Model Inversion meets Cryptographic Fuzzy Extractors

Sintesi Tecnica: L'incontro tra Model Inversion e Cryptographic Fuzzy Extractors

Definizione del Problema
I sistemi di machine learning (ML), in particolare nell'autenticazione facciale, si affidano alla memorizzazione di vettori di embedding derivati da input dell'utente (ad esempio, immagini del volto). Questi vettori vengono spesso memorizzati in modo persistente in database o su dispositivi, rendendoli suscettibili ad attacchi di tipo "smash-and-grab", in cui un avversario ottiene l'accesso a tutti i dati memorizzati. Se questi vettori di embedding vengono conservati senza protezione, sono altamente vulnerabili agli attacchi di model inversion, attraverso i quali un avversario può ricostruire l'immagine di input originale (ad esempio, il volto di un utente) partendo dal vettore trapelato. Sebbene siano stati proposti i Fuzzy Extractor (FE) crittografici come difesa post-processing per tollerare il rumore (essenziale per l'autenticazione biometrica) proteggendo al contempo il segreto, gli FE esistenti progettati per il rumore $\ell_2$-norm (richiesto dai moderni modelli ML) mancano di una criptanalisi sistematica. Il lavoro precedente non ha valutato rigorosamente se tali schemi possano resistere agli attacchi di model inversion sotto un modello di minaccia a perdita totale (full-leakage).

Metodologia e Analisi
Gli autori conducono un'analisi di sicurezza completa degli schemi di Fuzzy Extractor basati su $\ell_2$ esistenti, specificamente Facial-FE (basato su reticoli E8 e Leech) e Randomized FE (basato su Learning With Errors, LWE).

1. Criptanalisi degli schemi esistenti:

   • Gli autori identificano un difetto fondamentale nelle costruzioni code-offset utilizzate da questi schemi. In queste costruzioni, la stringa helper pubblica $p$ contiene un valore di "offset" (la differenza tra l'embedding di input e il codetesto del reticolo più vicino).
   • Per le distribuzioni naturali dei volti, questo offset non è uniformemente casuale; esso correla con l'identità dell'utente e con la specifica geometria dell'embedding rispetto alle celle di Voronoi del reticolo.
   • Questa fuga di informazioni permette a un attaccante di ridurre drasticamente l'entropia residua del segreto protetto. Gli autori dimostrano che per Facial-FE, l'entropia minima condizionale crolla drasticamente (ad esempio, da circa 3,6 bit a circa 0,02 bit per gli schemi basati su E8), rendendo lo schema insicuro.
   • Per il Randomized FE, sebbene il reticolo sia randomizzato per ogni utente, l'helper pubblico trapela comunque un segnale lineare sull'input. Gli autori mostano che mediando più valori helper trapelati per lo stesso utente, un attaccante può annullare il rumore casuale e recuperare una stima ad alta fedeltà dell'embedding originale.

2. L'attacco PIPE:

   • Per validare empiricamente queste debolezze teoriche, gli autori introducono PIPE (un nuovo attacco di model inversion).
   • PIPE utilizza modelli di diffusione condizionali. Addestra un modello di inversione su un dataset pubblico per mappare "vettori surrogati" (derivati dai dati helper trapelati $p$ e dall'output protetto $r$) nuovamente su immagini facciali realistiche.
   • A differenza degli attacchi precedenti che faticano contro gli schemi randomizzati, PIPE sfrutta efficacemente la parziale fuga di informazioni nelle stringhe helper degli schemi $\ell_2$-FE esistenti.

