From Noise to Meaning: Meaningful Secret Sharing with Tamper Detection for Facial Recognition

Resumen Técnico: Del Ruido al Significado: Compartición de Secretos Significativa con Detección de Manipulación para el Reconocimiento Facial

Planteamiento del Problema
La creciente dependencia de los Sistemas de Reconocimiento Facial (FRS) basados en IA requiere una protección robusta para los datos biométricos sensibles. Si bien la Compartición de Secretos Visuales (VSS) ofrece un mecanismo de preservación de la privacidad al dividir las imágenes faciales en fragmentos (shares) aleatorios y similares al ruido distribuidos entre instituciones, sufre dos limitaciones críticas en el despliegue en el mundo real:

1. Identificabilidad de los Fragmentos: La VSS tradicional genera fragmentos que parecen ruido aleatorio. Esta conspicuousidad permite que los atacantes identifiquen y apunten fácilmente a estos fragmentos para ataques de "cosechar ahora, descifrar después", ya que son estadísticamente distintos de los datos normales y reconocidos como artefactos criptográficos.
2. Falta de Verificación de Integridad: La VSS convencional protege la privacidad pero no la integridad de los datos. No existe un mecanismo para detectar la manipulación (por ejemplo, inversión de bits, recorte o sustitución). En consecuencia, los atacantes pueden modificar los fragmentos para envenenar los datos de entrenamiento, introducir puertas traseras (backdoors) o causar fallos en la reconstrucción sin ser detectados.

Metodología
El marco propuesto extiende la arquitectura VOIDFace (que utiliza entrenamiento basado en parches con VSS) mediante la introducción de una mejora de dos etapas: Generación de Fragmentos Significativos y Detección de Manipulación de Doble Capa.

1. Visión General del Sistema y Supuestos:

   • El sistema procesa únicamente imágenes faciales frontales.
   • Un tercero de confianza (TTP) gestiona la adquisición inicial del rostro, la extracción de parches y la generación de fragmentos, eliminando la imagen original tras la extracción.
   • Los fragmentos se distribuyen en $N$ instalaciones de almacenamiento y $N_p$ estaciones de trabajo de entrenamiento para evitar fallos de punto único.

2. Generación de Fragmentos Significativos (Esteganografía):

   • En lugar de almacenar fragmentos con apariencia de ruido, el sistema los incrusta en imágenes de cobertura visualmente significativas (por ejemplo, radiografías médicas, paisajes) utilizando esteganografía de LSB (Menos Significativo Bit) adaptativa.
   • La profundidad de incrustación está determinada por la complejidad de la textura local ($\sigma(x,y)$) de la imagen de cobertura, lo que permite modificar de 1 a 3 bits por canal según el área de complejidad. Esto asegura la transparencia perceptual.
   • Estructura: Para un rostro con $N_p$ parches, se genera un Fragmento de Autenticación ($AS$) (idéntico para todos los parches de un usuario) y $N_p$ Fragmentos Privados ($E_i$) (únicos por parche).
   • El $AS$ se incrusta en una imagen de cobertura de autenticación ($C_{auth}$), y cada $E_i$ se incrusta en una imagen de cobertura privada ($C_i$).

3. Detección de Manipulación de Doble Capa:
   Para garantizar la integridad antes de la reconstrucción, el sistema emplea un mecanismo de defensa en profundidad:

   • Capa 1: Hash Criptográfico (Integridad a Nivel de Bit): Se calcula un hash SHA-256 de los datos secretos (combinado con una sal derivada de metadatos). Estos bits de hash se incrustan en el LSB más significativo del mapa de profundidad de incrustación de píxeles. Esta capa detecta modificaciones a nivel de bit (por ejemplo, inversión de bits).
   • Capa 2: Marca de Agua Robusta (Integridad Estructural): Una carga útil de 176 bits que contiene el ID del Fragmento, la Marca de Tiempo, un hash truncado ($h_{96}$) y un checksum CRC32 se incrusta mediante modulación de espectro ensanchado DWT (Transformada Wavelet Discreta). Esta capa está diseñada para sobrevivir a operaciones benignas (como una compresión JPEG leve) pero detectar manipulación estructural (recorte, sustitución o reemplazo).
   • Proceso de Verificación: Durante el entrenamiento, el TTP verifica el fragmento de autenticación. Si es válido, tanto $M_{auth}$ como $M_i$ se someten a la verificación. Si la verificación de la marca de agua o del hash falla, los datos se rechazan para evitar el entrenamiento con entradas corruptas o manipuladas.

