Model Inversion meets Cryptographic Fuzzy Extractors

기술 요약: 모델 인버전과 암호학적 퍼지 추출기(Fuzzy Extractor)의 만남

문제 정의
얼굴 인증과 같은 머신러닝(ML) 시스템은 사용자 입력(예: 얼굴 이미지)으로부터 유도된 임베딩 벡터를 저장하는 데 의존합니다. 이러한 벡터는 종종 데이터베이스나 장치에 영구적으로 저장되는데, 이는 공격자가 모든 저장된 데이터에 접근할 수 있는 "스매시 앤 그랩(smash-and-grab)" 공격에 취약하게 만듭니다. 만약 이러한 임베딩 벡터가 보호되지 않은 채 저장된다면, 공격자는 유출된 벡터로부터 원래의 입력 이미지(예: 사용자의 얼굴)를 재구성할 수 있는 **모델 인버전 공격(model inversion attacks)**에 매우 취약해집니다. 한편, 생체 인증에 필수적인 노이즈(noise)를 허용하면서도 비밀을 보호하기 위해 암호학적 **퍼지 추출기(Fuzzy Extractors, FEs)**가 사후 처리 방어책으로 제안되어 왔으나, 현대 ML 모델에 요구되는 $\ell_2$-노름(norm)을 기반으로 하는 기존의 FE들은 체계적인 암호 해독 분석이 부족한 실정입니다. 선행 연구들은 이러한 스킴들이 전체 누출 위협 모델(full-leakage threat model) 하에서 모델 인전 공격을 견뎌낼 수 있는지 엄밀하게 평가하지 못했습니다.

방법론 및 분석
저자들은 기존의 $\ell_2$ 기반 퍼지 추출기 스킴, 구체적으로 Facial-FE(E8 및 Leech 격자 기반)와 Randomized FE(Learning With Errors, LWE 기반)에 대한 포괄적인 보안 분석을 수행합니다.

1. 기존 스킴의 암호 해독:

   • 저자들은 이러한 스킴들에서 사용되는 코드-오프셋(code-offset) 구조의 근본적인 결함을 식별했습니다. 이러한 구조에서 공개 헬퍼 문자열 $p$는 "오프셋" 값(입력 임베딩과 가장 가까운 격자 코드워드 사이의 차이)을 포함합니다.
   • 자연스러운 얼굴 분포의 경우, 이 오프셋은 균등하게 무작위적이지 않습니다. 이는 사용자의 신원 및 격자의 보로노이 셀(Voronoi cells)에 대한 임베딩의 특정 기하학적 구조와 상관관계를 갖습니다.
   • 이러한 누출은 보호된 비밀의 잔여 엔트로피를 크게 감소시킵니다. 저자들은 Facial-FE의 경우, 조건부 최소 엔트로피가 급격히 감소함(예: E8 기반 스킴의 경우 약 3.6비트에서 약 0.02비트로)을 입증하여 해당 스킴이 안전하지 않음을 보여주었습니다.
   • Randomized FE의 경우, 격자가 사용자마다 무작위화되지만, 공개 헬퍼는 여전히 입력에 대한 선형 신호를 누출합니다. 저자들은 동일한 사용자에 대해 여러 개의 누출된 헬퍼 값을 평균함으로써 공격자가 무작로 노이즈를 상쇄하고 원래 임베딩의 고충실도 추정치를 복구할 수 있음을 보여줍니다.

2. PIPE 공격:

   • 이러한 이론적 취약성을 실증적으로 검증하기 위해, 저자들은 PIPE(새로운 모델 인버전 공격)를 도입합니다.
   • PIPE는 **조건부 확산 모델(conditional diffusion models)**을 활용합니다. 이 공격은 공개 데이터셋을 사용하여 "대리 벡터(surrogate vectors)"(누출된 헬퍼 데이터 $p$와 보호된 출력 $r$로부터 유도됨)를 실제 얼굴 이미지로 매핑하는 인버전 모델을 학습시킵니다.
   • 이전의 공격들과 달리, 무작위화된 스킴에 어려움을 겪었던 것과 대조적으로, PIPE는 기존 $\ell_2$-FE 스킴의 헬퍼 문자열에 존재하는 부분적인 정보 누출을 효과적으로 이용합니다.

