Cât de unic este un „NeuralHash”?

Am citit azi despre o mare companie de tehnologie care plănuiește să implementeze un nou sistem pentru detectarea și raportarea automată a CSAM în fotografiile utilizatorilor. În general, sistemul descris în rezumatul tehnic de 12 pagini pare să fie proiectat destul de bine și poate fi cât mai aproape de confidențialitate reală, permițând în același timp supravegherea conținutului.

Acestea fiind spuse, hackerul din mine nu se poate abține să nu se simtă puțin alarmat când aude despre excepții de la ceea ce altfel ar putea fi criptarea end-to-end (nu că stocarea lor foto este anunțată ca fiind criptată end-to-end pentru a începe cu, cu toate acestea, prezentarea lor tehnică spune că toate fotografiile sunt criptate cu aâprag de rupereâcheie generată aleatoriu de dispozitivul utilizatorului). Prin urmare, am venit aici pentru a sublinia ceea ce văd ca fiind cel mai realist atac asupra puterii criptografice/garanțiilor de confidențialitate ale acestui sistem și pentru a afla (sper) de ce greșesc sau ce am trecut cu vederea.

Să presupunem că această companie suferă vreodată o încălcare a datelor: o situație puțin probabilă pentru început, dar nu nemaiauzită. Ca urmare a acestei încălcări a datelor, fotografiile multor utilizatori (în format criptat) sunt scurse.Dacă ar exista o adevărată criptare end-to-end, aceasta nu ar fi o problemă majoră de confidențialitate, deoarece toate fotografiile ar fi criptate cu o cheie cunoscută numai de dispozitivele utilizatorilor finali și, prin urmare, nu ar fi decriptabile în mod realist de către nimeni de pe site. Internet.

În acest nou sistem, însă, am înțeles că fotografiile, sau cel puțin lor derivate vizuale ( pentru care nu am putut găsi o definiție totuși presupun este similar cu miniaturile), sunt criptate de două ori, stratul exterior fiind criptat de o cheie derivată din NeuralHash-ul fotografiei.

NeuralHash este descris ca un algoritm de hash capabil să furnizeze același hash pentru aceeași imagine, chiar și după ce imaginea a fost supusă decupării, redimensionării, ajustărilor de culoare, compresiei etc.

Pentru a cita o parte din rezumatul tehnic:

Scopul principal al hash-ului este de a se asigura că imaginile identice și similare din punct de vedere vizual au ca rezultat același hash, iar imaginile care sunt diferite una de cealaltă duc la hashuri diferite. De exemplu, o imagine care a fost ușor decupată sau redimensionată ar trebui să fie considerată identică cu originalul și să aibă același hash.

Acest lucru este grozav în teorie, deoarece înseamnă că toate fotografiile (probabil unice) făcute de utilizatori vor fi criptate cu secrete puternice, unice, păstrându-le private și în siguranță.

Dar, ce se întâmplă când un utilizator stochează o fotografie care nu este unică? De exemplu, o captură de ecran de pe un site web popular, un meme care circulă pe internet etc.? Ce poate împiedica un atacator să genereze un NeuralHash de meme populare, să obțină o cheie, apoi să forțeze datele scurse până când decriptează cu succes o intrare, verificând astfel conținutul din biblioteca foto cloud a unui anumit utilizator și degradându-i nivelul de confidențialitate?

Sau, pentru un alt exemplu, să spunem atacatorul iubiri mere și chiar vrea să găsească fotografii cu mere.Ce îi împiedică să aibă un AI să genereze câteva milioane de fotografii ale unui măr, să le trimită, să obțină chei și apoi să forțeze scurgerea probabil mare până când găsește o potrivire? Nu poate fi acea multe permutări ale unui măr, se poate? Desigur, nu veți găsi toate fotografiile cu mere, dar aș crede că ați putea obține cel puțin niste potriviri decriptabile.

