एंटी-स्पूफिंग: चेहरा पहचानने वाले सिस्टम स्कैमर का विरोध कैसे करते हैं?

इस लेख में मैं लीन डिटेक्शन के मौजूदा तरीकों के बारे में जानकारी संक्षेप में प्रस्तुत करने की कोशिश करूंगा, जिनका उपयोग चेहरे की पहचान प्रणालियों को हैकिंग से बचाने के लिए किया जाता है।

हम किससे रक्षा कर रहे हैं?

क्लाउड प्रौद्योगिकियों और वेब सेवाओं के विकास के साथ, अधिक से अधिक लेनदेन ऑनलाइन वातावरण में बढ़ रहे हैं। इसके अलावा, 50% से अधिक ऑनलाइन लेनदेन (खुदरा) मोबाइल उपकरणों से किए जाते हैं।

मोबाइल लेनदेन की बढ़ती लोकप्रियता साइबर अपराध में सक्रिय वृद्धि के साथ नहीं हो सकती है।

ऑनलाइन धोखाधड़ी, पॉइंट-ऑफ-सेल धोखाधड़ी की तुलना में 81% अधिक है।

अमेरिकियों के 16.7 मिलियन व्यक्तिगत डेटा केवल 2017 ( जेवलिन रणनीति और अनुसंधान ) के लिए चुराए गए थे। खाता अपहृत धोखाधड़ी $ 5.1 बिलियन थी।

रूस में, ग्रुप-आईबी के अनुसार, 2017 में, हैकर्स ने एंड्रॉइड स्मार्टफोन के मालिकों से एक अरब से अधिक रूबल चुरा लिया, जो एक साल पहले की तुलना में 136% अधिक है।

दूरस्थ प्रमाणीकरण मामलों में सुरक्षा सुनिश्चित करने के पारंपरिक तरीके, उदाहरण के लिए, सुरक्षा प्रश्न या एसएमएस के माध्यम से, उपयोगकर्ता धोखाधड़ी और सामाजिक इंजीनियरिंग तंत्र के सुधार के कारण अब इतने विश्वसनीय नहीं हैं। अधिक से अधिक बॉयोमीट्रिक्स यहां बचाव के लिए आते हैं, विशेष रूप से चेहरा पहचान।

Acuity Market Intelligence के अनुसार, 2020 तक, बायोमेट्रिक लेनदेन, भुगतान और भुगतान न करने की कुल मात्रा 800 मिलियन प्रति वर्ष से अधिक होगी।

फेस रिकॉग्निशन तकनीक आम तौर पर उपयोगकर्ता संपर्क के लिए संपर्कहीनता और न्यूनतम आवश्यकताओं के कारण बेहतर है, और साथ ही, यह घोटाले के हमलों के लिए सबसे कमजोर है। किसी व्यक्ति के चेहरे की छवि अन्य बायोमेट्रिक पहचानकर्ताओं की तुलना में प्राप्त करना बहुत आसान है, जैसे कि एक फिंगरप्रिंट या आईरिस। सिस्टम को धोखा देने के लिए उपयोगकर्ता की किसी भी तस्वीर (उपयोगकर्ता की सहमति के बिना या इंटरनेट से क्लोज-अप शूटिंग करके प्राप्त की जा सकती है)। इस तरह के हमले, जब एक असली उपयोगकर्ता को एक नकली पहचानकर्ता द्वारा नकली पहचानकर्ता का उपयोग करके प्रतिस्थापित किया जाता है, उसे स्पूफिंग कहा जाता है।

लाईट डिटेक्शन के तरीके

समय-समय पर, इंटरनेट पर, चेहरे की पहचान प्रणाली को धोखा देने की एक और सफल कोशिश की खबरें हैं। लेकिन क्या डेवलपर्स और शोधकर्ता वास्तव में फेस रिकग्निशन सिस्टम की सुरक्षा में सुधार के लिए कोई कदम नहीं उठाते हैं? बेशक, वे ऐसा कर रहे हैं। यह है कि लीनियर डिटेक्शन तकनीकें कैसे प्रकट हुईं, इसका कार्य "लाइव" उपयोगकर्ता से संबंधित पहचानकर्ता की जांच करना है।

