Domanda:
Il riconoscimento facciale è una buona funzionalità di sicurezza?
MatthewRock
2016-09-06 17:11:49 UTC
view on stackexchange narkive permalink

Ho scoperto che questo ragazzo ha caricato un codice di riconoscimento facciale con un commento che vorrebbe usarlo "come funzione di sicurezza". Questo mi ha fatto pensare; il riconoscimento facciale è una funzionalità di sicurezza valida o è un modo "interessante" ma non molto efficace per proteggere qualcosa?

Dipende.Per l'autenticazione piuttosto non ancora con la tecnologia attuale.Per il monitoraggio sì.
I commenti non sono per discussioni estese;questa conversazione è stata [spostata in chat] (http://chat.stackexchange.com/rooms/45101/discussion-on-question-by-matthewrock-is-face-recognition-a-good-security-featur).
Sicuro?Autentica capelli lunghi nero corvino, baffi cerati steam punk, barba collo Amish, contatti neri stile Korn, lobi delle orecchie misurati anni '90, disco labiale africano tribale gigante e mancanza di denti.Poi fammi entrare quando "pulisco" e metto la protesi.
In passato ho ingannato diversi tipi di biometria, ma non più.Lavoro direttamente con il team di Microsoft che si occupa del riconoscimento facciale, per Windows 10. La nuova versione utilizzata da MS rileva differenze sufficienti a una coppia di gemelli da escludersi a vicenda.Può vedere le creste nella tua pelle. Devono ancora avere un attacco riuscito.Intendiamoci, sto parlando SOLO di Surface Pro 4 e Surface Book.Lo uso sempre come professionista IT.
@Lofful Quindi, se hai danni al viso, tieni bloccato fuori dal tuo dispositivo?(es. lividi, tagli, chirurgia plastica).
@Lofful: la tua ricompensa per aver lavorato con Microsoft è che 99 persone hanno votato positivamente la risposta di tim che dice che stai mentendo (o sbagliando) sul tasso di falsi positivi ;-)
Non sono sicuro che sia stato migliorato con Windows 10, ma in Windows 8 è particolarmente facile superare il riconoscimento facciale se l'utente ha utilizzato il proprio volto per l'immagine del proprio account.Sono stato in grado di scattare una foto della schermata di blocco e mostrarla alla webcam per superare molto facilmente la fase di riconoscimento facciale.
Se la tua faccia è la tua "password", in pratica stai trasmettendo la tua "password" a tutti quelli che ti vedono!
@TheWanderingCoder No :) Il riconoscimento facciale richiede prima di utilizzare un numero PIN.Quindi non puoi mai essere bloccato.Permette anche la password.Rende solo più facile il login.
@SteveJessop Tim ha un argomento ben congegnato che in effetti ha valore se stiamo parlando di qualcosa TRANNE quello che ho menzionato.Ecco perché l'ho messo come un commento e non come una risposta. Sono stato molto specifico nell'affermare che sto parlando SOLO del nuovo Surface Pro 4 e Surface Book.Utilizza gli infrarossi per mappare le creste della pelle.L'hanno testato con gemelli E immagini.
@Lofful Non sarebbe solo un PINN?
@Lofful Quindi, in altre parole, c'è un altro vettore di attacco in cui accedere al tuo dispositivo.O usi un PIN (presumibilmente di 4-6 cifre) e la tua faccia (che come hanno detto altri poster, sembra piuttosto facile da falsificare) o una password (di qualsiasi lunghezza variante).
@TheWanderingCoder A quale vettore di attacco ti riferisci nello specifico?Hai elencato tutti i tipi di accesso che puoi utilizzare attualmente.Se password, PIN e dati biometrici non ti bastano ... Cosa usi per accedere? "un po 'facile da falsificare" è completamente sbagliato in questo caso.Ancora una volta mi riferisco alla biometria mappata al laser.Che non può essere ingannato senza la replica di grado spia di una faccia;può percepire la tua struttura ossea.Tutti gli altri si riferiscono al vecchio metodo in cui viene utilizzato un file di immagine flat.
Sei risposte:
tim
2016-09-06 17:52:20 UTC
view on stackexchange narkive permalink

No, non proprio. Almeno non come forma principale di autenticazione. La biometria in generale non va bene per l'autenticazione, perché:

  • Le lasci ovunque e non c'è modo di evitarlo.
  • Non possono essere modificate in caso di violazione.
  • È necessario aggiungere un'elevata tolleranza agli errori per non causare problemi di usabilità. Queste tolleranze portano a falsi positivi, anche senza attacchi, e rendono possibili attacchi.

