В рамках конференции AntiFraud Russia 2019 состоялся круглый стол «Биометрия против фрода и фрод против биометрии», оставивший больше новых вопросов, чем было получено ответов на старые вопросы
В самом начале мероприятия выяснилось, что в ФНС России «зарегистрировался» в качестве самозанятого американский гражданин Илон Маск. «Помогли» ему в этом нелегком деле специалисты из компании Oz Forensics, которые не поленились и сняли на видео все перипетии этого процесса.
Процесс регистрации человека в мобильном приложении ФНС, которое, как выяснилось в ходе дискуссии, не соответствует никаким современным нормам защиты в процессе биометрической идентификации, при помощи Photoshop становится увлекательным занятием. Несколько «морганий» Маска для обхода теста на Liveness — и он уже будет что-то «должен» ФНС по итогам отчетного периода.
Казалось бы, ход дальнейшей беседы должен был пойти о рекомендациях налоговикам, но не тут-то было. Ведущий круглого стола Алексей Лукацкий, бизнес-консультант по безопасности Cisco Systems, наконец дождался своего звездного часа и увел разговор в другую сторону, а ФНС осталась у него в долгу.
Незадолго до конференции он написал в своем блоге: «Меня эта тема интересует последние пару лет, когда только появилось первое приложение DeepFake и когда Банк России стал семимильными шагами внедрять Единую биометрическую систему (ЕБС). Когда ЦБ выпустил свое Указание 4859-У, я надеялся, что там такого рода угрозы найдут отражение… Была надежда, что в 321-м приказе “МинЦифры” или в МР-4 Банка России включат раздел про нейтрализацию таких угроз, но увы. Самое неприятное, что на различных мероприятиях или в соцсетях, где присутствуют участники процесса, связанного с ЕБС, упорно обходят молчанием эту тему, даже если им задаешь напрямую вопрос о том, как бороться с этой проблемой».
И вот на сцене сидят в креслах и готовы к обсуждению: Тимур Шаповалов, директор проектов компании Ростелеком; Василий Мамаев, заместитель директора НП «Русское биометрическое общество»; Артем Герасимов, генеральный директор компании Oz Forensics; Артем Харченко, руководитель отдела предотвращения мошенничества Тинькофф Банка, и Олег Ковпак, директор по продуктам компании ID R&D.
Наверняка с первой попытки вы догадаетесь, кому первому было предложено прокомментировать ролик Oz Forensics. Трудно сказать, удовлетворился ли ответом Тимура Шаповалова Алексей Лукацкий или нет. Ростелеком занимается важным государственным проектом под названием ЕБС, который потребует массы усилий по доработке в будущем. Возможно, они приведут к должным результатам.
А пока несколько фраз другим участникам дискуссии. По словам Артема Харченко, «Тинькофф» не доверяет ЕБС по причине непрозрачности системы, считая ее «черным ящиком». В «Русском биометрическом обществе» вообще не понимают, зачем нужна Единая биометрическая система, если есть Сбербанк. А на просьбу Лукацкого поднять руку тем, кто, не являясь банкиром и сотрудником Ростелекома, сдал биометрию, никто не откликнулся.
Но надо отдать должное, никто далее не стал метать критические стрелы в сторону Тимура Шаповалова. DeepFake — это общая беда, поэтому эксперты сосредоточились на обсуждении техник злоумышленников, специализирующихся на фроде и обходе биометрических систем идентификации и аутентификации.
В этой части дискуссии главным ньюсмейкером выступил Олег Ковпак, рассказавший и проиллюстрировавший, что такое морфинг — визуальный эффект, создающий впечатление плавной трансформации одного объекта в другой. Используется в игровом и телевизионном кино, в телевизионной рекламе, а теперь морфинг стал оружием в руках злоумышленников. Более того, к нему добавились синтезированные изображения…
Чем опасны рассмотренные технологии Adversarial Attacks? Например, тем, что из двух разных лиц можно синтезировать третье. С этим фейковым лицом можно зарегистрировать паспорт, который в системах распознавания фотографий будет валидным как для первого, так и для другого фото. Первый практический кейс использования такого микса уже случился в Европе, о чем стало известно на одной из конференций по DeepFake в Лондоне.
Опасность исходит и из того, что нейронные сети довольно легко обмануть с помощью наложения на фото специального шума. Человек продолжает видеть панду, а нейронная сеть распознает на изображении гиббона. Это классический кейс, доказывающий несовершенство математических моделей в компьютерном зрении. А вот из новинок в фейлах нейронных сетей спикер привел очки со специальным узором, который люди обычно воспринимают как дизайнерский ход. Но компьютеры далеки от понимания жизни и творческого подхода гениев к модным аксессуарам. «Надев» такие очки на изображение жертвы, хакеры заставляют нейросети детектировать совсем другое лицо.
Несколько «морганий» Илона Маска в фотошопе для обхода теста на Liveness — и он уже будет что-то «должен» ФНС по итогам отчетного периода
Кто виноват и что делать? Олег Ковпак предъявил часть своих претензий Артему Харченко, единственному банкиру на сцене. Многие детекторы можно было бы улучшить, имей их разработчики данные, которые собрали крупные банки. Но последние предпочитают жить своей жизнью и вести собственные разработки.
Однако при всем при этом реальные атаки на биометрические системы как у нас в стране, так и за рубежом, в частности в Индии, — относительно редкое явление. Но это пока. Пока в ЕБС совсем немного зарегистрировавшихся сограждан, сложно ожидать серьезных попыток завладеть тем не многим, чем она богата.
Хотя есть вероятность того, что «в банк придет человек с чужим паспортом, но со своим фото. Зарегистрируется в ЕБС, а затем начнет использовать банковские продукты от чужого имени. Часть вины в этом будет лежать и на ЕСИА, которая также хромает в вопросе проверки подлинности человека». А что делать, если в банк явится тщательно загримированный под кого-то посетитель с «липовым паспортом»?
Но если на вопрос «Что делать?» кое-какие мысли были высказаны в ходе круглого стола, то на другой классический вопрос — «Кто виноват?» — времени не хватило. Поэтому дискуссию о процедуре разбора конфликтов в случае утечки биометрических данных Алексей Лукацкий обещал продолжить. Интересно, кто из персоналий отважится подняться на «подиум» для обсуждения этой крайне чувствительной темы?
По материалам "Банковское обозрение"
