Viele Finanzinstitute und ihre Plattformen verlangen von den Nutzern Selfies und Videos als Nachweis für die Gesichtserkennung oder den sogenannten „Liveness-Test“. Das Problem: Diese Überprüfungen haben sich als äußerst anfällig für Deepfake-Angriffe erwiesen. Mit anderen Worten: Ein böswilliger Akteur kann sein Gesicht in Echtzeit durch ein anderes ersetzen, Identitäten stehlen oder gefälschte Konten erstellen. Das Sicherheitsunternehmen Sensity hat die Robustheit dieser Systeme mit einem Tool namens Dot oder Deepfake Offensive Toolkit getestet – und wenn Sie etwas Erfahrung mitbringen, können Sie eine Kopie von GitHub herunterladen …
Machen Sie ein Foto, drehen Sie den Kopf zur Seite, drehen Sie ihn zur anderen Seite, lächeln Sie! Dieser Ritus ist in vielen mobilen Apps und Plattformen für Dating / Krypto / Homebanking zur „Kundenidentifizierung“ oder KYC (so nennt man es auf der anderen Seite des Teiches) verpflichtend. Kunden mit Grundkenntnissen in IT-Sicherheit fragen sich unweigerlich, was die Institutionen mit diesen Daten machen und wie sie sie schützen, aber dazu kommt noch ein weiteres Problem: die allgemeine Integrität der Systeme.
Das Sicherheitsunternehmen Sensity ist auf Angriffe mit KI-generierten Gesichtern spezialisiert – Deepfakes. Diese Deepfakes werden verwendet, um Identitätsdokumente zu fälschen und in einen Videostream mit einer virtuellen Kamera einzuspeisen, die die Gesichtserkennung überwindet. Sensity führte Tests bei den Top-10-Anbietern (unter Geheimhaltungsverträgen) durch, und die Angriffe waren in 90 Prozent der Fälle erfolgreich. Der Schlüssel zu diesem Ergebnis ist Dot, Deepfake Offensive Toolkit.
Deepfake Offensive Toolkit: Deepfake-Generator für Sicherheitsaudits
Eine der Überraschungen für das Unternehmen war die schwache Resonanz seitens der Anbieter, die wahrscheinlich auf die natürlichen Schwierigkeiten bei Installation, Ausführung und Konfiguration von Dot zurückzuführen ist. Wer auf der Suche nach einer „Ein-Klick-Lösung“ mit einer angenehmen und benutzerfreundlichen Oberfläche ist, wird enttäuscht sein, aber wir haben in der Vergangenheit gesehen, was einige Experten mit ein wenig Code anfangen können. Was heute wie ein Albtraum aus Dateien und Abhängigkeiten erscheint, kann morgen zu einem einsatzbereiten Werkzeug werden.
Nun, es stimmt, dass nicht alle Umgebungen verwundbar sind. Jedes Gesichtserkennungssystem, das Tiefensensoren nutzen kann (denken Sie an Face ID von Apple), wird gegen diese Angriffe immun sein – aber die 90-prozentige Effektivität ist dennoch besorgniserregend. Der Code von Dot wurde zu „Demonstrations- und Forschungszwecken“ veröffentlicht, und alle relevanten technischen Details sind im offiziellen GitHub-Profil veröffentlicht. Abschließend empfehle ich etwas Geduld, denn der Download umfasst insgesamt etwa drei Gigabyte.
Offizielle Website und Download: Hier klicken
Quelle: The Verge