In pratica, quando implementano gli algoritmi, di solito devono bilanciare tra [tasso di falsa accettazione] e [ tasso di falsi rigetti]. Ciò rende l'efficienza del riconoscimento facciale la più bassa di tutte per quanto riguarda la tabella. La sua sicurezza è anche inferiore rispetto ad altri sistemi di riconoscimento biometrico, soprattutto rispetto alla scansione delle impronte digitali.

- Yourface NON è la tua password, Face Authentication ByPassing Lenovo –Asus - Toshiba (2009)

Non sono riuscito a trovare una dimostrazione dal vivo per quel documento, ma eccone una da un discorso 31C3 sulla biometria, che utilizza un'immagine semplice e può bypassare il lampeggio richiesto . Ecco un articolo di una persona che utilizza un video per aggirare un requisito lampante.

Ecco un articolo più recente che utilizza approcci più moderni:

In questo documento, introduciamo un nuovo approccio per aggirare i moderni sistemi di autenticazione facciale. Più specificamente, sfruttando una manciata di immagini dell'utente target tratte dai social media, mostriamo come creare modelli facciali 3D realistici, strutturati che minano la sicurezza delle soluzioni di autenticazione facciale ampiamente utilizzate.

[...]

A nostro avviso, è altamente improbabile che robusti sistemi di autenticazione facciale siano in grado di funzionare utilizzando esclusivamente l'input della fotocamera web / mobile. Data la natura diffusa delle foto personali online ad alta risoluzione, gli avversari di oggi hanno a disposizione una miniera d'oro di informazioni per creare sinteticamente dati sui volti falsi. Inoltre, anche se un sistema è in grado di rilevare in modo robusto un certo tipo di attacco - sia esso utilizzando una stampa su carta, una maschera stampata in 3D o il nostro metodo proposto - la generalizzazione a tutti i possibili attacchi aumenterà la possibilità di falsi rifiuti e quindi limiterà l'usabilità complessiva di il sistema.

- Virtual U: Defeating Face Liveness Detection by BuildingVirtual Models from Your Public Photos (2016)

Sì, lasciarlo dappertutto è sicuramente un grosso problema +1.La mia citazione preferita sulla biometria è sempre: * sono un po 'sciocchi, è come una password che non puoi cambiare * (non so chi l'ha detto per primo però, scusa)
Un altro punto che potrebbe essere aggiunto a questa risposta è come le password biometriche devono cambiare nel tempo, il che richiederebbe un frequente campionamento del tuo corpo.Molte persone non si rendono conto di quanto cambiano il loro viso, la retina e persino le impronte digitali nel corso della vita, specialmente con cambiamenti a breve termine come cicatrici o altre lesioni.Se la mattina mi tagliassi la faccia da barba, non vorrei essere bloccato fuori dal mio laptop!
Questa risposta è abbastanza buona ma sembra trascurare l'argomento critico della * vivacità *.C'è una vasta gamma di tecniche là fuori per cercare di determinare se il viso nell'immagine è una persona dal vivo (non, ad esempio, una fotografia statica o un video).Alcuni sono facili da ingannare (ad esempio, sbattere le palpebre);altri potrebbero essere più efficaci.È un argomento aperto di ricerca se esiste un modo accurato e conveniente per rilevare la vivacità in grado di fornire una protezione adeguata.Inoltre, non è chiaro se gli attacchi che richiedono maschere 3D in stile hollywoodiano rendano inutile il riconoscimento facciale;dipende da cosa li usi.
@D.W.Sono d'accordo, avrei potuto approfondire il rilevamento della vivacità, ma penso che l'ultimo articolo faccia un buon lavoro.Si noti inoltre che non utilizza maschere 3D per aggirare l'attuale rilevamento della vivacità, ma un sistema VR che funziona su uno smartphone che viene tenuto vicino alla fotocamera del sistema FR.Ovviamente è sempre una domanda a cosa serve il sistema, ma il mio punto principale era che la biometria in generale e il riconoscimento facciale in particolare hanno punti deboli fondamentali che probabilmente li renderanno inadatti come autenticazione primaria, almeno nel prossimo futuro.
@SethMichaelLarson Sicuramente.Presumo che gli attuali sistemi FR possano affrontare un taglio semplice, ma cosa succede se cambi il tuo stile di trucco?O non indossarne nessuno al momento, ma lo hai fatto durante l'installazione del sistema FR?Questi sono seri [problemi di usabilità] (http://ieeexplore.ieee.org/document/6587752/), e nel caso dell'autenticazione FR, usabilità e sicurezza sono in disaccordo;una maggiore usabilità (cioè meno falsi negativi) porta a una minore sicurezza (cioè più falsi positivi e possibilità di attacco).
"Li lasci dappertutto" - non sono sicuro di quanto sia vero per le scansioni degli occhi.
@tim Queste cose non finiscono per cercare principalmente la posizione degli occhi, la forma del naso, la struttura della mascella e così via?Ho avuto l'impressione che le cose che gli esseri umani considerano importanti (come l'ombra della pelle) non siano in gran parte informative per gli algos FR (forse perché non possono affrontare i cambiamenti dei livelli di luce così come possono fare gli occhi umani), quindi finiscono per ignorare intere aree delle guance efronte.
@Superbest Makeup non cambia solo la tonalità della pelle, soprattutto il contouring cambia la forma percepita del viso.Ciò può causare problemi ai sistemi FR, vedere ad esempio [qui] (http://www.cse.msu.edu/~rossarun/pubs/DantchevaChenRossFaceCosmetics_BTAS2012.pdf) o [qui] (https://www.researchgate.net/pubblicazione / 43199704_Influence_of_make-up_on_facial_recognition).
@NathanOsman Ovviamente non lasci il tuo occhio (proprio come non lasci il tuo dito reale), ma è difficile evitare le immagini dei tuoi occhi.Ovviamente potresti sempre indossare occhiali da sole (proprio come puoi sempre essere guanti o una maschera per il viso), ma sembra poco pratico per la maggior parte delle persone.
Ho sentito di quell'hacker che è stato in grado di falsificare un dito o un occhio da una foto e l'ha fatto al governo tedesco.Ecco un articolo, proviene da un giornale non da un documento di ricerca: http://www.scmagazineuk.com/starbugs-in-your-eyes-german-hacker-spoofs-iris-recognition/article/449157/
"creando sinteticamente dati di volti falsi" Sto immaginando un futuro aggressore che stampa in 3D le teste delle persone usando le foto di Facebook.Questo è in qualche modo divertente anche se non è realistico.
@SethMichaelLarson E le cose peggiorano molto per le ragazze truccate.
@grochmal "come una password che non puoi cambiare".Vero, ma la teoria è che non è necessario cambiarlo perché non può essere rubato.
wow ..... e conosco qualcuno che ha un'attività che vende dispositivi di sicurezza per il riconoscimento facciale per i dannati * ATM * ...
Peteris
2016-09-06 20:14:41 UTC
view on stackexchange narkive permalink