3. 제안된 솔루션: Snapper-FE:

   • 저자들은 모델 인버전에 안전하도록 설계된 새로운 후보 스킴인 Snapper-FE를 제안합니다.
   • 메커니즘: 오프셋을 공개하는 코드-오프셋 방식과 달리, Snapper-FE는 먼저 입력 임베딩을 격자 코드워드로 디코딩한 다음 이 코드워드를 **해싱(hash)**합니다. 비밀은 해시 출력값이 되며, 공개 헬퍼는 오직 해시 키로만 구성됩니다.
   • 트레이드오프: 이 "선(先) 디코딩" 패러다임은 근접한 입력들이 서로 다른 코드워드로 디코딩될 수 있기 때문에 일부 정확성(유용성)을 희생하지만, 인버전 공격을 가능케 하는 정보 누출을 제거합니다.
   • 검증: 이 시스템은 소프트 결정 임계값(일치하는 해시 블록의 다수결 투표)을 사용하는 블록 단위 인증을 사용하여 사용성을 회복합니다.

주요 결과

• 기존 스킴 파괴: PIPE 공격은 기존 $\ell_2$-FE 스킴에 대해 높은 성공률을 달연합니다. Facial-FE (E8)에 대해 PIPE는 공격 성공률(ASR) 99.8% ($\ell_2$ 거리 기준) 및 99.6%(인증 기준)를 달성했습니다. Facial-FE (Leech)에 대해서는 ASR이 약 65~73%입니다. 이는 기존 스킴들이 인버전에 대한 암호학적 보안을 제공하지 못함을 입증합니다.
• Randomized FE에 대한 기존 공격의 무효성: 이전의 인버전 공격들(Bob, GMI, KED-MI)은 무작위화된 Facial-FE 변형에 대해 실패했지만(ASR < 6%), PIPE는 ASR **66.5%**로 이를 공격하는 데 성공하여 무작위화만으로는 불충분함을 증명했습니다.
• Snapper-FE의 보안성: Snapper-FE에 대해서는 PIPE를 포함한 모든 평가된 공격이 약 0.4%에서 4%의 ASR을 기록하며, 이는 무작위 추측과 비슷하거나 약간 높은 수준에 불과합니다. 재구성된 이미지는 원래의 얼굴과 시각적으로 매우 다르며 인증에 실패합니다.
• 사용성: Snapper-FE는 실질적인 유용성을 유지합니다. 보호되지 않은 임베딩에 비해 참 양성률(TPR)이 약간 감소하지만(예: Celeb-A에서 약 91%에서 83.5%로), 거짓 양성률(FPR)은 여전히 낮게 유지됩니다(~4%). 저자들은 여러 등록 샘플에 대한 **다수결 투표(majority voting)**를 통해 FPR을 2% 미만으로 유지하면서 TPR을 90% 이상으로 높일 수 있다고 언급했습니다.
• 실행 시간: Snapper-FE는 504차원 임베딩에 대해 샘플당 약 0.9 ms의 인증 시간을 소요하며, 기존 스킴과 유사한 실행 시간 성능을 제공합니다.

의의 및 주장
본 논문은 모델 인버전 공격과 $\ell_2$ 기반 퍼지 추출기의 암호 해독을 실증적으로 연결한 최초의 연구라고 주장합니다. 주요 기여는 다음과 같습니다:

1. 불안전성 입증: 기존의 $\ell_2$-FE 스킴(Facial-FE 및 Randomized FE)이 입력 분포에 대한 착취 가능한 정보를 누출함으로써 얼굴 인증에 필요한 강력한 암호학적 특성을 제공하지 못함을 확립했습니다.
2. PIPE 도입: 기존의 방어책들을 무력화하는 강력하고 일반화 가능한 공격을 제시하여, 이론적 보안 가정과 실제 데이터 분포 간의 간극을 강조했습니다.
3. Snapper-FE 제안: $\ell_2$ 기반 퍼지 추출기를 위한 최초의 실용적이고 사용 가능하며 증명 가능한 보안 후보를 제공합니다. Snapper-FE는 "공격 불가지론적(attack-agnostic)" 보안을 제공하는데, 이는 그 보안이 특정 공격 전략이 아닌 입력 분포의 난해함(hardness assumptions)에 의존하며, 모든 지속 데이터가 탈취되는 전체 누출 위협 모델 하에서도 안전함을 의미합니다.

저자들은 자신들의 정의와 공격이 일반적이며, 얼굴 인증을 넘어 오디오 및 텍스트와 같은 모달리티로 확장되어 $\ell_2$ 거리 비교를 사용하는 모든 고차원 임베딩 벡터 시스템에 적용 가능하다고 강조합니다.