Model Inversion meets Cryptographic Fuzzy Extractors

Technische Samenvatting: Model Inversion ontmoet Cryptografische Fuzzy Extractors

Probleemstelling
Machine learning (ML)-systemen, met name in gezichtsauthenticatie, vertrouwen op het opslaan van embedding-vectoren die zijn afgeleid van gebruikersinputs (bijv. gezichtsbilder). Deze vectoren worden vaak persistent opgeslagen in databases of op apparaten, waardoor ze kwetsbaar zijn voor "smash-and-grab"-aanvallen waarbij een tegenstander toegang krijgt tot alle opgeslagen gegevens. Als deze embedding-vectoren onbeschermd worden opgeslagen, zijn ze zeer kwetsbaar voor model inversion attacks, waarbij een tegenstander de oorspronkelijke inputafbeelding (bijv. het gezicht van een gebruiker) kan reconstrueren vanuit de gelekte vector. Hoewel cryptografische Fuzzy Extractors (FEs) zijn voorgesteld als een post-processing verdediging om ruis te tolereren (essentieel voor biometrische authenticatie) terwijl het geheim wordt beschermd, missen bestaande FEs die ontworpen zijn voor $\ell_2$-norm ruis (vereist voor moderne ML-modellen) een systematische cryptanalyse. Voorgaand werk heeft niet rigoureus geëvalueerd of deze schema's bestand kunnen zijn tegen model inversion attacks onder een full-leakage dreigingsmodel.

Methodologie en Analyse
De auteurs voeren een uitgebreide beveiligingsanalyse uit van bestaande $\ell_2$-gebaseerde Fuzzy Extractor-schema's, specif kind de Facial-FE (gebaseerd op E8 en Leech-roosters) en Randomized FE (gebaseerd op Learning With Errors, LWE).

1. Cryptanalyse van bestaande schema's:

   • De auteurs identificeren een fundamentele fout in de code-offset constructies die door deze schema's worden gebruikt. In deze constructies bevat de publieke helper-string $p$ een "offset"-waarde (het verschil tussen de input-embedding en de dichtstbijzijnde rooster-codeword).
   • Voor natuurlijke gezichtsdistributies is deze offset niet uniform willekeurig; het correleert met de identiteit van de gebruiker en de specifieke geometrie van de embedding ten opzichte van de Voronoi-cellen van het rooster.
   • Dit lek zorgt ervoor dat een aanvaller de resterende entropie van het beschermde geheim aanzienlijk kan verminderen. De auteurs demonstreren dat voor Facial-FE de conditionele min-entropie drastisch daalt (bijv. van ~3,6 bits naar ~0,02 bits voor E8-gebaseerde schema's), wat het schema onveilig maakt.
   • Voor Randomized FE, hoewel het rooster per gebruiker wordt gerandomiseerd, lekt de publieke helper nog steeds een lineair signaal over de input. De auteurs laten zien dat door meerdere gelekte helper-waarden voor dezelfde gebruiker te middelen, een aanvaller de willekeurige ruis kan elimineren en een hoogwaardige schatting van de oorspronkelijke embedding kan herstellen.

2. De PIPE Attack:

   • Om deze theoretische zwakheden empirisch te valideren, introduceren de auteurs PIPE (een nieuwe model inversion attack).
   • PIPE maakt gebruik van conditional diffusion models. Het traint een inversiemodel op een publieke dataset om "surrogaat-vectoren" (afgeleid van de gelekte helper-data $p$ en de beschermde output $r$) terug te mappen naar realistische gezichten.
   • In tegenstelling tot eerdere aanvallen die moeite hebben met gerandomiseerde schema's, valt PIPE effectief de partiële informatie-lekken in de helper-strings van bestaande $\ell_2$-FE schema's aan.

