【BTAS 2018】DeepMasterPrints深度万能指纹（论文笔记+全文精读翻译+PPT+PDF注解）

DeepMasterPrints: Generating MasterPrints for Dictionary Attacks via Latent Variable Evolution

深度万能指纹：通过潜变量进化生成用于字典攻击的万能指纹

本来这篇论文是想以阅读笔记的方式分享的，但是人工智能大作业说要翻译一篇论文，因此，我做了全文精细的翻译，配图排版的全文翻译，该论文的PPT，该论文的详细注解PDF，以及和本文相关的一篇论文MasterPrints【PDF】都分享到了我的CSDN下载区域，链接：https://download.csdn.net/download/luolan9611/10885261

PPT缩略图如下：忽略几个紫色的块，实在是有点赶，不太和谐哈哈哈哈。

"万能指纹解锁智能手机"这一亮点足够吸引人的眼球，发表于2018 BTAS会议 （生物识别国际会议：理论，应用和系统）。

首先还是前四条还是以简要的形式带大家粗略看一下这篇论文，第五条是全文精细翻译。

1.引入  2.本文提出的方法LVE  3.实验  4.总结  5.全文精细翻译

1.引入

    2017 年TIFS论文MasterPrint: Exploring the Vulnerability of Partial Fingerprint-Based Authentication Systems，作者Roy等人利用智能手机与其他电子产品所使用的指纹识别系统的漏洞提出了万能指纹的概念，万能指纹指的是能够和大量指纹重合的真实或合成的指纹。因此，攻击者可以利用它们启动一个针对特定主体的字典攻击，从而破坏指纹识别系统的安全性。也就是说，在不获取任何主体指纹相关信息的情况下「伪造」该主体指纹是可以实现的。

   左边的图摘自MasterPrint: Exploring the Vulnerability of Partial Fingerprint-Based Authentication Systems. TIFS2017

Roy等人方法的缺陷：

1.不生成图片。可以从模板重构图片，但一看就是合成的，太假了。

2.他们的方法只适用于基于微小点匹配的识别器，如果匹配器利用的是其它的信息那么就不会这么容易受到攻击了。

本文提出的方法：LVE（Latent Variable Evolution）潜变量进化

        本文要创建一个可以愚弄指纹匹配器的指纹图像，首先不仅要匹配器能识别出是指纹，还要将该指纹匹配到不同的主体。本文将进化优化和GAN相结合，允许神经网络约束搜索空间。

本文提出的方法叫潜变量进化分为两个部分：

1.训练生成指纹图片。

2.搜索潜变量以获得最佳万能指纹。

 

2.本文提出的方法LVE

使用WGAN生成图片，为了确保生成器生成的图片在采样图的范围内，训练分为3个步骤：

1.训练鉴别器判断真实样本为真

2.训练鉴别器判断生成样本为假

3.把鉴别器的梯度提供给生成器，训练生成器生成能被判定为真的图片。

这一训练过程不断重复，直到网络收敛于近似真实数据的分布。

        标准的GAN训练中，真实数据和生成数据之间的分布差异由Jensen-Shannon divergence（JS）metric方法评估，然而这个方法并不会为生成器处处提供梯度。因此本文使用WGAN方法，WGAN使用Wasserstein距离函数的近似测量真实和生成分布之间的差异，因为它处处可微，它为生成器提供了有意义的梯度。

2.1整体框架图

        因为我们的网络采用100个潜变量作为输入，最优解是一百维空间中的一个点。如后面的图所示，LVE采样大量的这些点，将它们转换为图像，然后对图像进行打分，以学习最优点随时间的分布。这些最优点就是DeepMasterPrints的基因型，然后可以将其映射到图像。

2.2指纹生成器

2.3进化优化搜索潜变量空间

3.实验部分

3.1数据集

1.滚动的指纹图片

NIST Special Database 9 fingerprint dataset

该数据集由5400位不同个体的所有10个手指上的指纹构成。每个指纹是一个8bit的灰度图像。在我们的工作中，每个个体的右手大拇指被选中。对图片预处理，移除白色空间，下采样到256*256像素。为了获得部分指纹采样，当图片选中时，一个随机的128*128的区域会被抽取出来。

