Биометрию взломали по ответам «принят/отклонён»: шаблон восстановлен в 97,6–100% случаев

Система распознавания по лицу, которая отвечает только «принят» или «отклонён», считается довольно безопасной: наружу не выходит ни оценка схожести, ни сам шаблон. Группа исследователей из Элирона Рахими, Маргариты Осадчей и Орра Дункельмана показала, что этого недостаточно. Один бит обратной связи на каждый запрос позволяет восстановить защищённый биометрический шаблон почти идеально: ошибка реконструкции оказывается меньше 1% от порога аутентификации в 97,6–100% случаев. Препринт опубликован на arXiv под номером 2610.25118, код выложен на GitHub.

Утечка через сам интерфейс

Современные биометрические системы всё чаще защищают шаблоны специальными механизмами: сами векторы лица не хранятся в открытом виде. Но проверка всё равно сводится к сравнению: система принимает пользователя, если схожесть с эталоном выше порога. Каждое «да» или «нет» говорит атакующему, по какую сторону границы лежит его пробный вектор. Авторы используют именно геометрические ограничения этой процедуры. Серия аккуратно подобранных запросов постепенно сужает область, где может находиться эталон, и в итоге позволяет вычислить его с точностью до численной погрешности.

Главный вывод работы в том, что результат не зависит от схемы защиты шаблонов. Утечка возникает не в хранилище, а в самом процессе аутентификации. Раньше атаки на реконструкцию опирались на выдаваемые системой оценки схожести. Бинарные системы, которые показывают только решение, считались заметно устойчивее, ведь информации в одном бите намного меньше. Рахими и соавторы утверждают, что первыми довели такую атаку до практического результата.

Как распределение шаблонов ускоряет взлом

Вторая часть работы касается стоимости атаки. Число запросов к системе остаётся главным ограничителем: реальные сервисы могут блокировать подозрительную активность. Поэтому авторы предложили методы выбора запросов с учётом распределения биометрических шаблонов. Для систем, выдающих скоры, это сокращает число нужных запросов до 5 раз по сравнению с недавними атаками. Модель угрозы становится реалистичнее: атакующему нужно меньше обращений к интерфейсу.

Третий шаг объединяет оба результата. В геометрическую бинарную атаку встроен предобученный диффузионный prior для лиц. Он подсказывает, как выглядят правдоподобные лица, и отсекает области, где шаблон заведомо не может находиться. Сложность по числу запросов снижается примерно в 5 раз. Здесь генеративный ИИ не атакует систему напрямую, а работает как источник знаний о распределении данных, который делает перебор гораздо экономнее.

Ключевые результаты

• Бинарная обратная связь (принят/отклонён) достаточна для восстановления шаблона. • Ошибка реконструкции ниже 1% порога аутентификации в 97,6–100% случаев. • Выбор запросов с учётом распределения сокращает их число в атаках по скорам до 5 раз. • Предобученный диффузионный prior для лиц снижает сложность бинарной атаки примерно в 5 раз. • Реконструкция возможна независимо от механизма защиты шаблонов. • Авторы: Элирон Рахими, Маргарита Осадчая, Орр Дункельман.

Что менять разработчикам систем

Главный практический вывод: шифрование или преобразование шаблонов при хранении не закрывает проблему, пока интерфейс проверки можно опрашивать почти без ограничений. Командам, которые строят биометрическую аутентификацию, стоит оценивать модель угрозы вместе с самим API: сколько попыток разрешено, как они считаются на уровне устройства, аккаунта и сети, как выявляются серии близких по структуре запросов. Ограничение частоты запросов и мониторинг аномальных последовательностей становятся частью защиты шаблонов, а не вспомогательной мерой.

Есть и более общий вывод. Диффузионные модели, обученные на лицах, дают атакующему готовую информацию о распределении данных, и каждая новая генеративная модель удешевляет такие атаки. Тем, кто выбирает схему биометрической защиты, имеет смысл проверять её на стойкость к атакам с генеративными prior-ами, а не только к классическим перебору и подбору.

Авторы подчёркивают, что итог работы касается фундаментального ограничения: пока система возвращает решение, оно несёт геометрическую информацию. Полностью убрать утечку можно только сокращением самой обратной связи и числа допустимых попыток.