È utile come "nome utente"

Abbiamo un nome per una funzione di autenticazione che non può essere facilmente modificata e viene occasionalmente mostrato a terze parti: è il tuo ID account, nome utente, ecc.

Anche se vorresti comunque utilizzare qualcos'altro (ad esempio una password) come funzione di autenticazione principale, sostituire l'ID utente con il riconoscimento facciale può renderlo più conveniente (non è necessario inserire nulla) e più sicuro del ID comunemente usati come nomi utente o indirizzi e-mail.

"e più sicuro degli ID comunemente usati come nomi utente o indirizzi email."sono fortemente in disaccordo.È più facile per qualcuno scattare una foto del mio viso e mostrarla alla fotocamera che scoprire il mio nome utente.Inoltre, ho il controllo dell'esposizione del mio nome utente, ma (praticamente) non ho il controllo dell'esposizione della mia testa.Inoltre posso cambiare il mio nome utente ma non posso cambiare la mia testa.
Le maschere @Sharky sono economiche
Anders
2016-09-06 17:38:18 UTC
view on stackexchange narkive permalink

Lo hai contrassegnato con l'autenticazione, quindi risponderò da quella prospettiva. (Ma come sottolinea Aria nei commenti, ha anche applicazioni di sorveglianza.)

Affinché il riconoscimento facciale sia una funzionalità interessante su Facebook, deve solo funzionare la maggior parte del tempo . Affinché sia ​​utile per l'autenticazione, deve avere un tasso di errore vicino allo zero. Quasi nessun falso positivo (anche se è una persona che ti assomiglia molto, o qualcuno sta tenendo in mano una fotografia o un modello 3D del tuo viso) e quasi nessun falso negativo (anche se hai perso molto peso o applicato qualche trucco). Questo richiede molto.

E come con tutte le autenticazioni biometriche, hai il problema di incorporare la chiave nel tuo corpo. Se pensavi che i malintenzionati che ti tagliassero il dito per superare lo scanner di impronte digitali fosse un male, immagina cosa dovrebbero fare per ottenere la tua faccia ...

Inoltre non puoi cambiare la forma del tuo affrontare (a parte la chirurgia plastica) facile come cambiare una password o una chiave fisica se è compromessa.