Această companie însăși chiar dezvăluie într-unul dintre lucrările sale că există o șansă diferită de zero de rezultate false pozitive atunci când vine vorba de potriviri și că, prin urmare, a introdus partajarea secretă a pragului (adică nevoia de a avea mai multe potriviri la „cunoscut-rele” lor. „baza de date înainte ca nivelul lor interior de criptare să poată fi spart... mai multe despre asta în continuare), pentru a reduce șansa de fals pozitive până la unul la un trilion. O șansă semnificativ mai mică de o într-un trilion de a avea o potrivire fals pozitivă pentru orice, având în vedere sunetele foto în raza bruteforceable pentru mine, mai ales dacă știți deja ce tip de fotografie căutați.

Pe o notă finală, există un strat interior de criptare de prag care, practic, necesită ca straturile exterioare ale mai multor fotografii să fie decriptate înainte ca cheia pentru decriptarea stratului interior să poată fi construită. Dar încă o dată, în funcție de dimensiunea pragului (care trebuie să fie destul de mică, deoarece trebuie să fie mai mică decât o cantitate realistă de CSAM pe care ar putea-o avea cineva), nu pare un obstacol mare: trebuie doar să găsești un utilizator care are, să zicem, zece meme comune stocate în întreaga bibliotecă de stocare a fotografiilor în cloud și acum ați construit acea cheie. Potrivit hârtiei, aceeași cheie este folosită peste tot toate a fotografiilor unui utilizator pentru primul strat de criptare.

La sfârșitul zilei, văd garanțiile de securitate și confidențialitate ale acestui sistem în cazul unei încălcări a datelor atârnând de unul, principalul lucru: NeuralHash.

Dacă NeuralHash are o rată de fals pozitive suficient de mare și poate fi proiectat invers sau se scurge sau este făcut public (dacă nu este deja), atunci această companie majoră de tehnologie poate garanta cu adevărat utilizatorilor săi că fotografiile lor private vor rămâne necondiționat private, atâta timp cât nu sunt CSAM? Ce protecții criptografice am trecut cu vederea, care fac imposibil un atac ca cel descris mai sus? Ce îmi lipsește? Vedeți alte posibile defecte?

Actualizare: nu eram sigur dacă se consideră acceptabil sau nu denumirea în mod specific a companiei, așa că am decis să greșesc precauția și să nu fac acest lucru. Acestea fiind spuse, am văzut câteva comentarii care cereau sursa, deci aici este. Sper ca asta ajuta!

Adăugarea moderatorului (2021-08-19): Există detalii tehnice în Abhishek Bhowmick, Dan Boneh, Steve Myers: Apple PSI System - Protocol de securitate și analiză. Este unul dintre numeroasele documente legate acum în partea de jos a această pagină.

Citatul întrebării despre NeuralHash spune:

Scopul principal al hash-ului este de a se asigura că imaginile identice și similare vizual au ca rezultat același hash, iar imaginile care sunt diferite una de cealaltă au ca rezultat diferite hash-uri. De exemplu, o imagine care a fost ușor decupată sau redimensionată ar trebui să fie considerată identică cu originalul și să aibă același hash.

Aceasta este Mințiți-i copiilor. Este imposibil să se realizeze ceea ce este declarat ca scop.O presupunere esențială este lăsată nedeclarată: că imaginile nu sunt create pentru a învinge scopul. Și chiar și atunci vor exista excepții.

Mai precis, poate fi realizat

1. Negative false: în mod inevitabil, este ușor să expuneți imagini similare vizual cu NeuralHash diferit. Dovada: date oricare două imagini vizual diferite $A$ și $B$, tehnica cunoscută ca morphing creează o listă de $n$ imagini $C_i$, cu $C_1=A$ și $C_n=B$, astfel încât pentru toți $i$ în $[1,n)$ imaginile $C_i$ și $C_{i+1}$ sunt similare vizual, într-o măsură arbitrară. Dacă vreo pereche de imagini similare vizual avea același NeuralHash, $A$ și $B$ ar avea același NeuralHash (pentru că egalitatea este tranzitiv), contrazicând un scop declarat. Astfel, egalitatea NeuralHash pentru $C_i$ și $C_{i+1}$ este stricat pentru unii $i$.

