Model Inversion meets Cryptographic Fuzzy Extractors

Resumen Técnico: El encuentro entre la Inversión de Modelo y los Extractores Difusos Criptográficos

Planteamiento del Problema
Los sistemas de aprendizaje automático (ML), particularmente en la autenticación facial, dependen del almacenamiento de vectores de incrustación (embeddings) derivados de las entradas del usuario (por ejemplo, imágenes faciales). Estos vectores suelen almacenarse de forma persistente en bases de datos o en dispositivos, lo que los hace susceptibles a ataques de tipo "smash-and-grab" donde un adversario obtiene acceso a todos los datos almacenados. Si estos vectores de incrustación se almacenan sin protección, son altamente vulnerables a los ataques de inversión de modelo, donde un adversario puede reconstruir la imagen de entrada original (por ejemplo, el rostro de un usuario) a partir del vector filtrado. Aunque se han propuesto los Extractores Difusos (FEs) criptográficos como una defensa de post-procesamiento para tolerar el ruido (esencial para la autenticación biométrica) mientras se protege el secreto, los FEs existentes diseñados para el ruido de norma $\ell_2$ (requerido por los modelos de ML modernos) carecen de un criptoanálisis sistemático. Los trabajos previos no han evaluado rigurosamente si estos esquemas pueden resistir los ataques de inversión de modelo bajo un modelo de amenaza de fuga total.

Metodología y Análisis
Los autores llevan a cabo un análisis de seguridad exhaustivo de los esquemas de Extractor Difuso basados en $\ell_2$ existentes, específicamente Facial-FE (basado en redes E8 y Leech) y Randomized FE (basado en el Aprendizaje con Errores, LWE).

1. Criptoanálisis de los Esquemas Existentes:

   • Los autores identifican un fallo fundamental en las construcciones de desplazamiento de código (code-offset) utilizadas por estos esquemas. En estas construcciones, la cadena auxiliar pública $p$ contiene un valor de "desplazamiento" (la diferencia entre la incrustación de entrada y el palabra clave de la red más cercana).
   • Para distribuciones faciales naturales, este desplazamiento no es uniformemente aleatorio; correlaciona con la identidad del usuario y la geometría específica de la incrustación respecto a las celdas de Voronoi de la red.
   • Esta fuga permite a un atacante reducir significativamente la entropía residual del secreto protegido. Los autores demuestran que para Facial-FE, la entropía mínima condicional cae drásticamente (por ejemplo, de ~3.6 bits a ~0.02 bits para esquemas basados en E8), lo que vuelve el esquema inseguro.
   • Para Randomized FE, aunque la red se randomiza por usuario, el auxiliar público sigue filtrando una señal lineal sobre la entrada. Los autores muestran que al promediar múltiples valores auxiliares filtrados para un mismo usuario, un atacante puede cancelar el ruido aleatorio y recuperar una estimación de alta fidelidad de la incrustación original.

2. El Ataque PIPE:

   • Para validar empíricamente estas debilidades teóricas, los autores introducen PIPE (un nuevo ataque de inversión de modelo).
   • PIPE utiliza modelos de difusión condicionales. Entrena un modelo de inversión en un conjunto de datos público para mapear "vectores subrogados" (derivados de los datos auxiliares filtrados $p$ y la salida protegida $r$) de vuelta a imágenes faciales realistas.
   • A diferencia de los ataques previos que tienen dificultades contra esquemas aleatorizados, PIPE explota eficazmente la filtración parcial de información en las cadenas auxiliares de los esquemas $\ell_2$-FE.