Quindi questo ha tutti i problemi dei lettori di impronte digitali, solo molto peggio. È una cattiva idea.

+1: specialmente per "... i malintenzionati tagliarsi il dito per superare lo scanner di impronte è stato brutto, immagina cosa dovrebbero fare per ottenere la tua faccia ..." questo mi ricorda alcuni film di 007!:-)
Ciò che dovrebbe essere ricordato qui in aggiunta è che puoi essere fisicamente costretto a mostrare il tuo occhio / mettere il dito mentre con una password, se sei pronto a morire e ad allenarti alla tortura, non puoi fare nulla.
Tim X
2016-09-09 04:04:40 UTC
view on stackexchange narkive permalink

Sono già state fornite alcune buone risposte. Probabilmente il punto chiave è che dipende dal tuo profilo di rischio. In alcune situazioni, il riconoscimento facciale può essere un controllo conveniente che è adeguatamente efficace per quella particolare situazione, ma per molte altre situazioni sarà necessario includerlo con altri controlli prima che fornisca un livello di protezione adeguato. Ad esempio, potrei decidere che il riconoscimento facciale va bene sul mio computer di casa o potrebbe essere adeguato per il blocco dello screensaver, ma non è sufficiente per un accesso iniziale o sul mio computer nell'ufficio open space al lavoro, ecc.

L'altro punto importante da notare è che vi sono notevoli variazioni nell'accuratezza e nell'affidabilità dei diversi sistemi di riconoscimento facciale. Ad esempio, le persone hanno dimostrato che molte delle implementazioni su alcuni dispositivi mobili di fascia bassa hanno parametri di corrispondenza ampi che possono essere facilmente ingannati da una foto o da qualcuno che sembra "simile".

Come con quasi tutti i controlli di sicurezza, domande come "X è sicuro" sono generalmente la domanda sbagliata. La sicurezza deve essere valutata nel contesto di destinazione. Quello che stai cercando è un equilibrio adeguato tra rischio di compromesso e convenienza. Una volta individuati i controlli appropriati, è necessario valutare l'efficacia dell'attuazione dei controlli selezionati. Se hai valutato che in una situazione specifica, il riconoscimento facciale sarebbe appropriato, allora valuti che la soluzione di riconoscimento facciale implementata funzioni entro parametri accettabili.

KOLANICH
2016-09-06 20:47:06 UTC
view on stackexchange narkive permalink

Dipende dalla tua definizione di sicurezza. Ad esempio, è certamente utilizzabile come funzione di sicurezza se nessuno lo sa e la cam nascosta confronta i volti degli uomini che effettuano l'accesso con i volti associati all'acc e avverte gli uomini responsabili della sicurezza delle discrepanze. Ma è sicurezza attraverso l'oscurità e se un utente malintenzionato ne è a conoscenza utilizzerà mezzi semplici o complicati per aggirare s.a. mostrando una foto o indossando una maschera facciale. Lo stesso per le impronte digitali e gli scanner dell'iride. La maggior parte delle cose biometriche per scopi di autenticazione funziona solo in ambienti supervisionati quando un uomo si trova nelle vicinanze e rileva gli imbroglioni con i suoi occhi, il cervello e l'esperienza, come il controllo delle frontiere, la sorveglianza stradale (se quelli indossano maschere o evitano telecamere o comportamenti diversi vengono fermati dalla polizia) o profilando i criminali. Quindi per auth. scopi in un ambiente non supervisionato è buono solo per impressionare i bambini di 5 anni.

noɥʇʎԀʎzɐɹƆ
2016-09-07 02:13:52 UTC
view on stackexchange narkive permalink

No. Si potrebbe semplicemente sostituire la fotocamera con un dispositivo che risponde con un video del viso della persona. E lasci la tua faccia ovunque.

Oppure esegui il sistema in una VM e collega un driver virtuale con i dati raccolti da una fotocamera del tuo viso.

Utilizzare questa come unica misura di sicurezza è altamente insicuro e non dovrebbe mai Usato. Forse funzionerebbe bene in uno schema di autenticazione a due fattori, ma mai da solo.

Se permetti di cambiare l'hardware e persino il sistema operativo di un sistema di sicurezza, non credo che tu possa ancora creare un sistema sicuro.Il video non funziona immediatamente se il sistema ti dice come muovere la testa
@FooBar Quindi sfonda semplicemente il muro con un muro / porta a mazza se non ti è permesso.Sto parlando di sicurezza crittografica.
Conosci un sistema che sarebbe comunque sicuro se fosse eseguito all'interno di una VM di un aggressore?


Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 3.0 con cui è distribuito.
Loading...