3. Soluzione Proposta: Snapper-FE:

   • Gli autori propongono Snapper-FE, un nuovo schema candidato progettato per essere sicuro contro la model inversion.
   • Meccanismo: A differenza degli schemi code-offset che rilasciano l'offset, Snapper-FE decodifica prima l'embedding di input in un codetesto del reticolo e poi applica un hash a questo codetesto. Il segreto è l'output dell'hash, e l'helper pubblico consiste solo nelle chiavi dell'hash.
   • Compromesso: Questo paradigma "decode-first" sacrifica parte della correttezza (utilità) perché input vicini potrebbero decodificare in codetesti diversi, ma elimina la fuga di informazioni che abilita gli attacchi di inversione.
   • Verifica: Il sistema utilizza un'autenticazione per blocchi con una soglia a decisione soft (voto di maggioranza dei blocchi hash corrispondenti) per ripristinare l'usabilità.

Risultati Chiave

• Rottura degli schemi precedenti: L'attacco PIPE raggiunge alti tassi di successo contro gli schemi $\ell_2$-FE esistenti. Contro Facial-FE (E8), PIPE raggiunge un Attack Success Rate (ASR) del 99,8% (basato sulla distanza $\ell_2$) e del 99,6% (basato sull'autenticazione). Contro Facial-FE (Leech), l'ASR è approssimativamente del 65–73%. Ciò dimostra che i precedenti schemi non forniscono sicurezza crittografica contro l'inversione.
• Inefficacia degli attacchi precedenti su Randomized FE: I precedenti attacchi di inversione (Bob, GMI, KED-MI) sono falliti contro la variante randomized di Facial-FE (ASR < 6%), ma PIPE ha attaccato con successo tale variante con un ASR del 66,5%, provando che la randomizzazione da sola è insufficiente.
• Sicurezza di Snapper-FE: Contro Snapper-FE, PIPE e tutti gli altri attacchi valutati raggiungono un ASR di circa lo 0,4% - 4%, che è paragonabile o solo marginalmente superiore al campionamento casuale. Le immagini ricostruite sono visivamente dissimili ai volti originali e falliscono l'autenticazione.
• Usabilità: Snapper-FE mantiene un'utilità pratica. Sebbene il True Positive Rate (TPR) scenda leggermente rispetto agli embedding non protetti (ad esempio, dal 91% all'83,5% su Celeb-A), il False Positive Rate (FPR) rimane basso (~4%). Gli autori notano che il voto di maggioranza su più campioni di enrollment può riportare il TPR sopra il 90% mantenendo l'FPR sotto il 2%.
• Runtime: Snapper-FE offre prestazioni di runtime comparabili agli schemi esistenti, con l'autenticazione che richiede circa 0,9 ms per campione su embedding a 504 dimensioni.

Significatività e Rivendicazioni
Il paper sostiene di essere il primo lavoro a connettere empiricamente gli attacchi di model inversion con la criptanalisi dei fuzzy extractor basati su $\ell_2$. I suoi principali contributi sono:

1. Dimostrazione di Insicurezza: Stabilisce che gli schemi $\ell_2$-FE esistenti (Facial-FE e Randomized FE) non offrono le forti proprietà crittografiche richieste per l'autenticazione facciale, poiché lasciano trapelare informazioni sfruttabili sulla distribuzione dell'input.
2. Introduzione di PIPE: Presenta un attacco potente e generalizzabile che sconfigge le difese precedenti, evidenziando il divario tra le assunzioni di sicurezza teorica e le prestazioni pratiche sui dataset reali.
3. Proposta di Snapper-FE: Offre il primo candidato praticamente utilizzabile e provabilmente sicuro per i fuzzy extractor basati su $\ell_2$. Snapper-FE fornisce una sicurezza "attack-agnostic", il che significa che la sua sicurezza dipende dalle assunzioni di durezza della distribuzione dell'input piuttosto che da specifiche strategie di attacco, e rimane sicuro anche sotto un modello di minaccia a perdita totale in cui tutti i dati persistenti sono compromessi.

Gli autori sottolineano che le loro definizioni e i loro attacchi sono generici, applicabili a qualsiasi sistema che utilizzi vettori di embedding ad alta dimensione con confronti di distanza $\ell_2$, estendendosi oltre l'autenticazione facciale a modalità come audio e testo.