लाईनेस डिटेक्शन विधियों के कई वर्गीकरण हैं। सबसे पहले, उन्हें हार्डवेयर और सॉफ्टवेयर में विभाजित किया जा सकता है।

हार्डवेयर विधियों में अतिरिक्त उपकरणों का उपयोग शामिल है, उदाहरण के लिए, इन्फ्रारेड कैमरा, थर्मल कैमरा, 3 डी कैमरा। प्रकाश की स्थिति के प्रति कम संवेदनशीलता और छवियों में विशिष्ट अंतरों को पकड़ने की क्षमता के कारण, इन तरीकों को सबसे विश्वसनीय माना जाता है, विशेष रूप से, नवीनतम परीक्षणों के अनुसार , इन्फ्रारेड कैमरा से लैस iPhone X एकमात्र ऐसा स्मार्टफोन था जिसने 3D फेस मॉडल का उपयोग करके सफलतापूर्वक हमला किया। इस तरह के तरीकों के नुकसान में अतिरिक्त सेंसर की उच्च लागत और मौजूदा चेहरा पहचान प्रणाली में एकीकृत करने की कठिनाई शामिल है।

हार्डवेयर उपकरण मोबाइल डिवाइस निर्माताओं के लिए आदर्श हैं।

हार्डवेयर विधियों के विपरीत, सॉफ़्टवेयर विधियों को अतिरिक्त उपकरणों की आवश्यकता नहीं होती है (वे एक मानक कैमरा का उपयोग करते हैं), जिसका अर्थ है कि वे अधिक सुलभ हैं, साथ ही वे स्पूफिंग के लिए अधिक असुरक्षित हैं, क्योंकि चेक का परिणाम प्रकाश और कैमरा रिज़ॉल्यूशन के स्तर जैसे कारकों पर निर्भर करता है।

तो, बायोमेट्रिक्स और "बोर्ड पर" एक इन्फ्रारेड सेंसर के साथ एक आधुनिक स्मार्टफोन खरीदना पर्याप्त है और समस्या हल हो गई है? यह एक तार्किक निष्कर्ष है, अगर एक BUT के लिए नहीं। पूर्वानुमान के अनुसार , 2020 तक मोबाइल उपकरणों में "बिल्ट-इन" बायोमेट्रिक्स के माध्यम से केवल 35% प्रमाणीकरण किए जाएंगे, जबकि 65% मामलों में बायोमेट्रिक मोबाइल एप्लिकेशन का उपयोग किया जाएगा। केवल एक कारण है - ऐसे मोबाइल डिवाइस बहुत अधिक महंगे हैं, जिसका अर्थ है कि उनका व्यापक रूप से उपयोग नहीं किया जाएगा। इसका मतलब यह है कि फोकस अभी भी सॉफ्टवेयर विधियों की ओर बढ़ रहा है जो पारंपरिक कैमरों के साथ अरबों उपकरणों पर प्रभावी ढंग से काम कर सकते हैं। हम उन पर विस्तार से ध्यान देंगे।

प्रोग्रामिंग के दो प्रकार हैं: सक्रिय (गतिशील) और निष्क्रिय (स्थिर)।

सक्रिय विधियों में उपयोगकर्ता से सहयोग की आवश्यकता होती है। इस मामले में, सिस्टम उपयोगकर्ता को निर्देशों के अनुसार कुछ क्रियाएं करने के लिए प्रेरित करता है, उदाहरण के लिए, पलक झपकाना, अपना सिर एक निश्चित तरीके से मोड़ना, मुस्कुराना आदि। (चुनौती-प्रतिक्रिया प्रोटोकॉल)। ऐसे तरीकों के नुकसान यहां से आते हैं: सबसे पहले, सहयोग की आवश्यकता चेहरे की पहचान प्रणाली के लाभ को गैर-सहकारी प्रकार के बायोमेट्रिक प्रमाणीकरण के रूप में समाप्त करती है, उपयोगकर्ता वास्तव में अनावश्यक "शरीर आंदोलनों" पर समय बिताना पसंद नहीं करते हैं; दूसरे, यदि आवश्यक क्रियाओं को पहले से जाना जाता है, तो चेहरे के भाव / चाल की नकल के साथ एक वीडियो या 3 डी प्रतिकृति खेलकर सुरक्षा को दरकिनार किया जा सकता है।