2.电容式指纹图片

FingerPass DB7 dataset

这个数据集收集了720个受试者每人的12部分指纹，每部分指纹的大小是144*144像素，有500分辨率。这个数据集和Roy等人使用的相同。

图3a显示了与NIST数据集中的滚动指纹有关的部分指纹。 看一下右边的是生成的，很明显生成器已经学会了指纹的一般脊结构。 仔细观察，有些区域看起来很脏。 这很可能是由于数据是从指纹的随机部分生成的，因此生成器很难学习完整指纹的全局形状，尽管在某些情况下它做得很好。 从视觉检查来看，它似乎已经学会了指纹的纹理。

图3b展示了电容指纹的结果，图片上脏的区域更少，脊状结构也被很好的连接。

3.2深度万能指纹

3.3在指纹匹配器Vriginger上的攻击结果

        三个DeepMasterPrints构成了上图的顶部。在1％FMR的最低安全级别，单个Deep-MasterPrint能够匹配数据集中78％的主体，但任何指纹系统都不太可能使用这样的FMR值。 在0.1％FMR下，DeepMasterPrint匹配8.61％的数据集。 这代表了一种更加真实的安全选项，并且导致（FM冒充）匹配的数量远远高于FMR所能达到的预期。 在最高安全级别（FMR 0.01％），攻击结果不是很好，但这是一个不太可能的安全级别，因为它对真正的用户来说是不方便的。

        三个电容式DeepMasterPrints构成了上图的底行。由于所有匹配率都是针对电容数据，因此电容式DeepMasterPrints在视觉上与主体数据相似，而不是滚动的DeepMasterPrints。这应该允许电容式DeepMasterPrints做得比 滚动的DeepMasterPrints。 从表1中可以看出，结果总体上比滚动的DeepMasterPrints好一点。 在0.01％FMR级别，攻击结果要好得多。

3.4扩展对比实验

4.总结

 

 

5.全文详细翻译

摘要

近来的研究表明指纹识别系统对基于万能指纹的字典式攻击表现出脆弱性。万能指纹是能够偶然匹配大量指纹的真实或合成的指纹，能够减少指纹系统的安全性。先前Roy等人的工作生成了特征级别的合成指纹。在这篇工作中，我们生成了完整的图像级别的万能指纹，称为DeepMasterPrints，它的攻击成功率比先前的方法都要高。我们提出的方法称为潜变量进化，是基于在真实数据集上训练出一个生成对抗网络（GAN）。用协方差自适应演变策略（CMA-ES）搜索潜在的输入变量，提供给网络的生成器，使得能够生成匹配不同个体指纹数量最多的万能指纹。本文提出的基本方法在指纹安全和指纹合成领域都有广阔的应用前景。

1.介绍

从指纹解锁门到智能手机指纹支付，指纹越来越多地被用于验证个人身份。在诸如智能手机的一些应用中，由于人体工程学原因[10]，指纹传感器尺寸较小，因此，这些传感器仅获得用户指纹的部分图像。由于指纹的小部分图像不像完整指纹那样独特，因此部分指纹（来自一个手指）与另一个部分指纹（来自不同手指​​）不正确匹配的可能性更高。Roy等人利用了这一观察结果 [25]，他介绍了MasterPrints的概念。 MasterPrints是一组真实或合成的指纹，可以偶然地与大量其他指纹匹配。因此，攻击者可以使用它们来发起针对特定主体的字典攻击，该攻击可能危及基于指纹的识别系统的安全性。这意味着，可以“欺骗”对象的指纹而无需实际获得关于对象指纹的任何信息。

