Model Inversion meets Cryptographic Fuzzy Extractors

Resumo Técnico: Inversão de Modelo encontra Extratores Difusos Criptográficos

Definição do Problema
Sistemas de aprendizado de máquina (ML), particularmente em autenticação facial, dependem do armazenamento de vetores de incorporação (embeddings) derivados de entradas do usuário (ex: imagens faciais). Esses vetores são frequentemente armazenados de forma persistente em bancos de dados ou em dispositivos, tornando-os suscetíveis a ataques de "smash-and-grab", onde um adversário obtém acesso a todos os dados armazenados. Se esses vetores de incorporação forem armazenados sem proteção, eles são altamente vulneráveis a ataques de inversão de modelo, nos quais um adversário pode reconstruir a imagem de entrada original (ex: o rosto de um usuário) a partir do vetor vazado. Embora Extratores Difusos (FEs) criptográficos tenham sido propostos como uma defesa de pós-processamento para tolerar ruído (essencial para autenticação biométrica) enquanto protegem o segredo, os FEs existentes projetados para ruído $\ell_2$ (necessário para modelos de ML modernos) carecem de uma análise criptográfica sistemática. Trabalhos anteriores não avaliaram rigorosamente se esses esquemas podem resistir a ataques de inversão de modelo sob um modelo de ameaça de vazamento total.

Metodologia e Análise
Os autores realizam uma análise de segurança abrangente dos esquemas de Extrator Difuso baseados em $\ell_2$ existentes, especificamente o Facial-FE (baseado em redes E8 e Leech) e o Randomized FE (baseado em Learning With Errors, LWE).

1. Criptoanálise de Esquemas Existentes:

   • Os autores identificam uma falha fundamental nas construções de code-offset utilizadas por esses esquemas. Nessas construções, a string auxiliar pública $p$ contém um valor de "deslocamento" (offset) — a diferença entre a incorporação de entrada e o código de rede mais próximo.
   • Para distribuições faciais naturais, este deslocamento não é uniformemente aleatório; ele correlaciona-se com a identidade do usuário e com a geometria específica da incorporação em relação às células de Voronoi da rede.
   • Este vazamento permite que um atacante reduza drasticamente a entropia residual do segredo protegido. Os autores demonstram que, para o Facial-FE, a min-entropia condicional cai drasticamente (ex: de ~3,6 bits para ~0,02 bits para esquemas baseados em E8), tornando o esquema inseguro.
   • Para o Randomized FE, embora a rede seja aleatorizada por usuário, o helper público ainda vaza um sinal linear sobre a entrada. Os autores mostam que, ao tirar a média de múltiplos valores de helper vazados para o mesmo usuário, um atacante pode cancelar o ruído aleatório e recuperar uma estimativa de alta fidelidade da incorporação original.

2. O Ataque PIPE:

   • Para validar empiricamente essas fraquezas teóricas, os autores introduzem o PIPE (um novo ataque de inversão de modelo).
   • O PIPE utiliza modelos de difusão condicionais. Ele treina um modelo de inversão em um conjunto de dados público para mapear "vetores substitutos" (derivados dos dados de helper $p$ vazados e da saída protegida $r$) de volta para imagens faciais realistas.
   • Diferente de ataques anteriores que lutam contra esquemas aleatorizados, o PIPE explora efetivamente o vazamento parcial de informação nas strings de helper dos esquemas $\ell_2$-FE existentes.

3. Solução Proposta: Snapper-FE:

   • Os autores propõem o Snapper-FE, um novo esquema candidato projetado para ser seguro contra inversão de modelo.
   • Mecanismo: Ao contrário dos esquemas de code-offset que liberam o deslocamento, o Snapper-FE primeiro decodifica a incorporação de entrada em um código de rede e, em seguida, realiza o hash deste código. O segredo é a saída do hash, e o helper público consiste apenas nas chaves de hash.
   • Compromisso (Trade-off): Este paradigma de "decodificar primeiro" sacrifica parte da correção (utilidade), pois entradas próximas podem decodificar para códigos de rede diferentes, mas elimina o vazamento de informação que possibilita a inversão.
   • Verificação: O sistema utiliza uma autenticação por blocos com um limiar de decisão suave (votação majoritária de blocos de hash correspondentes) para restaurar a usabilidade.

Principais Resultados

• Quebra de Esquemas Anteriores: O ataque PIPE alcança altas taxas de sucesso contra os esquemas $\ell_2$-FE existentes. Contra o Facial-FE (E8), o PIPE atinge uma Taxa de Sucesso de Ataque (ASR) de 99,8% (baseada na distância $\ell_2$) e 99,6% (baseada na autenticação). Contra o Facial-FE (Leech), a ASR é de aproximadamente 65–73%. Isso demonstra que os esquemas anteriores falham em fornecer segurança criptográfica contra inversão.
• Ineficácia de Ataques Anteriores no Randomized FE: Ataques de inversão anteriores (Bob, GMI, KED-MI) falharam contra a variante aleatorizada do Facial-FE (ASR < 6%), mas o PIPE atacou com sucesso, atingindo uma ASR de 66,5%, provando que a aleatorização sozinha é insuficiente.
• Segurança do Snapper-FE: Contra o Snapper-FE, o PIPE e todos os outros ataques avaliados alcançam uma ASR de aproximadamente 0,4% a 4%, o que é comparável ou apenas marginalmente superior ao chute aleatório. As imagens reconstruídas são visualmente dissimilar às faces originais e falham na autenticação.
• Usabilidade: O Snapper-FE mantém a utilidade prática. Embora a Taxa de Verdadeiros Positivos (TPR) caia ligeiramente em comparação com as incorporações não protegidas (ex: de 91% para ~83,5% no Celeb-A), a Taxa de Falsos Positivos (FPR) permanece baixa (4%). Os autores observam que a votação majoritária sobre múltiplas amostras de registro pode elevar a TPR para acima de 90%, mantendo a FPR abaixo de 2%.
• Tempo de Execução: O Snapper-FE oferece um tempo de execução comparável aos esquemas existentes, com a autenticação levando aproximadamente 0,9 ms por amostra para incorporações de 504 dimensões.

Significância e Alegações
O artigo afirma ser o primeiro trabalho a conectar empiricamente ataques de inversão de modelo com a criptoanálise de extratores difusos baseados em $\ell_2$. Suas principais contribuições são:

1. Demonstração de Insegurança: Estabelece que os esquemas $\ell_2$-FE existentes (Facial-FE e Randomized FE) não oferecem as propriedades criptográficas fortes exigidas para a autenticação facial, pois vazam informações exploráveis sobre a distribuição de entrada.
2. Introdução do PIPE: Apresenta um ataque poderoso e generalizável que derrota defesas anteriores, destacando a lacuna entre as suposições de segurança teórica e o desempenho prático em distribuições de dados do mundo real.
3. Proposta do Snapper-FE: Oferece o primeiro candidato praticamente utilizável e provadamente seguro para extratores difusos baseados em $\ell_2$. O Snapper-FE fornece segurança "agnóstica ao ataque", o que significa que sua segurança depende das suposições de dureza da distribuição de entrada, em vez de estratégias de ataque específicas, e permanece seguro mesmo sob um modelo de ameaça de vazamento total, onde todos os dados persistentes são comprometidos.

Os autores enfatizam que suas definições e ataques são genéricos, aplicáveis a qualquer sistema que utilize vetores de incorporação de alta dimensão com comparações de distância $\ell_2$, estendendo-se além da autenticação facial para modalidades como áudio e texto.