इस तरह के तरीकों का सार गतिशील फ़्रेमों को निकालने के लिए इनपुट फ़्रेम के अनुक्रम में गति का पता लगाना है जो आपको वास्तविक और नकली चेहरे के बीच अंतर करने की अनुमति देता है। विश्लेषण विधियां इस तथ्य पर आधारित हैं कि फ्लैट 2 डी ऑब्जेक्ट्स की गति एक वास्तविक मानव चेहरे के आंदोलन से काफी अलग है, जो कि एक 3 डी ऑब्जेक्ट है। चूंकि सक्रिय तरीके एक से अधिक फ्रेम का उपयोग करते हैं, इसलिए उन्हें निर्णय लेने के लिए अधिक समय की आवश्यकता होती है। चेहरे की गतिविधियों की आवृत्ति आमतौर पर 0.2 से 0.5 हर्ट्ज तक होती है। इसलिए, स्पूफिंग का पता लगाने के लिए डेटा एकत्र करने में 3 सेकंड से अधिक समय लगता है, साथ ही, मानव दृष्टि, जिसकी क्षमता, वास्तव में, इन तरीकों की नकल करती है, आंदोलन को निर्धारित करती है और संरचना का एक नक्शा बनाती है। पर्यावरण ज्यादा तेज है।

सक्रिय के विपरीत, निष्क्रिय तरीकों को उपयोगकर्ता की भागीदारी की आवश्यकता नहीं होती है और यह एकल 2 डी छवि के विश्लेषण डेटा पर भरोसा करता है, जो त्वरित प्रतिक्रिया और उपयोगकर्ता की सुविधा प्रदान करता है। सबसे अधिक उपयोग किया जाता है: फूरियर स्पेक्ट्रम (2 डी और 3 डी वस्तुओं के प्रकाश परावर्तन में अंतर की खोज) और छवि बनावट के गुणों को निकालने वाले तरीकों पर आधारित तरीके। इन तरीकों की प्रभावशीलता प्रकाश की दिशा और चमक में बदलाव के साथ घट जाती है। इसके अलावा, आधुनिक डिवाइस उच्च रिज़ॉल्यूशन और प्राकृतिक रंग में छवियों को प्रसारित करने में सक्षम हैं, जिससे आप सिस्टम को बेवकूफ बना सकते हैं।

कौन सा बेहतर है?

तालिका मुख्य श्रेणियों के तरीकों की प्रमुख विशेषताओं का सारांश प्रस्तुत करती है। मैं प्रत्येक श्रेणी में शामिल विधियों का वर्णन नहीं करूंगा, उनमें से कई हैं और वे उपयोग किए गए एल्गोरिदम और उनके संयोजनों के आधार पर भिन्न होते हैं।