Roy等人 [25]证明MasterPrints可以从真实的指纹图像中获得，也可以使用爬山算法合成。在“模板级”合成的MasterPrints是通过修改指纹模板中的细节点得到的[25,24]。[25,24]中的方法没有生成图像。但是，要在实践中发起欺骗攻击，有必要在“图像级别”构建MasterPrints，然后可以将其转移到物理指纹制作。这一观察促使我们找到一种生成DeepMasterPrints的方法，要使得生成的指纹图像与天然指纹图像在视觉上相似。

要设计DeepMasterPrints，需要有一种可行方法搜索指纹图像的空间。由于并非所有指纹系统都使用细节点[20,21]，因此如果在设计过程中没有明确使用细节信息（不同于[25,24]），则是有利的。现在，神经网络可用于生成合成的指纹图像。特别是，生成对抗网络（GAN）在生成图像再现特定风格或领域方面展现出了巨大的前景[5,8,7]。但是，他们的标准设计是不可控制的。换句话说，除了再现训练数据的风格之外，它们不允许生成器瞄准额外的约束和目标。

对于DeepMasterPrint，我们需要创建一个可以欺骗指纹匹配器的合成指纹图像。匹配器不仅应该意识到图像是指纹（视觉真实感），还应该将指纹图像与许多不同的身份相匹配。 因此，生成器网络必须与搜索DeepMasterPrints的方法相结合。

在本文中，我们提出了一种创建DeepMasterPrints的方法。该技术使用神经网络来学习生成指纹图像。然后，它使用进化优化来搜索神经网络的潜变量空间以用于DeepMasterPrint。协方差矩阵自适应演化策略（CMA-ES）用于搜索已训练好的神经网络的输入空间以获得理想的指纹图像。这种进化优化和生成神经网络的独特组合允许神经网络约束搜索空间，而进化算法处理离散适应度函数。

这是在图像级别创建合成Masterprint的第一项工作，从而进一步增强了在指纹应用中使用分辨率有限的小尺寸传感器的危险。这项工作直接显示了如何执行此漏洞，并能够以0.1％的错误匹配率（FMR）欺骗数据集中23％的主体。在1％的错误匹配率下，生成的DeepMasterPrints可以欺骗数据集中77％的主体。

2.背景

2.1用合成的指纹实施字典攻击

评估指纹识别系统中漏洞的研究是在修复漏洞和发现新漏洞之间不断竞赛[19]。研究人员必须探索新的漏洞，以便修复漏洞[17]。有时，不仅需要证明存在漏洞，而且还要展示如何执行实际攻击[6]。这对于设计安全系统的研究人员来说有两个重要的结果：（a）执行实际攻击允许他们评估这种威胁的直接风险，（b）它为他们提供了一个具体的攻击载体来防范。由于这些原因，围绕MasterPrints漏洞的研究非常重要。

如前所述，MasterPrint是真实的或合成的指纹，可用于冒充多个身份。这种类型的攻击不需要知道特定个体的指纹样本;相反，攻击可以针对匿名受试者发起，但有一定的成功概率[27]。攻击利用了小型指纹传感器的漏洞，这些传感器只对指纹的一部分进行成像。这样的传感器可能不扫描整个指纹，因此只有部分指纹可用。由于要求用户每次都以完全相同的方式放置他们的手指是不切实际的，这些指纹系统通常从同一手指上获取多张指纹，每张指纹是全指纹的一部分。当在验证期间向系统呈现部分指纹时，系统将其与对应对象所登记的所有部分指纹进行比较。如果一个主体在系统中有n个手指并且每个指纹保存了k个部分，系统会和这n×k个指纹逐一匹配，输入图像只需要匹配其中一个，则被宣布身份验证成功。这种设置在拥有小型指纹传感器的消费者移动设备上很常见。

