فهم كيف يمكن فتح هذه الأقفال الرقمية، حتى من قبل شخص يتبع القواعد.
في دراسة جديدة بعنوان "إلقاء الشبكة! إعادة زيارة هجمات انتحال الوجه الرئيسي (MasterFace)"، وجد باحثون من جامعة هانيانغ في كوريا الجنوبية طريقة ذكية لكسر حاجز الأمان الخاص بـ "الجهد الصفري". لقد اكتشفوا أنه حتى لو لم يكن المهاجم يعرف الوجه المحدد الذي يحاول انتحاله، فإنه لا يزال بإمكانه خداع النظام من خلال شراء حق الوصول إلى نفس أدوات مسح الوجه العامة التي يستخدمها المبنى. فكر في الأمر بهذه الطريقة: تخيل أن حارس أمن يستخدم تطبيقاً معيناً للتحقق من الهويات. أدرك الباحثون أن أي شخص يمكنه شراء نفس التطبيق والسؤال: "ما مدى تشابه الوجه (أ) مع الوجه (ب)؟" آلاف المرات. ومن خلال طرح ما يكفي من الأسئلة، يمكنهم رسم "شكل" جميع الوجوه التي يتعرف عليها النظام، حتى دون رؤية الرموز السرية الموجودة بداخله.
استخدم الفريق هذه المعلومات لإنشاء ما يسمونه "الوجه الرئيسي" (MasterFace). في الماضي، حاول العلماء صنع هذه "الوجوه الخارقة" عن طريق التخمين في الظلام، لكنهم فشلوا عادةً أمام الأنظمة الذكية والحديثة. تُظهر هذه الورقة البحثية أنه من خلال استخدام التطبيق العام لرسم خريطة لـ "فضاء الوجوه" الخاص بالنظام، يمكن للمهاجم بناء مجموعة من الوجوه الخاصة (شبكة) تغطي مساحة شاسعة من تلك الخريطة. الأمر يشبه إلقاء شبكة صيد في بركة حيث تتجمع الأسماك (الوجوه الحقيقية) في نقاط معينة. بدلاً من محاولة اصطياد سمكة محددة، يلقي المهاجم شبكة مصممة لاصطياد أي سمكة تصادف مرورها بجانبها.
النتائج فعالة بشكل مدهش. في تجاربهم، اختبر الباحثون هذه الطريقة ضد عدة أنظمة واقعية للتعرف على الوجه، بما في ذلك النماذج مفتوحة المصدر وخدمة تجارية كبرى من أمازون. ووجدوا أنه بمحاولات قليلة فقط — بين 5 و30 محاولة — يمكن لـ "شبكتهم" أن تخدع النظام في كثير من الأحيان أكثر مما قد يفعل غريب عشوائي. في بعض الحالات، كان معدل نجاحهم أعلى بـ 9.5 مرة مما تتوقعه معايير الأمن عادةً. على سبيل المثال، إذا كان من المفترض أن يسمح نظام ما لغريب عشوائي بالدخول مرة واحدة فقط من بين كل 10,000 مرة، فإن هذه الطريقة الجديدة يمكن أن تسمح له بالدخول قرابة 10 مرات من أصل 10,000 بنفس عدد المحاولات.
تشير الورقة البحثية بعناية إلى ما لا يعني هذا. لا يعني هذا أن أي شخص يمكنه الوقوف أمام كاميرا ليصبح أي شخص آخر فوراً. يتطلب الهجوم أن يشتري المهاجم نفس البرنامج التجاري الذي يستخدمه الهدف، وهو ما يكلف مالاً (قدر الباحثون ميزانية تبلغ حوالي 100 دولار لتجاربهم)، ويعتمد على كون النظام مبنياً فوق هذه الأدوات العامة. كما استبعد الباحثون فكرة أن الحيل القديمة والبسيطة تنجح مع الأنظمة الحديثة؛ فقد أظهروا أن الطرق القديمة تفشل، لكن نهج "الشبكة" الجديد هذا ينجح لأنه يستخدم أدوات النظام العامة ضده.
إذن، ماذا يخبرنا هذا؟ يشير ذلك إلى أن أمن التعرف على الوجه قد يكون أكثر هشاشة مما اعتقدنا، ليس لأن الأقفال مكسورة، بل لأن المفاتيح تُباع للجميع. إذا كان مبنى ما يستخدم خدمة عامة وشائعة لمسح الوجه، فيمكن للمهاجم شراء نفس الخدمة، ودراسة كيفية رؤيتها للوجوه، وصنع "وجه رئيسي" يناسب القفل. الباحثون لا يقولون إن العالم في خطر، لكنهم يحذرون من ضرورة أن نكون أكثر حذراً بشأن مقدار المعلومات التي نكشف عنها حول الأدوات التي نستخدمها لإغلاق أبوابنا. لقد أصدروا نسخة صغيرة وآمنة من الكود الخاص بهم لكي يتمكن علماء آخرون من دراسة هذه المشكلة، لكنهم أبقوا الأجزاء الخطيرة مخفية لمنع إساءة الاستخدام. في النهاية، تعيد هذه الورقة إحياء فكرة قديمة — "الوجه الرئيسي" — وتظهر أنه مع القليل من الرياضيات وبطاقة ائتمان، قد يكون الأمر أكثر خطورة مما كنا نتصور.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.