一、前言
想必大家對(duì)“面部識(shí)別”這項(xiàng)技術(shù)其實(shí)并不陌生，現(xiàn)在部分手機(jī)和電腦都配備了這項(xiàng)技術(shù)。除此之外，這項(xiàng)技術(shù)在很多其他的領(lǐng)域也得到了廣泛應(yīng)用。但需要注意的是，我們自己有時(shí)候都有可能被欺騙(例如雙胞胎，或者故意偽裝等情況)，所以計(jì)算機(jī)根據(jù)視覺(jué)圖像所作出的判斷就更不用說(shuō)了。最近，研究人員演示了一種新型的攻擊技術(shù)：利用這項(xiàng)技術(shù)并配合3D渲染和少量的網(wǎng)絡(luò)調(diào)查數(shù)據(jù)，攻擊者就可以成功竊取你的“臉”。這聽(tīng)起來(lái)是不是有些恐怖?
二、研究介紹
北卡羅來(lái)納大學(xué)研究團(tuán)隊(duì)所發(fā)表的報(bào)告：[ 點(diǎn)擊下載 ]
在八月初的Usenix安全大會(huì)上，來(lái)自北卡羅來(lái)納大學(xué)的安全研究專家和計(jì)算機(jī)視覺(jué)領(lǐng)域的專家演示了一套系統(tǒng)，這個(gè)系統(tǒng)可以根據(jù)網(wǎng)上的照片來(lái)構(gòu)建數(shù)字化的3D面部模型，并使用移動(dòng)虛擬現(xiàn)實(shí)技術(shù)來(lái)呈現(xiàn)這個(gè)“人臉模型”。根據(jù)安全研究專家的描述，這個(gè)系統(tǒng)可以成功欺騙計(jì)算機(jī)的面部識(shí)別系統(tǒng)。
一個(gè)以虛擬現(xiàn)實(shí)技術(shù)呈現(xiàn)出的面部模型，肯定是一個(gè)三維立體的圖像。而這對(duì)一個(gè)安全系統(tǒng)而言，絕對(duì)是一個(gè)非常大的沖擊。值得注意的是，研究人員所使用的VR系統(tǒng)可以運(yùn)行在智能手機(jī)中，所以這個(gè)系統(tǒng)的可訪問(wèn)性和可移植性也就不言而喻了。
這些安全專家已經(jīng)在五個(gè)不同的系統(tǒng)中測(cè)試了他們的這項(xiàng)攻擊技術(shù)，并成功欺騙了其中的四個(gè)系統(tǒng)。而這項(xiàng)技術(shù)也應(yīng)該給目前正在研究生物識(shí)別技術(shù)的研究人員們敲響一個(gè)警鐘了，因?yàn)榛谏锾卣鞯纳矸葑R(shí)別技術(shù)仍然存在很多的問(wèn)題，所以他們絕對(duì)是任重而道遠(yuǎn)。
由于你的身體特征基本上不會(huì)產(chǎn)生非常大的變化，所以你的生物識(shí)別數(shù)據(jù)一旦泄漏了出去，那么后果將不堪設(shè)想。而“頭像”這種東西在網(wǎng)絡(luò)社交媒體上可以說(shuō)是到處都是，而很多用戶會(huì)使用自己的真實(shí)照片來(lái)做頭像，這就是一種極其不安全的做法。而Facebook對(duì)于攻擊者而言絕對(duì)是一個(gè)巨大的寶藏，因?yàn)橛脩舻拿娌可锾卣鲾?shù)據(jù)在這里遍地都是。
三、深入分析
雖然此前也有很多其他的研究團(tuán)隊(duì)研究過(guò)如何欺騙面部識(shí)別系統(tǒng)，但是北卡羅來(lái)納大學(xué)研究團(tuán)隊(duì)的研究方法與他們都不同。在此之前，其他研究團(tuán)隊(duì)的測(cè)試模型主要使用的是研究人員拍攝的照片或者是研究參與者提供的照片。而北卡大學(xué)的研究人員選擇從一些社交網(wǎng)站上直接爬取照片，例如Facebook、LinkedIn、以及Google+等。他們使用圖片搜索引擎從這些社交網(wǎng)站上收集了二十名志愿者的照片，而這也是很多攻擊者同樣能夠獲取到的資源。他們從各大社交網(wǎng)站中為每一位志愿者收集了3到27張不同的相片，并使用這些照片來(lái)作為測(cè)試數(shù)據(jù)。
值得注意的是，在這些自愿參與研究的志愿者之中，也不乏一些計(jì)算機(jī)領(lǐng)域的專家，而他們?cè)谧约喝粘５纳暇W(wǎng)活動(dòng)中非常注意保護(hù)自己的隱私。但是，研究人員仍然能夠找到他們的照片(每個(gè)人至少三張照片)。
研究人員在五個(gè)不同的身份認(rèn)證系統(tǒng)上測(cè)試了他們的VR面部模型，這五個(gè)認(rèn)證系統(tǒng)分別為KeyLemon，Mobius，TrueKey，BioID，以及1D。這些面部識(shí)別系統(tǒng)可以用來(lái)保護(hù)數(shù)據(jù)和解鎖手機(jī)，而它們都是消費(fèi)者可以直接從Google Play商店和蘋(píng)果iTunes商店中下載獲取的。
為了測(cè)試這些系統(tǒng)的安全性，研究人員設(shè)法獲取到了這些系統(tǒng)用于檢測(cè)用戶面部數(shù)據(jù)的主程序。他們將這些3D面部模型呈現(xiàn)給了認(rèn)證系統(tǒng)的主程序，看看它們是否能夠通過(guò)驗(yàn)證。除了使用網(wǎng)上的照片來(lái)制作這些面部模型，研究人員還在室內(nèi)為每一位參與者專門拍攝了照片，并使用虛擬現(xiàn)實(shí)技術(shù)將這些照片呈現(xiàn)出來(lái)，然后再用這些模型來(lái)進(jìn)行測(cè)試。研究結(jié)果顯示，使用室內(nèi)專門拍攝的照片所制作出來(lái)的面部模型通過(guò)了上述五個(gè)系統(tǒng)的認(rèn)證。而使用網(wǎng)上的照片制作出來(lái)的面部模型只通過(guò)了其中四個(gè)系統(tǒng)的認(rèn)證，成功率為55%至85%。