移动人脸识别安全攻防对抗之旅.pdf

1、移动人脸识别安全攻防对抗之旅演讲人：谭桂涛自我介绍谭桂涛中国工商银行安全攻防实验室核心成员日常主要负责移动安全攻防技术的研究、应用安全测试及漏洞挖掘；跟随队伍参加攻防演练及安全相关比赛；黑灰产攻防对抗研究等2022年“金融密码杯”全国密码应用和技术创新大赛挑战赛及正式赛双冠军；“2023年度首期移动互联网APP产品安全漏洞技术沙龙”演讲嘉宾；多次参加国家安全演练，成功入选公安部优秀技战法，得到国家网络与信息安全通报中心的通报表扬。为什么来？归源，智变！目录/CONTENTS人脸识别的前人脸识别的前世今生世今生攻防对抗之旅攻防对抗之旅常见的防护策常见的防护策略和思路略和思路总结与展望总结与展望人

2、脸识别的前世今生人脸识别技术最早是源自科幻小说和电影中的构想。伍德罗威尔逊布莱索（Woodrow Wilson Bledsoe）是世界公认的人脸识别之父早在20世纪60年代，布莱索发明了一个系统，可以使用平板电脑手工整理人脸照片。人们可以使用这个系统来手动记录面部特征的坐标区域，比如眼睛、鼻子、嘴巴和发际线等。1988年，Sirovich和Kirby开始使用线性代数来解决人脸识别问题。1993年至2000年期间，DARPA（美国国防部高级研究计划局）和NIST（美国国家标准与技术研究所）发布了FERET计划，以鼓励商业人脸识别市场。2002年，执法人员将人脸识别应用于关键技术测试。国内人脸识别

3、最早是应用在安防领域。2001年公安部门开始利用人脸识别技术防范和打击重大刑事犯罪，伴随着2008年北京奥运会和2010年上海世博会的成功举办，人脸识别技术得到了更加广泛的关注，国内各大公司也开始争相加入该技术的研究，人脸识别技术在国内开始了大规模的应用和发展。人脸识别的前世今生人脸识别技术应用领域：安防领域；金融领域；教育领域；医疗领域；商业领域等。人脸识别技术发展的阻碍和威胁：隐私泄露；误判率高；歧视性强；安全风险。梳理移动端人脸识别刷脸流程，全面排查风险业务流程跟进黑产作案设备更新，同步提升防护攻防设备持续深入技术研究，动态的技术博弈技术手段灵活选择不同的攻防介质，拓展攻防场景攻防介质攻

4、防对抗之旅1234攻防对抗之旅打印照片攻击打印照片攻击视频转录攻击视频转录攻击摄像头劫持攻击摄像头劫持攻击代码劫持攻击代码劫持攻击报文篡改攻击报文篡改攻击人脸融合攻击人脸融合攻击高精度伪造攻击高精度伪造攻击交互活体检测交互活体检测现场人脸采集现场人脸采集人脸特征上送人脸特征上送静默活体检测静默活体检测人脸比对人脸比对人脸识别全流程均存在一定的安全风险！攻防对抗之旅人脸识别安全攻防介质指的是照片或视频，黑灰产对应的概念叫做”物料“，攻击者拿到受害人的照片或者视频等介质，就可以利用一些技术手段实现人脸识别的破解。1.无介质：无需照片或视频，完成人脸识别的破解2.单照片：仅需要一张受害人的照片，即可

5、突破人脸识别3.多照片：需要受害人的基准照、动作照等一组照片，从而突破人脸识别4.单视频：获取到受害人人脸的一段视频，即可突破人脸5.多视频：将受害人视频切割成不同的动作视频，突破人脸识别攻防对抗之旅人脸识别破解是黑灰产常见的需求之一，常见的作案设备：真机：定制真机：定制ROMROM模拟器：模拟器：雷电模拟器、夜神模拟器、逍遥模拟器等云手机：云手机：河马云手机、多多云手机、红手指云手机等攻防对抗之旅云手机人脸识别测试流程：1.下载并安装云相机APP2.云手机显示云机识别二维码3.测试手机使用云相机扫描，完成绑定4.两端配合完成人脸识别攻防对抗之旅移动人脸识别安全攻防对抗的本质也是移动APP的安

6、全攻防对抗！常规的移动APP攻防对抗技术手段：1.抓包2.Hook/调试3.二次打包使用BurpSuite等抓包工具对人脸识别的相关网络报文进行截获，在前后端报文未加密的情况下，可以对报文中对应的照片进行替换，从而实现人脸识别的绕过和破解。当然，也可以尝试对返回报文中的人脸对比结果进行篡改，可能实现瞒天过海，让APP误以为通过人脸识别。攻防对抗之旅逆向分析某APP，可明显看到其刷脸对应的Activity中定义了一个onFaceVerify函数，继续阅读代码可看到最终会获取到一张照片传递给下一个Activity进行人脸对比。所以，我们只要能够HookgetHighQualityFaceImage