   Se pare că, există chiar și un artefact¹ care face ca NeuralHash să producă uneori diferite NeuralHash-uri pentru exact aceeași intrare¹ pe mașini diferite!

2. Fals pozitive: Se pare că, este posibil să expuneți două imagini diferite vizual cu exact același NeuralHash. Mai rău, pornind de la o imagine a pisicii și NeuralHash a unei imagini de câine, este raportat că este fezabil să se creeze o imagine care să aibă NeuralHash-ul imaginii câinelui, dar pentru un spectator uman este în mod clar imaginea pisicii (OK, afișată cu un videoclip greșit). șoferii, dar așa cum se spune atribuite NSA spune: âAtacurile devin mereu mai bune; nu se înrăutăţesc niciodată.â); și, important, imaginea câinelui în sine nu este necesară.

   Acesta este echivalentul hash perceptiv al unui prim și al doilea atac preimagine, deci și o coliziune. Intrarea sa constă dintr-un NeuralHash și o imagine țintă fără legătură pentru a imita perceptiv.Fezabilitatea unui astfel de atac face necesară păstrarea secretă a listei NeuralHash-urilor aflate pe lista neagră: nu există nicio altă barieră tehnică care să îi împiedice pe mulți oponenți ai sistemului să-l copleșească sub fals pozitive, fără a fi nevoie să manipuleze imaginile interzise.

Ar părea plauzibil să reparați în mare parte 1 (și artefactul de implementare raportat) prin înlocuirea „același” cu „similar într-o toleranță”, pe tonul de: diferă de cel mult $b$ biți. Cu toate acestea, nu cred că s-a făcut, deoarece Pragul PSI-AD și Prag fuzzy PSI-AD protocoalele preconizate realizează potriviri hash exacte. Cred că această constrângere de potrivire exactă va face imposibilă repararea fals-pozitivelor NeuralHash în ipoteze adverse, menținând în același timp că modificările vizuale minore non-adversariale modifică rareori NeuralHash.

Eludarea din punct de vedere tehnic a sistemului folosind NeuralHash ar fi ușoară: nu am văzut este revendicat, dar nu m-aș mira dacă ar fi fezabil să schimb o imagine, fără nicio modificare vizuală, într-una cu un NeuralHash care diferă cu câteva (aleatorie). ) biți, evitând astfel detectarea. Presupun că acest rezultat final poate fi atins și prin lipirea imaginilor interzise una lângă alta într-una mai mare. Și cu siguranță se ajunge la criptare la nivel de aplicație sau/și steganografie.

Concluzie

NeuralHash nu funcționează așa cum este anunțat în ipotezele standard în criptografie și securitate IT: că este public și este atacat. Ceea ce este probabil.

Astfel, sistemul automat de cenzură la domiciliu care utilizează NeuralHash nu poate fi robust. Este ușor de ocolit; și este vulnerabil la un anumit grad de refuzare a serviciului cu rezultate false pozitive dacă NeuralHashes pe lista neagră se scurg. Cu toate acestea, ar putea avea succes la raportarea prezenței unor materiale interzise și la protejarea promotorilor acestuia de răspunderea legală.

¹ Se presupune că acest lucru se datorează detaliilor despre virgulă mobilă.Unul exemplu raportat are 9 biți din 96 care diferă, fără o relație evidentă între poziția lor. Asta mi se pare o mare discrepanță. Poate că raportul este greșit, sau pentru o versiune de pre-lansare a NeuralHash, sau pentru o intrare patologică. Sau algoritmul este instabil din punct de vedere numeric, o problemă cunoscută cu algoritmii de rețele neuronale profunde obținuți prin antrenament: este greu (și, de obicei, nu se încearcă) să analizeze modul în care funcționează de fapt. Dacă se întâmplă să-și fi atins obiectivul printr-o funcție cu mult câștig de intrare/ieșire, sau în funcție de o depășire sau trunchiere, algoritmul poate fi degradat atunci când unele detalii FPU se modifică, trebuie ca o funcție care repetă harta logistică.

de la Apple Algoritmul Neural Hash a fost inginerie inversă și a fost raportată prima coliziune.