4. Reconstrucción y Entrenamiento:

   • Tras una verificación exitosa, los parches originales se reconstruyen utilizando la operación XOR: $\overline{P_i} = \overline{AS} \oplus \overline{E_i}$.
   • Los parches reconstruidos se introducen en una Red de Entrenamiento Multi-Parche (MPTN) utilizando backbones de MobileNet, que agregan características en un embedding global de 512 dimensiones para el reconocimiento.

Contribuciones Clave

1. Generación de Fragmentos Significativos: El artículo introduce la primera aplicación de esteganografía LSB adaptativa a la VSS basada en reconocimiento facial. Esto transforma el ruido conspicuo en imágenes de cobertura inocuas, contrarrestando eficazmente los ataques de "cosechar ahora, descifrar después" al hacer que los fragmentos sean estadísticamente indistinguibles de las imágenes naturales.
2. Detección de Manipulación de Doble Capa: Un novedoso sistema de verificación de integridad que combina el hashing SHA-256 y la marca de agua de espectro ensanchado DWT. Esto logra tasas de detección superiores al 99.9% para diversos ataques (inversión de bits, recorte, sustitución) con falsos positivos por debajo del 0.15%.
3. Marco de Privacidad Mejorado: El sistema mantiene la propiedad del "Derecho al Olvido" (RTBF). Si un usuario retira su consentimiento, el TTP elimina el fragmento de autenticación ($M_{auth}$), dejando los fragmentos privados distribuidos inútiles e irreconstruibles.

Resultados Experimentales

• Sigilo: Las pruebas de esteganálisis con SRNet y XuNet en tipos de cobertura Médica, Natural y Abstracta mostraron tasas de detección entre 49.8% y 51.2% (cercanas al azar), confirmando la indistinguibilidad estadística.
• Calidad de Imagen: Los fragmentos incrustados mantuvieron una alta fidelidad visual con valores de PSNR entre 41.7 dB y 2.5 dB y puntuaciones SSIM de 0.96–0.97.
• Seguridad: El marco redujo la precisión del Ataque de Inversión de Modelo al 11.8% (comparado con el 82.4% de ArcFace estándar), demostrando una fuerte preservación de la privacidad contra ataques de reconstrucción.
• Rendimiento: En los benchmarks LFW, CALFW y AgeDB-30, el método propuesto superó tanto a las líneas base de Softmax como de ArcFace, demostrando que añadir fragmentos significativos y detección de manipulación no compromete la precisión del reconocimiento.
• Eficiencia: La sobrecarga computacional para la verificación de doble capa es mínima, con un tiempo de verificación total de aproximadamente 128 µs por usuario y una sobrecarga de espacio de solo 54 bytes.

Significancia y Reivindicaciones
El artículo afirma establecer un nuevo estándar para proteger los datos faciales al abordar simultáneamente la privacidad, la seguridad y la integridad. Al eliminar la firma de "ruido" de la VSS tradicional, el método previene ataques dirigidos contra bases de datos biométricas. La detección de doble capa asegura que la integridad de los datos de entrenamiento se mantenga, evitando el envenenamiento de datos. El marco se presenta como adecuado para despliegues sensibles (gobierno, salud, control fronterizo) donde el cumplimiento regulatorio (GDPR/RTBF) y la evitación de la replicación de datos son críticos. Los autores señalan que, si bien la implementación actual se centra en rostros frontales y tipos de cobertura específicos, el trabajo futuro explorará otras biometrías (voz, iris) y la optimización para dispositivos de borde (edge devices).