Roy等人[25]表明，MasterPrints可以从真实的指纹中提取，也可以通过合成生成。在后一种情况下，作者合成了细节点模板。指纹中的细节点对应于脊状末端和脊状分叉。每个细节点都表示为一个3元组的值，（x:y:θ），其中（x:y）表示细节的位置,θ表示细节所在的脊的局部方向。作者使用爬山算法迭代地修改和合成可用作MasterPrint的细节模板。爬山过程的目标函数是训练数据库中与合成模板成功匹配的不同指纹模板的数量。然而，他们的方法有两个明显的缺点：首先，它不会生成图像。虽然可以从模板中重建图像[22]，但这些图像具有非常明显的合成外观并且很可能被检测到。其次，他们的方法主要适用于基于细节点的匹配器。利用其他信息（例如，本地脊线频率和方向）的匹配器可能不易受这种合成细节点模板的影响。

    在这篇工作中，我们直接生成了图片而不是细节点模板。生成图片而不是模板的一个优点是，从理论上有可能为任何接受图片的指纹系统设计深度万能指纹。进一步讲，攻击可以通过将指纹图片转换成指纹而发起。

2.2图像生成

最近，神经网络在合成图像生成方面取得了快速进步。一些最流行的图像生成方法是全可见信念网络（FVBN），变分自动编码器（VAE）和生成性对抗网络（GAN）[7]。像PixelRNN这样的FVBN一次产生一个像素，类似于文本生成，但在输出中通常会产生噪声。另一方面，VAE倾向于产生非常平滑的输出。目前的GAN方法被认为产生的结果比FVBN具有更少的伪影和比VAE更清晰的图像[7]。最后，只要这些方法生成高质量的指纹图像，就可以在这项工作中使用这些方法。

GAN学习以无人监督的方式生成图像。GAN有两个部分：生成器和鉴别器。生成器通常是输入随机噪声并输出图像的神经网络。鉴别器通常也是神经网络，它输入图像并将其分类为“真实的”或“生成的”。为了确保生成器在样本图像的域内产生图像，训练分三步进行：（a）向鉴别器提供真实图像，训练鉴别器将它们归类为真实的。（b）向鉴别器提供生成的图像，训练生成器将它们分类为生成的。（c）向生成器提供鉴别器的梯度。训练生成器产生能被分类为真实的图像。

重复该过程，直到网络收敛于真实数据的分布的近似值。

训练期间的一个主要困难是保持两个网络平衡，因此一个不会明显优于另一个。自GAN发明以来，许多工作都侧重于稳定训练过程；两种流行的方法是Wasserstein GAN（WGAN）和具有梯度惩罚的WGAN [2,9]。在标准GAN训练中，鉴别器将输入分类为“真实的”或“生成的”。然后使用Jensen-Shannon散度（JS）度量[2]实际数据分布和生成数据分布之间的差异。该度量不为生成器的每个地方提供梯度，因此要求鉴别器和生成器紧密匹配。这反过来又使训练变得不稳定。WGAN使用Wasserstein距离函数的近似来测量实际分布和生成分布之间的差异[2]。由于它在任何地方都是可微分的，因此它为生成器提供了有意义的梯度。这两个网络不需要很好地平衡，因此可以更好地训练鉴别器以防止模式崩溃。

虽然我们在这项工作中成功地使用了WGAN，但原则上可以使用任何GAN算法。最近的一项研究测试了许多GAN算法，发现通过足够的参数调整，它们之间没有显着差异[16]。如果需要更大的图像，最近的工作表明渐进增长的GAN产生了良好的结果[14]。

2.3进化优化

进化优化已经在AI中使用了很长时间。进化计算是一系列通用优化技术，只需要一种表示和比较解的方法来找到最优解。算法首先从所有代表解的群体中随机选取解样本或成员。然后，算法评估样本并对每个成员进行排名。然后最好的成员被选中成为获得潜在优质解的新样本。重复该过程直到满足收敛或一些其他约束。进化特别适用于评估机制是黑盒子并且只有每个样本的最终评估可用的情况。

