Attaques deepfake dans la vérification d’identité

Un contrôle à distance remplit trois fonctions, en commençant par le document. Il examine les éléments de sécurité du document d’identité pour établir son authenticité. Il compare le visage devant la caméra au portrait du document. Il établit aussi que le visage appartient à une personne vivante présente à cet instant, ce que signifie la détection du vivant. La circulaire 3/2017 (GW) de la BaFin décrit les deux premières fonctions pour la procédure vidéo allemande, et un agent humain réalise la troisième en demandant d’incliner la carte et de tourner la tête.

Chaque volet a son propre mode de défaillance. Un document falsifié ou retouché numériquement déjoue le premier. Un visage substitué sur la vidéo en direct de l’attaquant déjoue le deuxième. Un flux rejoué ou généré déjoue le troisième. Un contrôle renforçant un seul volet déplace l’attaquant vers un autre, et les fournisseurs parlant d’un score unique décrivent donc un produit plutôt que le problème. Le BSI publie ses avertissements sur l’effet des médias générés sur les procédures d’identification. Le BSI porte aussi le pilier sécurité de l’AI Safety Institute Germany, qui évalue les capacités cyber des principaux modèles d’IA.

Une attaque par présentation se déroule devant la caméra: photo imprimée, masque, écran de téléphone face à l’objectif, doigt en silicone. Le capteur biométrique capture quelque chose de réel, mais pas une personne. Cette catégorie dispose d’une norme. ISO/IEC 30107-3, Technologies de l’information, Détection d’attaques de présentation en biométrie, Partie 3: Essais et rapports, définit l’évaluation d’un mécanisme de détection et classe les attaques connues; son périmètre couvre explicitement les attaques au dispositif de capture biométrique.

Une attaque par injection contourne entièrement la caméra. L’attaquant alimente l’application avec un flux vidéo préparé ou généré là où arrive normalement la sortie caméra, via un pilote de caméra virtuelle, une bibliothèque interceptée ou un client altéré. Rien n’est présenté au capteur, donc un mécanisme évalué selon ISO/IEC 30107-3 n’a pas été évalué contre cela. Le meilleur score de détection des attaques par présentation sur une fiche technique ne dit rien sur l’injection, car les deux attaques entrent à des endroits différents.

Si le flux n’est jamais passé par une vraie caméra, les preuves utiles se trouvent hors de l’image. La détection au niveau de la session et du logiciel demande d’où vient cette vidéo: si la caméra signalée par le système est physique ou virtuelle, si le binaire client est celui livré, si les images portent les caractéristiques du signal d’un vrai capteur, si le délai des réponses correspond à une réaction humaine. Les améliorations rapportées par ID-Pal sont décrites exactement ainsi, avec détection de l’interférence des caméras virtuelles.

Pour les achats, la durabilité de la détection dépend de ses preuves. Les visages générés s’amélioreront encore, et un détecteur entraîné sur les générateurs de l’an dernier sera toujours dépassé, donc un contrôle fondé uniquement sur l’image a une courte durée de vie. Un contrôle établissant aussi la provenance du flux ne dépend pas des progrès du rendu. L’ENISA suit les menaces liées à l’IA dans le panorama européen, et décrit ce schéma pour l’identification.

L’usurpation d’identité utilise les données d’une personne réelle, donc une victime finit par remarquer le problème et porter plainte. Une identité synthétique est assemblée: une combinaison plausible d’attributs n’appartenant à personne, enrichie pendant des mois par de petites opérations régulières jusqu’à ressembler au dossier d’un client ayant un historique. Aucune victime ne se plaint, puisqu’aucune n’existe, permettant à ces comptes de survivre aux contrôles conçus autour d’un client contestant les opérations.

Médias générés et identités synthétiques se rejoignent à l’entrée en relation, lorsque la personne construite sur dossier a enfin besoin d’un visage. Les deux problèmes n’en font alors plus qu’un, réunissant les équipes fraude et identité de l’établissement. La prévention de la fraude en Allemagne couvre les fraudes allemandes auxquelles servent finalement ces comptes, et le paquet européen antiblanchiment encadre l’obligation d’identification.