विधि श्रेणी	कार्य सिद्धांत	लाभ	प्रतिबंध
आंदोलनों (चेहरे के भाव) या अस्थायी तरीकों (गतिशील, कम अक्सर स्थिर) के आधार पर तरीके	अनुरोध पर अनैच्छिक मांसपेशी आंदोलनों या कार्यों को ठीक करना	अच्छा सामान्यीकरण की क्षमता *	- कम विश्वसनीयता; - धीमी प्रतिक्रिया (> 3 सेकंड।); - गणना की उच्च जटिलता; - फोटो और 2 डी मास्क के खिलाफ प्रभावी।
बनावट विश्लेषण के तरीके (स्टेटिक)	बनावट के लिए खोज मुद्रित चेहरे के लिए विशिष्ट (धब्बा, प्रिंट खराबी, आदि)	- तेजी से प्रतिक्रिया (<1 सेकंड।); - केवल एक छवि की आवश्यकता है; - कम कम्प्यूटेशनल जटिलता; - कम लागत; - गैर-इनवेसिव विधि।	- कम सामान्य करने की क्षमता; - उच्च-रिज़ॉल्यूशन वीडियो का उपयोग करके हमलों की चपेट में।
छवि गुणवत्ता विश्लेषण (स्थिर) पर आधारित विधियाँ	एक असली चेहरे की छवि गुणवत्ता का विश्लेषण और एक नकली 2 डी छवि (विरूपण विश्लेषण, दर्पण वितरण विश्लेषण)	- अच्छी सामान्य क्षमता; - तेजी से प्रतिक्रिया (<1 सेकंड।); - कम कम्प्यूटेशनल जटिलता।	- विभिन्न प्रकार के स्पूफिंग हमलों के लिए, विभिन्न क्लासिफायर की आवश्यकता होती है; - आधुनिक उपकरणों के लिए असुरक्षित।
3 डी चेहरे की संरचना (गतिशील) पर आधारित तरीके	तीन आयामी वस्तुओं और दो-आयामी विमानों (गति पथ का विश्लेषण, एक गहराई का निर्माण) द्वारा उत्पन्न ऑप्टिकल प्रवाह के गुणों में अंतर को ठीक करना	तरीकों की उच्च विश्वसनीयता (2 डी हमलों और 3 डी हमलों के संबंध में)	- धीमी प्रतिक्रिया (> 3 सेकंड।); - प्रकाश और छवि गुणवत्ता के प्रति संवेदनशीलता।
मल्टीमॉडल तरीके (स्थिर और गतिशील)	दो या दो से अधिक बायोमेट्रिक विधियों का संयोजन	- उच्च विश्वसनीयता; - सार्वभौमिकता (एक विकल्प चुनने की क्षमता)।	- धीमी प्रतिक्रिया (> 3 सेकंड।); - एक सामान्यता चुनने की क्षमता सरलतम हमले विधि का चयन करना आसान बनाती है; - विभिन्न तरीकों द्वारा निकाली गई विशेषताओं के संयोजन की जटिलता।
जड़त्वीय सेंसर तरीके (गतिशील)	एक मोबाइल डिवाइस (एक्सेलेरोमीटर और जाइरोस्कोप) के अंतर्निहित सेंसर का उपयोग करके कैमरे की गति के लिए चेहरे के आंदोलनों के पत्राचार का विश्लेषण	- तरीकों की उच्च विश्वसनीयता (2 डी हमलों के संबंध में); - आवश्यक सेंसर पहले से ही स्मार्टफोन में शामिल हैं।	- धीमी प्रतिक्रिया (> 3 सेकंड।); - परिणाम सेंसर की माप की सटीकता पर निर्भर करता है; - प्रकाश, रोड़ा और चेहरे के भाव के प्रति संवेदनशीलता।

* प्रशिक्षण के उदाहरणों के दायरे से परे मामलों में प्रभावी ढंग से काम करने के लिए मॉडल की क्षमता (उदाहरण के लिए, जब टेम्प्लेट की पंजीकरण शर्तों को बदलते हुए: प्रकाश व्यवस्था, शोर, छवि गुणवत्ता)

विभिन्न प्रकार के तरीकों को एक दूसरे के साथ जोड़ा जा सकता है, लेकिन विभिन्न मापदंडों के प्रसंस्करण की लंबाई के कारण, इस तरह के संकर तरीकों से पता लगाने की दक्षता वांछित होने के लिए बहुत कुछ छोड़ देती है।
आधुनिक चेहरा पहचान प्रणाली में आवेदन की तस्वीर लगभग निम्नलिखित है:



* 20 से अधिक विक्रेताओं की प्रणालियों के विश्लेषण के अनुसार

जैसा कि ग्राफ से देखा जा सकता है, गतिशील तरीके प्रबल होते हैं, और कार्रवाई के अनुरोध पर बोली लगाई जाती है। यह विकल्प इस धारणा के कारण सबसे अधिक संभावना है कि विशिष्ट हमलावरों के पास सीमित तकनीकी कौशल और सरल उपकरण हैं। व्यवहार में, प्रौद्योगिकियों के विकास और उनकी उपलब्धता में वृद्धि से स्पूफिंग के अधिक परिष्कृत तरीकों की उपस्थिति होती है।