协方差矩阵自适应进化策略（CMA-ES）是一种稳健的方法，已被证明可用于非线性和非凸适应域[12]。CMA-ES从多元正态分布中对其群体进行采样。由于每个解都表示为变量的组合，因此CMA-ES维护协方差矩阵，该矩阵跟踪每个变量如何影响适应度。在每一代中，它基于协方差矩阵中的信息创建新样本。如果变量A和B在具有高适应度的解中显示高度相关，那么新采样成员很可能具有A和B相关性。用基于新样本的适合度更新该矩阵，允许算法学习成功样本的分布。它学习的模型是适应度函数的二阶模型的近似值[12]。这使得CMA-ES在针对困难的实值域进行优化时成为一种强大的策略。

进化方法已经与神经网络一起使用了很长时间。这主要是通过神经进化发生的，其中进化用于演化权重，有时还用于神经网络的拓扑[29]。最近，研究人员已经证明神经进化可以用于深度神经网络，甚至可以与强化学习算法竞争[26,15]。我们的工作不涉及进化神经网络的权重。相反，在我们的工作中，神经网络使用梯度下降算法单独训练，但进化应用于网络输入。最近提出的一种类似的方法用于交互式演化系统[4];不同之处在于人类的审美偏好被用作适应函数。

3.提出方法

用于生成DeepMasterPrint的理想系统将能够（a）生成每个可能的图像，（b）测试存在的所有指纹匹配器上的每个图像，以及（c）选择能够成功匹配最多不同身份指纹的图像。由于访问每个指纹匹配器是不可行的，因此有必要根据身份和匹配器的样本派生出DeepMasterPrint，并对其进行泛化推广。将图像限制为仅指纹图像有助于推广。我们的缩放理想系统能够生成任何指纹图像并搜索身份样本和匹配器，以找到理想的解。这种方法不仅可以生成图像，而且还有可能找到比以前的方法更有效的解决方案。为了实现这种方法，我们开发了一种名为Latent Variable Evolution的新技术。

潜变量进化有两个部分：（1）训练一个神经网络生成指纹图像（2）为每一个导致最好（匹配最多指纹的）深度万能指纹的指纹搜索网络的潜变量（生成器网络的输入变量）。为了训练一个图像生成器，我们使用先前描述的WGAN方法，然后使用CMA-ES方法去进化指纹。本论文的方法在两个不同的指纹数据集和几个不同的指纹匹配器上进行实验。

3.1指纹生成器

在这项工作中，我们使用WGAN算法训练两个生成网络。网络在深度卷积GAN之后建模，并在图1中定义[18]。一个网络在使用电容传感器扫描的指纹数据集上进行训练，另一个网络在有墨水按印指纹的数据集上进行训练。网络采用Wasserstein损失函数和RMSProp进行对抗训练，学习率为0.00005 [2]。使用小批量梯度下降方案训练生成器。每批采样64个图像和64个潜变量向量。我们训练每个生成器进行120,000次更新，每次生成器更新之间训练5次鉴别器。使用生成器的去卷积导致了块状伪像，因此我们切换到卷积上采样。

                                              

应该注意的是，已经进行了一些研究来分析GAN实际学习的数据分布量[3]。Arora和Zhang测试了一些GAN架构的多样性，他们测试的GAN都没有能够很好地模拟整个数据分布。 鉴于此，我们承认WGAN只会对部分图像分布进行建模，而我们的技术将无法生成所有类型的指纹。

3.2搜索潜变量空间

                                          

要创建DeepMasterPrint，我们必须将生成器的潜变量进化为最优值。生成器的输入称为潜在变量，因为它们对网络输出的影响只能通过观察到的图像来理解。由于我们的网络需要一百个潜在变量作为输入，因此最优解是一百维空间中的一个点。如图2所示，LVE对这些点进行采样，将它们转换为图像，然后对图像进行评分，以了解最优点随时间的分布。这些最优点是DeepMasterPrints的基因型，然后可以将其映射到图像。

