Model Inversion meets Cryptographic Fuzzy Extractors

Résumé technique : La rencontre entre l'inversion de modèle et les extracteurs flous cryptographiques

Énoncé du problème
Les systèmes d'apprentissage automatique (ML), particulièrement dans l'authentification faciale, reposent sur le stockage de vecteurs de plongement (embeddings) dérivés des entrées utilisateur (par exemple, des images de visages). Ces vecteurs sont souvent stockés de manière persistante dans des bases de données ou sur des appareils, ce qui les rend vulnérables aux attaques de type « smash-and-grab » où un adversaire accède à l'ensemble des données stockées. Si ces vecteurs de plongement sont stockés sans protection, ils sont hautement vulnérables aux attaques par inversion de modèle, où un adversaire peut reconstruire l'image d'entrée originale (par exemple, le visage d'un utilisateur) à partir du vecteur fuité. Bien que des extracteurs flous (Fuzzy Extractors - FE) cryptographiques aient été proposés comme défense de post-traitement pour tolérer le bruit (essentiel pour l'authentification biométrique) tout en protégeant le secret, les FE existants conçus pour le bruit de norme $\ell_2$ (requis par les modèles de ML modernes) manquent d'une cryptanalyse systématique. Les travaux antérieurs n'ont pas évalué rigoureusement si ces schémas peuvent résister à des attaques d'inversion de modèle sous un modèle de menace de fuite totale.

Méthodologie et analyse
Les auteurs mènent une analyse de sécurité complète des schémas de FE basés sur $\ell_2$ existants, spécifiquement Facial-FE (basé sur les réseaux E8 et Leech) et Randomized FE (basé sur le problème Learning With Errors, LWE).

1. Cryptanalyse des schémas existants :

   • Les auteurs identifient une faille fondamentale dans les constructions par décalage de code (code-offset) utilisées par ces schémas. Dans ces constructions, la chaîne d'aide publique $p$ contient une valeur de « décalage » (la différence entre le plongement d'entrée et le mot-code du réseau le plus proche).
   • Pour les distributions de visages naturels, ce décalage n'est pas uniformément aléatoire ; il est corrélé à l'identité de l'utilisateur et à la géométrie spécifique de l'embedding par rapport aux cellules de Voronoi du réseau.
   • Cette fuite permet à un attaquant de réduire considérablement l'entropie résiduelle du secret protégé. Les auteurs démontrent que pour Facial-FE, l'entropie minimale conditionnelle chute drastiquement (par exemple, de ~3,6 bits à ~0,02 bits pour les schémas basés sur E8), rendant le schéma non sécurisé.
   • Pour le Randomized FE, bien que le réseau soit randomisé par utilisateur, l'aide publique fuit toujours un signal linéaire sur l'entrée. Les auteurs montrent qu'en moyennant plusieurs valeurs d'aide fuitées pour un même utilisateur, un attaquant peut annuler le bruit aléatoire et récupérer une estimation de haute fidélité de l'embedding original.

2. L'attaque PIPE :

   • Pour valider empiriquement ces faiblesses théoriques, les auteurs introduisent PIPE (une nouvelle attaque d'inversion de modèle).
   • PIPE utilise des modèles de diffusion conditionnels. Il entraîne un modèle d'inversion sur un ensemble de données publiques pour mapper des « vecteurs de substitution » (dérivés des données d'aide fuitées $p$ et de la sortie protégée $r$) vers des images de visages réalistes.
   • Contrairement aux attaques antérieures qui peinent contre les schémes randomisés, PIPE exploite efficacement la fuite partielle d'information dans les chaînes d'aide des schémas $\ell_2$-FE existants.