Toutes deux remplacent le jugement sur une image par une opération cryptographique. La puce d’une carte d’identité allemande détient une clé qu’elle ne divulgue pas et s’authentifie auprès du terminal du prestataire avant de transmettre un attribut, donc la confiance du prestataire repose sur un protocole plutôt qu’une image caméra. Rendre un visage convaincant ne produit pas cette signature. L’identification vidéo en Allemagne compare le niveau de garantie des deux voies.

Une signature électronique qualifiée procède de même côté document, avec un argument autant juridique que technique: elle produit un effet juridique absent d’un scan de page signée, quelle que soit sa qualité. Pour décider d’un produit, la question devient moins celle du meilleur détecteur que celle des preuves à placer hors de portée des médias générés.

Un contrôle d’entrée en relation contourné constitue un incident, et, dans un établissement financier allemand, les critères de classement DORA et les obligations GwG déterminent s’il doit être déclaré. L’établissement doit pouvoir expliquer les faits, les clients touchés, le moment de détection et les changements consécutifs, donc les preuves de session doivent être conservées sous une forme résistant à l’enquête.

Cette obligation de conservation mérite d’être prévue avant l’incident. DORA en Allemagne couvre les dispositifs de déclaration et de classement, et le KYC en Allemagne l’obligation d’identification dont la violation serait déclarée. Dans les cas décrits par les établissements, la défaillance pratique concerne rarement la détection, mais personne n’a conservé assez de données de session pour prouver quels comptes ont suivi la même voie.

Chaque contrôle ajouté fait perdre des clients abandonnant en cours de route, donc il doit coûter davantage à l’attaquant qu’à vous. Ce calcul a changé lorsque générer un visage convaincant n’a plus nécessité de spécialiste: moins une tentative coûte, plus elles affluent, et un contrôle calibré pour des attaques rares et coûteuses réagit autrement face au volume.

Deux chiffres comptent, sans qu’aucun soit un taux de détection. Le premier est la valeur d’un compte obtenu pour l’attaquant, qui détermine ses efforts. Le second est le coût de la tentative, sur lequel vos contrôles agissent réellement. Le rapport iProov sur les établissements financiers et les deepfakes avance l’argument connexe qu’un contrôle unique à l’entrée en relation laisse la suite sans protection, appliquant la même économie au temps plutôt qu’à l’argent.

Une attaque par injection biométrique injecte un flux vidéo ou d’images préparé directement dans l’application, à l’arrivée normale de la sortie caméra, au lieu de présenter quelque chose à la caméra. Les voies comprennent un pilote de caméra virtuelle, une bibliothèque interceptée et un client altéré. Aucun capteur ne capturant quoi que ce soit, la détection d’attaques par présentation évaluée selon ISO/IEC 30107-3 ne couvre pas cette attaque.

La détection du vivant arrête les attaques atteignant la caméra et constitue le contrôle approprié. Face à un flux injecté, elle répond à une question jamais posée, car les preuves du vivant tirées des images ne sont pas plus fiables que l’affirmation de leur origine caméra. Un contrôle établissant aussi la provenance du flux couvre les deux.

Une identité synthétique est une personne construite qui n’a jamais existé, assemblée à partir d’attributs et vieillie par une activité réelle. Un deepfake est un média généré. Les deux se rejoignent lorsque le dossier synthétique doit passer un contrôle facial, donc les établissements les traitant séparément retrouvent les mêmes comptes dans les deux programmes.

L’obligation de déclaration dépend des conséquences du contournement, et les critères de classement des incidents DORA avec les obligations GwG apportent la réponse, plutôt que l’appréciation interne de la gravité. La règle fiable consiste à conserver les preuves de session pour permettre le classement, puisqu’un établissement incapable de reconstituer les comptes passés par une voie ne peut répondre à la première question du superviseur.