3. Voorgestelde Oplossing: Snapper-FE:

   • De auteurs stellen Snapper-FE voor, een nieuw kandidaat-schema dat ontworpen is om veilig te zijn tegen model inversion.
   • Mechanisme: In tegenstelling tot code-offset schema's die de offset vrijgeven, decodeert Snapper-FE eerst de input-embedding naar een rooster-codeword en hasht vervolgens deze codeword. Het geheim is de hash-output, en de publieke helper bestaat alleen uit de hash-keys.
   • Trade-off: Dit "decode-first" paradigma offert enige correctheid (utiliteit) op omdat nabijgelegen inputs naar verschillende codewords kunnen decoderen, maar het elimineert de informatie-lek die inversion attacks mogelijk maakt.
   • Verificatie: Het systeem gebruikt een blokwijze authenticatie met een soft-decision drempelwaarde (meerderheidsstemming van overeenkomende hash-blokken) om de bruikbaarheid te herstellen.

Belangrijkste Resultaten

• Breken van voorgaande schema's: De PIPE-aanval bereikt hoge succespercentages tegen bestaande $\ell_2$-FE schema's. Tegen Facial-FE (E8) bereikt PIPE een Attack Success Rate (ASR) van 99,8% (gebaseerd op $\ell_2$-afstand) en 99,6% (gebaseerd op authenticatie). Tegen Facial-FE (Leech) is de ASR ongeveer 65–73%. Dit demonstreert dat voorgaande schema's geen cryptografische beveiliging bieden tegen inversie.
• Ineffectiviteit van voorgaande aanvallen op Randomized FE: Eerdere inversion attacks (Bob, GMI, KED-MI) faalden tegen de gerandomiseerde Facial-FE variant (ASR < 6%), maar PIPE viel deze succesvol aan met een ASR van 66,5%, wat bewijst dat randomisatie alleen onvoldoende is.
• Beveiliging van Snapper-FE: Tegen Snapper-FE bereiken PIPE en alle andere geëvalueerde aanvallen een ASR van ongeveer 0,4% tot 4%, wat vergelijkbaar is met of slechts marginaal beter dan willekeurige gokken. De gereconstrueerde afbeeldingen zijn visueel ongelijk aan de oorspronkelijke gezichten en falen bij authenticatie.
• Bruikbaarheid: Snapper-FE behoudt een praktische utiliteit. Hoewel de True Positive Rate (TPR) iets lager is dan bij onbeschermde embeddings (bijv. van 91% naar ~83,5% op Celeb-A), blijft de False Positive Rate (FPR) laag (4%). De auteurs merken op dat majority voting over meerdere enrollment-samples de TPR weer boven de 90% kan brengen terwijl de FPR onder de 2% blijft.
• Runtime: Snapper-FE biedt een vergelijkbare runtime-prestatie aan bestaande schema's, waarbij authenticatie ongeveer 0,9 ms per sample duurt voor 504-dimensionale embeddings.

Betekenis en Claims
Het artikel beweert het eerste werk te zijn dat model inversion attacks empirisch verbindt met de cryptanalyse van $\ell_2$-gebaseerde fuzzy extractors. De belangrijkste bijdragen zijn:

1. Demonstreren van Onveiligheid: Het stelt vast dat bestaande $\ell_2$-FE schema's (Facial-FE en Randomized FE) niet de sterke cryptografische eigenschappen bieden die vereist zijn voor gezichtsauthenticatie, omdat ze exploiteerbare informatie over de inputdistributie lekken.
2. Introductie van PIPE: Het presenteert een krachtige, generaliseerbare aanval die voorgaande verdedigingen verslaat, waarmee de kloof tussen theoretische beveiligingsaannames en praktische prestaties op echte datadistributies wordt benadrukt.
3. Voorstel van Snapper-FE: Het biedt de eerste praktisch bruikbare en bewezen veilige kandidaat voor $\ell_2$-gebaseerde fuzzy extractors. Snapper-FE biedt "attack-agnostic" beveiliging, wat betekent dat de beveiliging rust op de hardheid van de inputdistributie in plaats op specifieke aanvalsstrategieën, en blijft veilig zelfs onder een full-leakage dreigingsmodel waarbij alle persistente gegevens gecompromitteerd zijn.

De auteurs benadrukken dat hun definities en aanvallen generiek zijn, toepasbaar op elk systeem dat gebruikmaakt van hoog-dimensionale embedding-vectoren met $\ell_2$-afstandvergelijkingen, wat de reikwijdte uitbreidt van gezichtsauthenticatie naar modaliteiten zoals audio en tekst.