Les appareils mobiles utilisent la technologie de reconnaissance faciale pour aider les utilisateurs à déverrouiller rapidement et en toute sécurité leur téléphone, effectuer une transaction financière ou accéder à des dossiers médicaux. Mais les technologies de reconnaissance faciale qui utilisent une méthode spécifique de détection des utilisateurs sont très vulnérables aux attaques basées sur les deepfakes qui pourraient entraîner des problèmes de sécurité importants pour les utilisateurs et les applications, selon une nouvelle recherche impliquant le Penn State College of Information Sciences and Technology.

Les chercheurs ont découvert que la plupart des interfaces de programmation d'applications qui utilisent la vérification de la vivacité faciale - une fonctionnalité de la technologie de reconnaissance faciale qui utilise la vision par ordinateur pour confirmer la présence d'un utilisateur en direct - ne détectent pas toujours les photos ou vidéos modifiées numériquement d'individus conçus pour ressembler à un version live de quelqu'un d'autre, également connu sous le nom de deepfakes. Les applications qui utilisent ces mesures de détection sont également beaucoup moins efficaces pour identifier les deepfakes que ce que le fournisseur de l'application a affirmé.

« Ces dernières années, nous avons observé un développement significatif des technologies d'authentification et de vérification faciales, qui ont été déployées dans de nombreuses applications critiques pour la sécurité », a déclaré Ting Wang, professeur agrégé de sciences et technologies de l'information et chercheur principal du projet. "Entre-temps, nous avons également constaté des progrès substantiels dans les technologies deepfake, rendant assez facile la synthèse d'images faciales et de vidéos en direct à peu de frais. Nous posons donc la question intéressante :est-il possible pour des attaquants malveillants d'utiliser à mauvais escient les deepfakes pour tromper le visage systèmes de vérification ?"

La recherche, qui a été présentée cette semaine au USENIX Security Symposium, est la première étude systémique sur la sécurité de la vérification de la vivacité faciale dans des contextes réels.

Wang et ses collaborateurs ont développé un nouveau cadre d'attaque alimenté par deepfake, appelé LiveBugger, qui permet une évaluation de sécurité personnalisable et automatisée de la vérification de la vivacité faciale. Ils ont évalué six principales interfaces de programmation d'applications commerciales de vérification de la vivacité faciale fournies. Selon les chercheurs, toute vulnérabilité de ces produits pourrait être héritée par les autres applications qui les utilisent, menaçant potentiellement des millions d'utilisateurs.

À l'aide d'images et de vidéos deepfakes sécurisées à partir de deux ensembles de données distincts, LiveBugger a tenté de tromper les méthodes de vérification de la vivacité faciale des applications, qui visent à vérifier l'identité d'un utilisateur en analysant des images statiques ou vidéo de son visage, en écoutant sa voix ou en mesurant sa réponse. pour effectuer une action sur commande.

Les chercheurs ont découvert que les quatre méthodes de vérification les plus courantes pouvaient être facilement contournées. En plus de souligner comment leur cadre a contourné ces méthodes, ils proposent des suggestions pour améliorer la sécurité de la technologie, notamment en éliminant les méthodes de vérification qui n'analysent qu'une image statique du visage d'un utilisateur et en faisant correspondre les mouvements des lèvres avec la voix d'un utilisateur dans des méthodes qui analysent à la fois l'audio et vidéo d'un utilisateur.

"Bien que la vérification de la vivacité faciale puisse se défendre contre de nombreuses attaques, le développement des technologies deepfake lui fait peser une nouvelle menace, dont on sait peu de choses jusqu'à présent", a déclaré Changjiang Li, doctorant en sciences et technologies de l'information et co-premier auteur sur le papier. "Nos conclusions sont utiles aux fournisseurs pour corriger les vulnérabilités de leurs systèmes."

Les chercheurs ont communiqué leurs conclusions aux fournisseurs dont les applications ont été utilisées dans l'étude, l'un d'entre eux ayant annoncé son intention de mener un projet de détection de deepfake pour lutter contre la menace émergente.

« La vérification de la vivacité faciale a été appliquée dans de nombreux scénarios critiques, tels que les paiements en ligne, les services bancaires en ligne et les services gouvernementaux », a déclaré Wang. "En outre, un nombre croissant de plates-formes cloud ont commencé à fournir une vérification de la vivacité faciale en tant que plate-forme en tant que service, ce qui réduit considérablement les coûts et abaisse la barrière pour les entreprises qui souhaitent déployer la technologie dans leurs produits. Par conséquent, la sécurité du visage la vérification de la vivacité est très préoccupante." + Explorer plus loin

Une nouvelle méthode détecte les vidéos deepfake avec une précision allant jusqu'à 99 %