梆梆资讯

梆梆资讯

梆梆观点 | 人脸识别绕过常见攻击与防护

2022-06-17

6月15日下午,由中国信息通信研究院云计算与大数据研究所发起的“可信人脸应用守护计划”组织的线上技术沙龙顺利召开。本次沙龙围绕“注入攻击的新威胁”和“防御注入攻击的新手段”两大热门话题进行主题演讲和经验交流。梆梆安全作为首批成员单位受邀出席并作主题分享。

结合当前人脸识别绕过的发展情况,梆梆安全售前技术专家张斌,从人脸识别技术风险、人脸识别核心攻击点分析、人脸识别业务场景安全解决方案三个方面,结合具体案例及技术分析,进行人脸识别绕过常见攻击与防护的分享。

 人脸识别技术风险分析

随着数字化转型的稳步推进,人脸识别技术在社会发展和日常生活中被广泛应用,尤其在金融、政务、医疗、安检、支付、文娱等诸多领域和场景发挥重要作用。

通过人脸认证是否为本人交易,其技术表现形式为:APP通过人脸识别结合本人身份证信息进行比对,验证是否是本人。

主要典型风险场景

银行业线上开II及III类账户、保险退保和理赔、保险行业线上员工考勤考核、健康码认证、人脸认证找回密码、人脸认证查询信息、大额转账及额度升级、挂失解绑场景等。

业务风险 

攻击者能够使用多种不同的攻击技术,利用在黑灰产界获取的一批真实身份证及照片信息,绕过现有APP的人脸活体检测等前端校验机制,盗用他人信息完成非本人在场实现业务交易,最终实现虚假开卡、虚假开户、虚假签到、账号及信息窃取等业务违规目的。

合规风险

业务违规将会对企业的业务安全及合规造成重大风险,如违规开银行账户导致的监管合规风险;

监管部门需要不断加大人脸识别场景风险排查力度,而企业如何排查,人脸识别风险到底有哪些,需要在哪些方面进行防护,诸多新增的挑战无疑会造成沉重的合规负担。

 

人脸识别核心攻击点分析

 

人脸识别技术被攻击的核心问题在于:客户端可信环境极易被破坏,导致数据采集、数据传输过程中无法得到真实、可靠的人脸数据,致使后端服务器能够被欺骗。

 

 

 

本质上人脸识别是一种认证手段,人脸识别欺骗技术的核心思路是:针对和认证相关的业务场景。

 

人脸识别欺骗技术的实现是通过破坏信任链,利用图像采集技术路径上的所有节点尝试攻击。

 

 

在本次主题分享中,张斌就内核层替换技术、系统层替换技术、APP内存数据替换技术、流量层替换技术、业务逻辑漏洞的具体攻击方法与特点进行了详细介绍,并逐一提供了与攻击技术对应的监测检查手段。

 

内核层替换监测

 

 

1. 针对系统的ROM的特征进行检测,通过社工手段收集市面上出现过的定制ROM的特征,进行特征匹配。

2. 针对系统的lib库进行检测,收集大量真实设备的lib库信息,进行匹配检测。

 

系统层、APP内存数据替换检查

 

 

1. 针对应用层接口进行监测。

2. 针对系统层接口关键函数进行监测。

 

人脸识别业务场景安全解决方案

 

梆梆安全针对人脸识别业务场景,从预防、事前、事中、事后阶段提供前端安全的全链路动态防护体系。

 

 

 

预防阶段:利用人脸识别专项安全评估技术,可对APP人脸识别绕过风险进行完整性评估工作。

 

事前阶段:利用APP安全加固与通信数据加密技术,能够实现防止应用破解、防止数据抓包篡改及防止业务漏洞。

 

事中阶段:通过非法应用检测、系统环境监测及攻击行为分析,可实现对APP运行过程进行全方位监测,达到全面覆盖前端攻击点并及时阻断攻击行为。

 

事后阶段:攻击溯源技术,进行追根溯源,确定目标账号,并提供详细的风险分析报告,还可以进一步实现策略调整及算法调优。

 

从技术上分析APP人脸识别业务场景,它属于典型的APP前端不可信风险场景。服务端的传统校验机制需要相信前端的执行结果及信息采集,而APP的前端不可信风险远不止人脸业务风险场景。

 

因此,梆梆安全建议客户针对APP前端可信应建立长效的监测防御机制,即在现有的静态保护(加固)基础上,建立APP运行时监测机制(威胁感知),及时发现前端传输、应用、系统、ROM等各层面的安全风险,与风控/反欺诈等业务系统形成联动,增强前端风险的监测、预警、处置、溯源能力。

 

 

友情链接:

京公网安备 11010802024511号

Copyright ©2022. All Rights Reserved 京ICP证160618号  京ICP备11006574号-1