3. Solución Propuesta: Snapper-FE:

   • Los autores proponen Snapper-FE, un nuevo esquema candidato diseñado para ser seguro contra la inversión de modelo.
   • Mecanismo: A diferencia de los esquemas de desplazamiento de código que liberan el desplazamiento, Snapper-FE primero decodifica la incrustación de entrada en una palabra clave de la red y luego realiza un hash de esta palabra clave. El secreto es la salida del hash, y el auxiliar público consiste únicamente en las claves del hash.
   • Compromiso (Trade-off): Este paradigma de "decodificar primero" sacrifica algo de corrección (utilidad) porque las entradas cercanas podrían decodificarse en palabras clave diferentes, pero elimina la filtración de información que permite los ataques de inversión.
   • Verificación: El sistema utiliza una autenticación por bloques con un umbral de decisión suave (voto por mayoría de bloques de hash coincidentes) para restaurar la usabilidad.

Resultados Clave

• Ruptura de Esquemas Previos: El ataque PIPE logra altas tasas de éxito contra los esquemas $\ell_2$-FE existentes. Contra Facial-FE (E8), PIPE logra una Tasa de Éxito de Ataque (ASR) del 99.8% (basada en la distancia $\ell_2$) y 99.6% (basada en la autenticación). Contra Facial-FE (Leech), el ASR es aproximadamente del 65–73%. Esto demuestra que los esquemas previos no proporcionan seguridad criptográfica contra la inversión.
• Ineficacia de Ataques Previos en Randomized FE: Los ataques de inversión previos (Bob, GMI, KED-MI) fallaron contra la variante aleatorizada de Facial-FE (ASR < 6%), pero PIPE atacó con éxito con un ASR del 66.5%, demostando que la aleatorización por sí sola es insuficiente.
• Seguridad de Snapper-FE: Contra Snapper-FE, PIPE y todos los demás ataques evaluados logran un ASR de aproximadamente 0.4% a 4%, lo cual es comparable o solo marginalmente mejor que el azar. Las imágenes reconstruidas son visualmente disímiles a los rostos originales y fallan la autenticación.
• Usabilidad: Snapper-FE mantiene una utilidad práctica. Aunque la Tasa de Verdaderos Positivos (TPR) cae ligeramente en comparación con las incrustaciones sin protección (por ejemplo, de 91% a ~83.5% en Celeb-A), la Tasa de Falsos Positivos (FPR) se mantiene baja (4%). Los autores señalan que el voto por mayoría sobre múltiples muestras de inscripción puede aumentar la TPR por encima del 90% manteniendo la FPR por debajo del 2%.
• Tiempo de Ejecución: Snapper-FE ofrece un rendimiento de tiempo de ejecución comparable a los esquemas existentes, con la autenticación tomando aproximadamente 0.9 ms por muestra para incrustaciones de 504 dimensiones.

Significancia y Reivindicaciones
El artículo afirma ser el primer trabajo en conectar empíricamente los ataques de inversión de modelo con el criptoanálisis de los extractores difusos basados en $\ell_2$. Sus principales contribuciones son:

1. Demostrar la Inseguridad: Establece que los esquemas $\ell_2$-FE existentes (Facial-FE y Randomized FE) no ofrecen las propiedades criptográficas fuertes requeridas para la autenticación facial, ya que filtran información explotable sobre la distribución de la entrada.
2. Introducir PIPE: Presenta un ataque potente y generalizable que derrota las defensas previas, resaltando la brecha entre los supuestos de seguridad teórica y el rendimiento práctico en distribuciones de datos del mundo real.
3. Proponer Snapper-FE: Ofrece el primer candidato prácticamente utilizable y demostrablemente seguro para extractores difusos basados en $\ell_2$. Snapper-FE proporciona seguridad "agnóstica al ataque", lo que significa que su seguridad depende de los supuestos de dureza sobre la distribución de la entrada, en lugar de estrategias de ataque específicas, y permanece seguro incluso bajo un modelo de amenaza de fuga total donde todos los datos persistentes se ven comprometidos.

Los autores enfatizan que sus definiciones y ataques son genéricos, aplicables a cualquier sistema que utilice vectores de incrustación de alta dimensión con comparaciones de distancia $\ell_2$, extendiéndose más allá de la autenticación facial a modalidades como el audio y el texto.