생체 인증의 승인·거부 한 비트만으로도 보호된 템플릿이 복원된다

무엇인가

이 논문은 생체 인증 시스템의 템플릿 보호가 실제로 얼마나 버티는지를 묻는다. 유럽 GDPR과 ISO/IEC 24745는 생체 템플릿에 비가역성(unlinkability·irreversibility·renewability)을 요구하고, 최근 시스템은 동형암호(FHE)로 암호화된 상태에서 매칭을 수행한다. 1세대 FHE 시스템은 암호문 도메인에서 계산한 유사도 점수(제곱 유클리드 거리나 코사인 유사도)를 그대로 반환했고, 이후 시스템은 임계값 비교까지 보호 도메인 안에서 수행해 승인/거부 한 비트만 돌려준다. 저자들의 질문은 명확하다. 최소한의 피드백만 주는 시스템에서도 템플릿이 복원되는가. 답은 '그렇다'이고, 그 이유는 인증 결정이 특징 공간에 기하학적 제약을 남기기 때문이다.

어떻게 동작하나

위협 모델은 반정직(semi-honest) 서비스 제공자와 블랙박스 인증 인터페이스다. 공격자는 특징 추출기는 가지고 있지만 암호화된 템플릿은 복호화할 수 없고, 임의의 특징 벡터를 질의로 던져 점수 또는 승인/거부만 받는다. 점수 기반 공격은 대수적으로 정리된다. 제곱 유클리드 거리 시스템에서는 d+1개의 독립 질의로 비선형 연립방정식을 만들고, 마지막 식을 나머지에서 빼면 공통의 ‖f‖² 항이 소거되어 d개의 선형 방정식이 된다. 코사인 유사도 시스템은 특징 벡터가 단위 노름으로 정규화되어 있어 질의 하나가 곧 선형 방정식이 되므로 d번이면 충분하다.

무엇과 다른가

핵심 기여는 이진 피드백만으로 복원하는 첫 공격이다. 제곱 유클리드 거리에서는 승인 영역이 목표 템플릿을 중심으로 한 반지름 T의 구이므로 문제는 '구의 중심 찾기'로 환원된다. 먼저 승인되는 점 c를 하나 찾고(평균 1/FMR회 질의), 무작위 방향으로 2T만큼 이동해 구 밖의 점을 만든 뒤, 안쪽 점과 바깥 점 사이에서 이진 탐색을 P회 돌려 경계면에 수렴하는 점을 얻는다. 이를 d+1번 반복하면 모든 거리가 T인 연립방정식이 완성된다. 총 질의 수는 1/FMR + P(d+1). 코사인 유사도에서는 승인 영역이 단위 초구면 위의 원뿔(구면 캡)이므로, 승인된 벡터를 직교 방향으로 θ = 2·arccos(T) + ε 만큼 회전시켜 원뿔 밖의 점을 만들고, 이진 탐색 중간점마다 재정규화한다. 이렇게 얻은 q_iᵀf = T 제약 d개를 모으면 선형 시스템이 되고, 총 질의 수는 1/FMR + P·d다. 점수 기반 코사인 복원과 점근적 복잡도가 같으면서 피드백은 1비트뿐이라는 점이 이 논문의 뼈아픈 부분이다.

어떻게 쓰나

질의 효율 파트는 두 갈래다. 점수 기반에서는 무작위 가짜 템플릿 대신 실제 템플릿 분포에서 질의를 고른다. 정규화된 템플릿 행렬의 공분산을 고유분해(PCA)하고 분산이 큰 상위 B개 주성분을 질의로 쓰되, 고유값이 임계값 τ보다 작으면 정보가 없다고 보고 데이터셋에서 무작위 템플릿으로 대체한다. 목적함수도 단위 노름 제약(argmin ‖Ax−b‖² s.t. ‖x‖₂=1)에서 분포 제약(argmin_{x∼D} ‖Ax−b‖²)으로 바꾼다. 질의 수가 차원보다 적은 과소결정 상황에서 제약을 만족하는 벡터는 무수히 많지만 그중 생체 템플릿 분포에 속하는 것은 극소수이기 때문에 이 사전지식이 결정적이다. 입력 선택이 불가능한 경우(질의가 무작위 분포에서 샘플링된 경우)에는 확산 기반 사전분포 솔버로 같은 목적함수를 근사한다.

전제와 한계

실험 결과는 강하다. 재구성 손실이 해당 시스템 결정 임계값의 1% 미만인 템플릿 비율로 정확도를 재는데, 두 데이터셋·여러 특징 추출기·두 결정 규칙·여러 FMR 운용점 전반에서 제안 방법은 97.6%~100%를 기록했다. 반면 승인된 점들을 평균하는 베이스라인은 대부분 설정에서 0%, 최선의 경우 4.0%에 그쳤다. 이진 탐색 정밀도 P를 키우면 복원은 수치 정밀도 수준까지 수렴하고, P=20에서 거의 모든 목표가 임계값의 1% 미만 손실에 도달한다. 베이스라인이 실패하는 이유도 분석했는데, 거짓 매칭 점들이 구 중심 주위에 균등 분포하지 않고 특징 공간의 밀도 구조를 따라 몰려 있기 때문에 아무리 많이 평균해도 중심으로 수렴하지 않는다.

질의 효율 수치도 구체적이다. PCA 기반 입력 선택은 모든 질의 예산에서 최저 손실을 기록했고, 약 50회 질의 후 수치 정밀도 수준의 완전 복원에 도달했다. 목표 분포에서 무작위로 뽑은 질의와 비교해 26%~72% 개선, 분포를 전혀 쓰지 않는 기존 베이스라인과 비교해 수치 정밀도 복원까지 약 5배 적은 질의를 요구한다. 무작위 벡터로 방정식을 만들면 질의 500회에서도 손실이 0.14 근처에 머문다는 대비가 함께 제시된다. 이진 피드백 공격에서는 대수적 솔버가 완전 복원에 약 10,000회 질의를 필요로 하는 반면, 확산 기반 사전분포 솔버를 결합하면 약 5배 적은 질의(실험에서 80% 이상 감소)로 같은 정확도에 도달한다. 원문 발췌 범위에서는 평가에 사용된 두 데이터셋의 이름이 명시되어 있지 않다.

개발자 관점에서 이 논문이 말하는 바는 분명하다. 템플릿을 암호화하고 반환값을 1비트로 줄여도, 공격자가 반복적으로 적응형 질의를 던질 수 있으면 인증 인터페이스 자체가 사이드채널이 된다. 저자들이 제안하는 완화책은 엄격한 질의 횟수 제한, 결정 경계를 탐색하는 질의 시퀀스 탐지, 반환되는 점수·결정의 무작위화 또는 섭동, 매칭 임계값에 의도적 불확실성 도입이다. 생체 인증 API를 노출하는 서비스라면 레이트 리밋을 '남용 방지'가 아니라 '암호학적 보호의 전제 조건'으로 취급해야 한다.

한계도 저자들이 직접 밝힌다. 공격은 인증 시스템에 대한 블랙박스 접근과, 경우에 따라 동일한 특징 추출기로 생성된 데이터셋 접근을 전제한다. 더 엄격한 제약, 분포가 어긋난(mismatched) 상황, 능동적 질의 탐지가 있는 시스템에서의 견고성은 추가 연구가 필요하다고 인정한다. 향후 과제로는 얼굴 인식 외에 지문·홍채·음성 임베딩으로의 확장과, 정확한 특징 추출기 대신 대체(surrogate) 추출기를 쓰는 전이 공격 가능성 탐색을 꼽는다.