LVE可以使用任何进化算法（或其他随机全局优化器，如粒子群优化）来搜索潜在空间。进化算法不需要梯度，因此非常适合黑盒优化。在此域中，匹配器可以报告有多少身份（不同的指纹）匹配以及每个匹配的好坏，但它不提供有关它如何达到这些结果的任何信息。没有梯度可​​以告诉我们DeepMasterPrint的哪个像素效果最好或效果最差。由于LVE的适应度分数是身份匹配的数量，因此适应度是不连续的。由于卷积网络的分层性质，潜在变量不是可独立分离的。由于这些原因，使用一种适用于崎岖适应度领域的进化技术非常重要，例如CMA-ES [12]。由于CMA-ES学习潜在变量的协方差矩阵，它还可以智能地改变相关变量。在这项工作中，我们使用Hansens Python实现CMA-ES [11]。为了进化每个指纹，我们让算法运行3天。

如算法1中详述，适应度分数是身份匹配的总和。每个身份由12个部分指纹表示。要进行验证，12个部分指纹模板中只有一个必须与输入指纹匹配。这是MasterPrints和DeepMasterPrins正在利用的根本弱点。潜在变量的适应度涉及将每组潜在变量转换为图像，针对系统中的所有部分指纹检查图像，然后求出具有至少一个匹配的唯一身份的数量总和。

对于我们的工作，我们使用几种不同的指纹匹配器。我们使用广受欢迎的商业指纹系统VeriFinger 9.0 SDK。该系统用于算法1中的适应度函数。为了能够测试一个系统的优化转移到另一个系统的程度，我们还使用Bozorth3匹配器和Innovatrics IDKit 5.3 SDK。Bozorth3作为NIST生物识别图像软件（NBIS）套件的一部分由NIST作为开源提供。 VeriFinger和Innovatrics系统都可以从他们的网站获得许可。

3.3实验准备

由于传感器较小，智能手机是DeepMasterPrint攻击的主要焦点。由于智能手机系统目前使用电容传感器，我们使用VeriFinger匹配器从电容数据集开发DeepMaster-Prints。为了与以前的工作保持一致，我们针对三种不同的安全级别（以错误匹配率False Match Rate - FMR为特征）发展了DeepMasterPrints; 因此，我们使用两个生成器获得6个DeepMasterPrints。

在Roy等人的工作中[25]，他们使用1％，0.1％和0.01％的FMR。 FMR是冒名顶替者（即非配对）指纹对被错误地标记为匹配的概率。如果FMR设置得太高，则系统不是很安全。如果它太低，它将拒绝太多真正的指纹对（即配对）。

为了验证我们的DeepMasterPrints是否合理，我们将电容数据集分成两半，得到一个测试集和一个训练集（两组中的图像没有任何主体重叠）。测试集用于在优化期间对候选DeepMasterPrints进行评分。攻击应该成功对抗这些指纹，因为它直接针对它们进行了优化。我们测试测试集上的生成器，以显示攻击的泛化能力。

为了在一个人无法访问目标匹配器的情况下测试DeepMasterPrint攻击的有效性，我们在另外两个匹配器上测试我们的DeepMasterPrints，即Bozorth3和Innovatrics。图像既没有针对这些匹配器进行优化，也没有针对测试集中的身份进行优化。两个匹配器尽可能保持接近其默认状态，主要参数是FMR。在此测试场景中，将DeepMasterPrint与测试数据集中的所有主体进行比较，以确定匹配的数量。

4.数据集

我们两种类型的指纹图像进行建模; 从墨水滚动印模扫描的那些指纹以及从电容式传感器获得的那些指纹。通过向手指施加墨水并在纸上滚动手指来产生滚动指纹。

4.1滚印式指纹图片

滚印的指纹来自公开的NIST Special Database 9指纹数据集[28]。该数据集由5400个独特主题的所有10个指纹组成。每个指纹都是8bit灰度图像。在我们的工作中，选择每个主体的正确指纹。然后通过移除空白并将得到的图像缩小到256×256像素来预处理图像。 为了获得部分指纹样本，每次选择图像时都提取随机的128×128大小的区域。

