Casting the Net! Revisiting MasterFace Impersonation Attacks

기술 요약: 그물을 던지다! MasterFace 사칭 공격의 재조명

문제 정의
얼굴 인식 시스템(FRS)은 피해자의 신원을 사칭하려는 공격자가 발생하는 근본적인 보안 위협에 직면해 있습니다. 실제 배포 시나리오에서 공격자의 역량은 엄격하게 제한됩니다. 공격자는 일반적으로 내부 시스템 파라미터, 등록된 템플릿 또는 대상 신원의 얼굴 이미지에 접근할 수 없습니다. 또한, 상호작용은 소수의 고정된 인증 시도(예: 5~30회 시도)로 제한되며, 결과는 오직 이진 결정("수락/거부")으로만 제공됩니다. 이러한 제약 조건 하에서 표준 보안 기준은 **오탐률(False Match Rate, FMR)**이며, 이는 "노력 없는 사칭자(zero-effort impostor, 즉 무작위의 얼굴)"가 잘못 승인될 확률을 나타냅니다.

역사적으로 MasterFace 공격—생체 인식 분포의 비균일성을 악용하여 여러 신원과 일치하도록 합성된 얼굴—은 현대의 최첨단 FRS에 대해 효과적이지 않은 것으로 여겨져 왔습니다. 이전 연구들은 MasterFace가 특정 템플릿 추출기에 너무 민감하며, 현실적인 위협 모델 하에서 표준 FMR 기준보다 유의미하게 높은 사칭률을 달성하지 못한다고 시사했습니다.

방법론
저자들은 실제 FRS 배포의 백엔드로 사용되는 공공 상용 API(예: AWS Rekognition, Tencent Cloud)에 대한 합법적인 접근을 활용하여 MasterFace 개념을 부활시키는 새로운 사칭 공격을 제안합니다. 공격 파이프라인은 세 단계로 구성됩니다:

1. 그물 기반 정식화 (최대 커버리지 문제):
   이미지 공간에서 단일 MasterFace를 찾는 대신, 저자들은 공격을 템플릿 공간에서 정식화합니다. 이들은 "그물(net)"을 전체 얼굴 템플릿 분포의 커버리지를 최대화하는 $\tau$-근방(neighborhood)을 가진 $Q$개의 템플릿 집합으로 정의합니다. 이 그물을 찾는 과정은 고전적인 조합 최적화 문제인 **최대 커버리지 문제(Maximum Coverage Problem, MCP)**로 정식화됩니다. 목표는 무작위로 샘플링된 타겟 템플릿 $t$를 커버할 확률을 최대화하는 템플릿 집합 $\{z_1, \dots, z_Q\}$를 찾는 것입니다.

2. Gram 분해를 통한 API 쿼리 활용:
   공격자는 대상 FRS의 템플릿 추출기나 등록된 템플릿에 직접 접근할 수 없습니다. 그러나 그들은 대상 시스템이 사용하는 것과 동일한 상용 API를 구매하여 사용할 수 있습니다.

   • 공격자는 자신이 선택한 얼굴 이미지 쌍을 API에 쿼리하여 신뢰도 점수(유사도 점수)를 얻습니다.
   • **Gram 분해(Gram Decomposition)**를 사용하여, 공격자는 점수 행렬 $S$로부터 행렬 $L$을 구성합니다 (여기서 $S = A^T A$이며, $A$는 API에서 추출된 특징을 포함함).
   • 이 과정은 회전된 템플릿($L = RA$, 여기서$R$은 미지의 유니터리 회전 행렬)을 생성합니다. 정확한 방향은 알 수 없지만, 템플릿 공간의 기하학적 구조는 등거리 변환(isometry)까지 보존됩니다.
   • 결정적으로, 최대 커버리지 문제는 **등거리 변환에 불변(invariant)**합니다. 따라서 공격자는 회전된 특징 위에서 MCP를 해결하여 원래 공간의 최적 그물에 대응하는 "회전된 그물"을 찾을 수 있습니다.

3. 얼굴 복구:
   회전된 그물이 식별되면, 공격자는 물리적 또는 디지털 사칭을 실행하기 위해 그에 대응하는 얼굴 이미지를 복구해야 합니다.