3. Solution proposée : Snapper-FE :

   • Les auteurs proposent Snapper-FE, un nouveau schéma candidat conçu pour être sécurisé contre l'inversion de modèle.
     • Mécanisme : Contrairement aux schémas par décalage de code qui libèrent le décalage, Snapper-FE décode d'abord l'embedding d'entrée en un mot-code de réseau, puis hache ce mot-code. Le secret est la sortie du hachage, et l'aide publique ne consiste qu'en des clés de hachage.
     • Compromis : Ce paradigme de « décodage d'abord » sacrifie une partie de la correction (utilité) car des entrées proches peuvent décoder vers des mots-codes différents, mais il élimine la fuite d'information qui permet l'inversion.
     • Vérification : Le système utilise une authentification par blocs avec un seuil de décision douce (vote à la majorité des blocs de hachage correspondants) pour restaurer l'utilisabilité.

Résultats clés

• Rupture des schémas antérieurs : L'attaque PIPE atteint des taux de succès élevés contre les schémas $\ell_2$-FE existants. Contre Facial-FE (E8), PIPE atteint un taux de succès d'attaque (ASR) de 99,8 % (basé sur la distance $\ell_2$) et 99,6 % (basé sur l'authentification). Contre Facial-FE (Leech), l'ASR est d'environ 65–73 %. Cela démontre que les schémas antérieurs ne fournissent pas de sécurité cryptographique contre l'inversion.
• Inefficacité des attaques antérieures sur le Randomized FE : Les attaques d'inversion précédentes (Bob, GMI, KED-MI) ont échoué contre la variante randomisée de Facial-FE (ASR < 6 %), mais PIPE a attaqué avec succès cette variante avec un ASR de 66,5 %, prouvant que la randomisation seule est insuffisante.
• Sécurité de Snapper-FE : Contre Snapper-FE, PIPE et toutes les autres attaques évaluées atteignent un ASR d'environ 0,4 % à 4 %, ce qui est comparable ou seulement légèrement supérieur à un choix aléatoire. Les images reconstruites sont visuellement très différentes des visages originaux et échouent à l'authentification.
• Utilisabilité : Snapper-FE maintient une utilité pratique. Bien que le taux de vrais positifs (TPR) chute légèrement par rapport aux embeddings non protégés (par exemple, de 91 % à ~83,5 % sur Celeb-A), le taux de faux positifs (FPR) reste bas (4 %). Les auteurs notent que le vote à la majorité sur plusieurs échantillons d'enrôlement peut faire remonter le TPR au-dessus de 90 % tout en maintenant le FPR en dessous de 2 %.
• Temps d'exécution : Snapper-FE offre des performances de temps d'exécution comparables aux schémas existants, l'authentification prenant environ 0,9 ms par échantillon pour des embeddings de 504 dimensions.

Signification et revendications
Le papier affirme être le premier travail à connecter empiriquement les attaques d'inversion de modèle avec la cryptanalyse des extracteurs flous basés sur $\ell_2$. Ses principales contributions sont :

1. Démontrer l'insécurité : Il établit que les schémas $\ell_2$-FE existants (Facial-FE et Randomized FE) n'offrent pas les propriétés cryptographiques fortes requises pour l'authentification faciale, car ils fuient des informations exploitables sur la distribution de l'entrée.
2. Introduire PIPE : Il présente une attaque puissante et généralisable qui bat les défenses antérieures, soulignant l'écart entre les hypothèses de sécurité théoriques et les performances pratiques sur des distributions de données réelles.
3. Proposer Snapper-FE : Il offre le premier candidat pratiquement utilisable et prouvablement sécurisé pour les extracteurs flus basés sur $\ell_2$. Snapper-FE fournit une sécurité « agnostique à l'attaque », ce qui signifie que sa sécurité repose sur les hypothèses de dureté de la distribution d'entrée plutôt que sur des stratégies d'attaque spécifiques, et il reste sécurisé même sous un modèle de menace de fuite totale où toutes les données persistantes sont compromises.

Les auteurs soulignent que leurs définitions et attaques sont génériques, applicables à tout système utilisant des vecteurs de plongement de haute dimension avec des comparaisons de distance $\ell_2$, s'étendant au-delà de l'authentification faciale à des modalités comme l'audio et le texte.