इसका एक उदाहरण उत्तरी कैरोलिना विश्वविद्यालय के शोधकर्ताओं की एक रिपोर्ट है, जो सोशल नेटवर्क से स्टूडियो फ़ोटो और फ़ोटो का उपयोग करते हुए स्मार्टफोन पर बनाए गए स्वयंसेवक प्रमुखों के बनावट वाले 3D मॉडल का उपयोग करते हुए पांच फेस रिकग्निशन एल्गोरिदम को चकमा देने में कामयाब रहे, साथ ही साथ आंदोलनों और चेहरे के भावों का अनुकरण करने के लिए वर्चुअल रियलिटी तकनीक। "धोखा दिया गया" सिस्टम केवल उपयोगकर्ता के कार्यों के विश्लेषण पर निर्भर करता था (एक संरचना का निर्माण या बस आंदोलनों की जाँच के साथ), कम से कम उस समय सिस्टम विक्रेताओं ने अन्य तरीकों की घोषणा नहीं की।

लेकिन फेसलाइव विधि, जो उस समय फेस रिकॉग्निशन सिस्टम में इस्तेमाल नहीं की गई थी, केवल 50% मामलों में हमलों से चूक गई। एक्सेलेरोमीटर द्वारा मापे गए मोबाइल फोन की चाल की दिशा में परिवर्तन और चेहरे के स्थलों (नाक, आंखें आदि) में बदलाव की तुलना में लीन डिटेक्शन मैकेनिज्म की तुलना कैमरे से वीडियो पर की जाती है। एक जीवित उपयोगकर्ता का पता लगाया जाता है यदि चेहरे के वीडियो में सिर की स्थिति में परिवर्तन डिवाइस के आंदोलनों के अनुरूप है। विधि के नुकसान में डिवाइस के जड़त्वीय सेंसर की सटीकता, प्रकाश का स्तर, उपयोगकर्ता के चेहरे के भाव और प्रक्रिया की लंबी अवधि पर निर्भरता शामिल है।

रिपोर्ट के लेखकों के अनुसार, रक्त प्रवाह का विश्लेषण, प्रकाश प्रक्षेपण और एक अवरक्त कैमरे का उपयोग चेहरे के भाव और आंदोलनों का अनुकरण करने वाले 3 डी मॉडल का उपयोग करके सफलतापूर्वक हमलों का विरोध करने में सक्षम है।

दिल के संकुचन के परिणामस्वरूप त्वचा के रंग में आवधिक परिवर्तनों के प्रजनन में अंतर की पहचान करने पर रक्त प्रवाह विश्लेषण होता है। नकली छवियां रंग को बदतर बनाती हैं।

प्रकाश प्रक्षेपण का उपयोग करते समय, एक अंतर्निहित डिवाइस या एक बाहरी प्रकाश स्रोत यादृच्छिक अंतराल पर चमकता है। धोखा देने की कोशिश करते समय, 3 डी रेंडरिंग सिस्टम को मॉडल पर प्रकाश व्यवस्था के अनुमानित पैटर्न को जल्दी और सटीक रूप से देखने में सक्षम होना चाहिए। अतिरिक्त उपकरणों की आवश्यकता एक महत्वपूर्ण सीमा है।

उल्लिखित रिपोर्ट 2016 में प्रकाशित हुई थी, उस दौरान कुछ एल्गोरिदम में सुधार किया गया था। तो, कुछ विक्रेताओं ने 3 डी मास्क का उपयोग करके हमलों का सफलतापूर्वक विरोध करने के लिए अपने सिस्टम की क्षमता का दावा किया है।