   • 공격자는 회전된 그물을 사용하여 추가적인 API 쿼리를 통해 **점수 오라클(score oracle)**을 구축합니다.
   • 이 오라클은 기존의 점수 기반 재구성 공격(구체적으로 Kim 등의 방법[53]과 후처리를 위한 자연 진화 전략(NES)의 결합)에 입력되어, 그물 중심에 해당하는 얼굴 이미지를 재구성합니다.

주요 기여

• MasterFace 공격의 부활: 본 논문은 공격자가 대상 시스템이 사용하는 것과 동일한 상용 API 백엔드를 합법적으로 구매하고 쿼리할 수 있다면, MasterFace 공격이 유효함을 입증합니다.
• MCP로의 정식화: 저자들은 생체 인식 분포에 대한 커버리지를 최대화하는 템플릿으로서 MasterFace를 정식화하였으며, 이를 탐욕 알고리즘(greedy algorithm)으로 해결 가능한 최대 커버리지 문제로 환원했습니다.
• 등거리 불변 공격 벡터: Gram 분해를 사용하여 미지의 회전에 따라 추출된 기하학적 특징을 추출하는 기술을 도입했습니다. 이를 통해 특정 템플릿 추출기나 등록된 신원을 알지 못해도 API에 최적화된 그물을 구축할 수 있습니다.
• 현실적인 위협 모델: 이 공격은 내부 시스템 지식, 등록된 신원에 대한 접근 권한, 그리고 제한된 결정 기반 인증 시도라는 엄격한 제약 조건 내에서 작동합니다.

실험 결과
저자들은 다양한 오픈 소스 FRS(ArcFace, ElasticFace, AdaFace)와 상용 AWS CompareFaces API를 대상으로 공격을 평가했습니다.

• 사칭률 (Impersonation Rates, IR): 인증 시도 예산($Q$)이 5, 10, 30일 때, 그리고 FMR 수준이 $10^{-3}, 10^{-4}, 10^{-5}$일 때, 제안된 공격은 일관되게 zero-effort impostor 베이스라인을 능가했습니다.
• 개선 계수:
  • 오픈 소스 FRS의 경우, 공격은 베이스라인 대비 2.03배에서 9.50배의 개선을 달려 성과를 냈습니다.
  • AWS CompareFaces API의 경우, 개선 폭은 1.75배에서 6.57배 사이였습니다.
• 비용: 공격은 그물을 구축하기 위해 일회성 API 비용(AWS 실험의 경우 약 $100로 추정)이 필요합니다. 이후의 인증 시도에는 추가적인 API 쿼리가 필요하지 않습니다.
• 인구 통계적 커버리지: 시각화 결과, 재구성된 MasterFace가 (재구성 서브루틴에 사용된 학습 데이터의 편향으로 인해) 주로 백인 남성의 모습을 띠었음에도 불구하고, 다양한 인구 통계 그룹의 타겟 얼굴을 성공적으로 커버했습니다. 이는 공격이 픽셀 공간의 외형이 아닌 템플릿 공간의 분포를 타겟팅함을 확인시켜 줍니다.

의의 및 주장
본 논문은 현대 FRS 보안에 있어 zero-effort impostor가 유일하게 유효한 베이스라인이 아님을 보여준다고 주장합니다. 공공 정보인 상용 API 사용 여부를 합법적으로 이용함으로써, 공격자는 표준 FMR을 크게 상회하는 "API 맞춤형" MasterFace를 구축하여 사칭률을 증폭시킬 수 있습니다.

저자들은 이러한 취약성이 생체 인식 분포의 비균일성과 실세계 배포에서의 상용 API 사용의 투명성이 결합되어 발생한다고 강조합니다 시스템 수준의 정보 노출(예: 어떤 제3자 API가 사용되는지 밝히는 것)이, 기존에 MasterFace 공격을 무용하게 만들었던 보안 가정을 우회할 수 있게 합니다. 이 연구는 오직 FMR에만 의존하는 현재의 보안 평가가, 공공 상용 서비스에 접근할 수 있는 공격자가 초래할 수 있는 위험을 과소평가할 수 있음을 시사합니다.

결론적으로, 본 논문은 디지털 맥락에서는 공격이 효과적이지만, 물리적 구현(예: 얼굴 출력)에는 본 연구에서 다루지 않은 별도의 도전 과제(스푸핑)가 수반된다고 언급합니다. 또한, Gram 분해 기술이 멤버십 추론(membership inference)이나 모델 추출(model extraction)과 같은 다른 정보 추출 공격을 위한 도구가 될 수 있다고 제언합니다.