4.2电容式指纹图片

    电容式指纹图像来自Finger-Pass DB7数据集[13]。该数据集由720个受试者每人的12部分指纹构成。每个指纹的尺寸为144×144像素，分辨率为500 dpi。这与Roy等人使用的数据集相同[25]。

5.结果

5.1生成的指纹

WGAN生成器的训练结果如图3所示。右栏是生成的图像，左栏包含数据集的实际样本。 图像生成器似乎已捕获两个实例中的基本结构。

图3a显示了与NIST数据集中的滚印指纹有关的部分指纹。看一下右边的图，很明显生成器已经学会了指纹的一般脊状结构。仔细观察，有些区域看起来很脏。这很可能是由于数据是从指纹的随机部分生成的，因此生成器很难学习完整指纹的全局形状，尽管在某些情况下它做得很好。从视觉检查来看，它似乎已经学会了指纹的纹理。

图3b显示了电容指纹的结果。此数据集的结果看起来更好。图像上的污迹较少，并且脊部连接更好。观察较大的批次，生成的电容图像始终优于滚印图像。

为了评估指纹图像，我们使用指纹匹配器从图像中提取细节点。确定随机生成的图像具有与数据集中的真实图像相似数量的细节点。我们注意到的一些有趣的事情是，生成的图像平均有两倍的错误匹配率作为真实数据。这意味着即使没有进化，指纹在欺骗系统方面已经是随机真实指纹的两倍。这表明生成的图像比实际数据分布更频繁地显示共同特征。作为一个完整性检查，我们向匹配器提供随机生成的噪声图像，他们没有发现细节点。这意味着生成器不仅生成看起来像人类指纹的图像，而且它们在算法上也被识别为指纹。

5.2深度万能指纹

通过LVE创建的DeepMasterPrints可以在图4中看到。左侧是针对更高安全级别优化的DeepMasterPrints（FMR = 0.01％），右侧是安全级别较低的DeepMasterPrints（FMR = 1％）。结果在不同的安全设置中看起来非常相似，但在数据集之间则不然。进化算法能够通过对远在用于训练生成器网络的分布之外的潜变量进行采样来生成更扭曲的图像。在DeepMasterPrints中，这在视觉上是可辨别的，在某些情况下，平均潜在值超过原始采样分布之外的三个标准偏差。这不一定是个问题，因为图像仍然被识别为指纹，每个DeepMasterPrint识别出大约20个细节点。在表1中，显示了错误主体匹配的百分比。错误主体匹配的数量是数据集中与DeepMasterPrint成功匹配的主体数。表中的第二行显示了VeriFinger匹配器与测试数据一起使用时的结果。

 

5.2.1按印式万能指纹

三个按印式DeepMasterPrints构成了图4的顶部。在1％FMR的最低安全级别，单个DeepMasterPrint能够匹配数据集中78％的主体。这是大量的主体，但任何指纹系统都不太可能使用这样的FMR值。在0.1％FMR下，DeepMasterPrint匹配8.61％的数据集。这代表了一种更加真实的安全选项，并且导致匹配的数量远远高于FMR所能达到的预期。在最高安全级别（FMR 0.01％），攻击结果不是很好，但这是一个不太可能的安全级别，因为它对真正的用户来说是不方便的。

5.2.2电容式万能指纹

三个电容式DeepMasterPrints构成了图4的底行。由于所有匹配率都是针对电容式指纹数据，因此电容式DeepMasterPrints在视觉上比滚动的DeepMasterPrints与主体数据更相似。这应该允许电容式DeepMasterPrints表现得比滚动的DeepMasterPrints好。从表1中可以看出，结果总体上比滚动的DeepMasterPrints好一点。在0.01％FMR级别，攻击结果要好得多。

                    

5.3泛化实验

要了解此攻击的有效性，DeepMasterPrints将在尚未优化的系统上进行测试。如前所述，Bozorth3和Innovatrics匹配系统用于此目的。表2中提供了这些测试的结果。两个验证系统使用与VeriFinger相同的三个FMR。