प्रौद्योगिकी की विश्वसनीयता के लिए एक गंभीर दृष्टिकोण का एक उदाहरण Apple और Microsoft है। एक समय में फेस आईडी ने पहचान का सामना करने के लिए व्यापक दर्शकों का ध्यान आकर्षित करने में मदद की, यह दिखाते हुए कि व्यक्तिगत डेटा सुरक्षा का भविष्य कैसा दिख सकता है। लेकिन लॉन्च के तुरंत बाद, प्रौद्योगिकी धोखे के विषय पर दर्जनों वीडियो (ज्यादातर नकली) दिखाई दिए। 2017 में, विंडोज हैलो एक मुद्रित छवि के साथ चेहरे की पहचान को धोखा देने में कामयाब रहा। फोर्ब्स के परीक्षण के परिणामों पर लौटते हुए, यह कहा जा सकता है कि कंपनियों ने तब से बहुत अच्छा काम किया है, जिसके परिणामस्वरूप उनकी प्रणाली में दरार नहीं हुई है।

मैंने व्यक्तिगत रूप से चेहरे की पहचान प्रणालियों की हैकिंग (अपराध करने के उद्देश्य से) के किसी भी उदाहरण को नहीं देखा है, फिंगरप्रिंट स्कैनिंग पर आधारित सिस्टम, विपरीत, कहते हैं। यानी हैकिंग के सभी प्रयास या तो विश्वसनीयता का परीक्षण करने के लिए किए गए, या प्रौद्योगिकी को बदनाम करने के लिए। बेशक, चेहरे की पहचान प्रणाली फिंगरप्रिंट स्कैनिंग सिस्टम के रूप में व्यापक नहीं हैं, लेकिन वे अभी भी बैंकों में शामिल हैं, जहां सुरक्षा मुद्दों पर अधिकतम ध्यान दिया जाता है।

संक्षेप में देना

• चेहरा पहचान प्रणाली डेवलपर्स निश्चित रूप से सुरक्षा के मुद्दों के बारे में चिंतित हैं, सभी विक्रेता स्पूफिंग (अच्छी तरह से या एक होने का दावा) के खिलाफ सुरक्षा के कुछ रूप पेश करते हैं, एक अपवाद मोबाइल उपकरणों के कुछ निर्माता हैं, लेकिन वे आमतौर पर मान्यता प्रौद्योगिकी पर धोखा देने की संभावना के बारे में चेतावनी देते हैं। व्यक्तियों, इसे एक अतिरिक्त सुरक्षा कारक के रूप में पेश करते हैं।
• पारंपरिक तरीके आमतौर पर प्रकाश व्यवस्था की स्थिति, प्रतिक्रिया की गति, अन्तरक्रियाशीलता या उच्च लागत पर निर्भरता जैसी सीमाओं के अधीन होते हैं। इसलिए, मान्यता प्रणालियों के उपयोगकर्ता गुणों में सुधार के लिए एल्गोरिदम में सुधार की आवश्यकता है।
• भविष्य की सुरक्षा तंत्र को स्पूफिंग प्रौद्योगिकियों के विकास का अनुमान लगाना चाहिए और जल्दी से नए खतरों के अनुकूल होना चाहिए।
• आधुनिक एल्गोरिदम की शुरूआत धोखाधड़ी को "एक महंगी खुशी" बनाएगी, और इसलिए अधिकांश हमलावरों के लिए अव्यावहारिक, अर्थात्। अधिक तकनीकी साधनों और कौशल को हमलों को करने के लिए आवश्यक है, और अधिक सुरक्षित उपयोगकर्ता महसूस कर सकते हैं।
• विभिन्न तरीकों के अनुप्रयोग के सहसंबंध के ग्राफ में नए एल्गोरिदम की उपस्थिति, छोटे अनुपात में, यह इंगित करता है कि विक्रेता स्पूफिंग के खिलाफ सुरक्षा के अधिक प्रभावी साधनों की तलाश कर रहे हैं। कंपनियां प्रयोग कर रही हैं, अक्सर एक नहीं बल्कि कई तरीकों की पेशकश की जाती है, जो चेहरे की पहचान प्रणाली के भविष्य के बारे में आशावाद को प्रेरित नहीं कर सकते हैं।