表2：针对最高安全级别优化的DeepMasterPrints被发现可以泛化得最好。针对1％FMR优化的两个DeepMasterPrints在Bozorth3和Innovatrics匹配器上进行了测试。 它们都在三个不同的安全级别进行测试，并报告了电容式指纹测试集上成功匹配的百分比。

                                  

在VeriFinger的案例中，使用了六种不同的DeepMasterPrints。这表示目标系统已知并且可以访问或复制以启动更高级的优化攻击。在这些情况下，我们通过优化每个安全级别找到了更好的性能。对于测试环境未知的情况，该策略并未证明非常有效。结果发现，在高安全性设置下进化DeepMasterPrints是最佳的。因此，报告的结果基于两个针对FMR为0.01％进行了优化的DeepMasterPrints，并在所有三个安全设置中针对两个验证系统使用。

Bozorth3是公开的，可以免费使用，但它也是一个较老的匹配器。也许这就解释了为什么按印式DeepMasterPrint对这个匹配器的泛化效果如此之好。在这种情况下，DeepMasterPrint在Bozorth3方面实际上比使用VeriFinger更好。电容式指纹对该系统的效果要差得多，但总体上还是成功的。在所有安全级别，除最高级别外，DeepMasterPrint的执行速度比普通指纹高出约30倍。FMR为0.01％，没有匹配;这使得很难准确地确定此级别的DeepMasterPrint性能。

Innovatrics是一个仍在积极开发中的最新匹配器。 因此，预计使用DeepMasterPrints可以更好地抵御攻击。令人惊讶的是，电容式DeepMasterPrint在这里是一致的，并且与Bozorth3上的结果相似。 这里有一个假设是，电容式DeepMasterPrint发现了一些不受限于特定验证系统的通用模式。 尽管在Bozorth3上表现如此之好，但按印式的DeepMasterPrint确实比电容式更差。很明显，这两个匹配器处理按印式指纹的方式截然不同。用于训练指纹生成器的训练数据肯定会有所不同。DeepMasterPrints的效率大约是随机图像的10倍。

5.4结果对比

在我们的工作中，我们创建了一个DeepMasterPrint，旨在通过单次尝试就能破解任意指纹。如果只进行一次尝试，以前的工作有更糟糕的结果。除了提供图像外，LVE还创建了一个更有效的MasterPrint。表3给出了仅细节点方法和电容式DeepMasterPrint图像的结果[23]。在Roy等人之前的工作中[25]，作者创建了一套五个指纹模板，按顺序用于发起攻击，假设有五次尝试。我们针对单个DeepMasterPrint的结果与此多个MasterPrints套件相当。我们希望LVE能够很好地创建有序的DeepMasterPrints。

表3：与之前生成MasterPrints的方法相比，使用DeepMasterPrint匹配的主体百分比。在电容式数据集上使用VeriFinger匹配器进行实验所得结果。

                        

 

6.总结

本文提出潜变量演化作为生成DeepMasterPrints的方法：部分指纹图像可用于启动针对指纹验证系统的字典攻击。第一步是使用来自指纹数据集的图像训练GAN。然后，LVE搜索生成器网络的潜在变量，以获得最大化与其成功匹配的指纹数量的图像。本文提出的方法被发现（1）使得DeepMasterPrints更成功地匹配与大量不同身份相关的指纹，以及（2）生成完整的图像而不仅仅是细节点模板，这可能被用于发起实际的DeepMasterPrint攻击。使用三种不同指纹匹配器和两个不同数据集的实验表明该方法是鲁棒的并且不依赖于任何特定指纹匹配器或数据集的伪像。

除了生成DeepMasterPrints的应用之外，本文还成功地展示了在生成器网络的潜在空间中搜索满足给定目标的图像或其他工件的有用性。这个想法令人惊讶地被低估，并且可能在计算创造力研究以及其他安全领域中有用。在[4]中可以找到在交互设置中使用类似方法用于审美目的的初步工作。

 

（写到这里，可把我累坏了，如果喜欢，给我点个小赞赞吧，谢谢~）