基于雙Bloom 過濾器與離散對數(shù)的虹膜模板保護方法

高艷娜，劉笑楠

（沈陽工業(yè)大學信息科學與工程學院，沈陽 110870）

1 引言

生物特征識別技術(shù)在生活中得到廣泛應(yīng)用，但在眾多應(yīng)用領(lǐng)域中生物特征模板存在一定的安全性隱患，一旦模板信息被不法分子盜用，生物特征信息將永久丟失，用戶隱私也將受到威脅。針對該問題，已經(jīng)有很多學者提出多種生物特征模板保護方案，只能在一定程度上阻止攻擊者通過不法手段獲得原始生物特征模板。因此，如何在保持較高認可度的同時保護用戶的生物特征信息不被未經(jīng)授權(quán)的人使用，仍是生物特征識別技術(shù)中需要解決的關(guān)鍵問題之一。

虹膜作為一種有效、安全的生物特征，在人的一生中保持穩(wěn)定，不易受環(huán)境和遺傳因素的影響，在認證過程中具有穩(wěn)定性和唯一性等優(yōu)點，但其同樣存在虹膜模板泄露問題。目前最常用的虹膜模板保護方法是基于不可逆變換，即利用不可逆變換函數(shù)無法恢復出原始數(shù)據(jù)的特性實現(xiàn)對數(shù)據(jù)保護。此類方法包括局部排序[1]、離散對數(shù)[2]、隨機映射[3]等。Ratha等人[4]首先將不可逆變換即Bloom 過濾器應(yīng)用于虹膜并引入可撤銷的概念。此后許多學者對Bloom 過濾器方法進行了改進，將Bloom 過濾器原理應(yīng)用于指紋[5]，掌紋[6]和人臉[7]等。2020 年，文獻[8]提出了一種雙Bloom 過濾器的虹膜模板保護方法，在Bloom過濾器的基礎(chǔ)上，對Bloom 過濾器進行改進以提高數(shù)據(jù)壓縮比、匹配精度以及不可逆性，在單生物特征識別領(lǐng)域相較于Bloom 過濾器來說具有一定的優(yōu)勢。隨著生物特征識別技術(shù)的發(fā)展，多生物特征識別技術(shù)因其較高的安全性和較高的識別率得到廣泛的應(yīng)用。文獻[9]將Bloom 過濾器原理應(yīng)用于多生物特征的模板保護中，在提高生物特征模板安全性的同時保障了識別性能。為進一步增強虹膜模板的安全性能，提出在雙Bloom 過濾器原理的基礎(chǔ)上融合另一種生物特征——人臉特征。

綜上所述，在此提出一種基于Bloom 過濾器與離散對數(shù)的多生物特征虹膜模板保護方法。首先提取人臉二值特征，將該特征做離散對數(shù)變換，得到加密的密鑰特征向量，將此密鑰嵌入到雙Bloom 過濾器方法中即Bloom 過濾器中異或一個常數(shù)以后再與此密鑰做異或運算，最后經(jīng)過雙Bloom 過濾器結(jié)合離散對數(shù)的方法生成受保護的生物特征模板，存儲于數(shù)據(jù)庫中。

2 算法原理及流程

所提出的虹膜模板保護方法是融合人臉特征信息即利用同一用戶經(jīng)過離散對數(shù)變換后的人臉特征作為密鑰嵌入到雙Bloom 過濾器中去加密需要被認證的虹膜模板，通過不可逆轉(zhuǎn)換的手段得到最終的加密模板。

首先利用等價模式的LBP 特征提取算法[10]對人臉進行特征提取，將歸一化后的人臉圖像劃分為4×4 個小區(qū)域，每個小區(qū)域的特征模式有59 種，則得到一維人臉特征向量Fn=16×59=1×944。然后，根據(jù)預(yù)設(shè)閾值τt對Fn中的元素進行量化得到人臉特征二值序列fn：

將得到的人臉特征二值序列做離散對數(shù)變換：

1) 將每個人臉二值特征向量fn進行分塊編碼得到十進制的向量，則產(chǎn)生大小為1×(N/M)、元素范圍為1～2M-1 的向量FD=［FD1,FD2,...,FDn］，其中n=N/M，M為塊的大小，N為所需人臉特征向量大小，具體大小參見后文論述。

2) 求出向量FD中每個元素值對應(yīng)的前素數(shù)，并存儲在向量BP中，再利用離散對數(shù)生成向量PBP，將其應(yīng)用于FD的單個元素及其相應(yīng)的BP值，即：

其中BP=［BP1,BP2,...,BPn］，g是前素數(shù)域BPi的發(fā)生器。經(jīng)過上述步驟，可得到人臉密鑰特征PBP。

3) 采用Log-Gabor變換對用戶虹膜的歸一化虹膜圖像進行特征提取，獲得虹膜特征矩陣IM×N，再對它做雙Bloom 過濾器變換，將密鑰特征PBP嵌入到雙Bloom 過濾器變換中。

雙Bloom 過濾器是在基于Bloom 過濾器的基礎(chǔ)上，對Bloom 過濾器進行改進以提高數(shù)據(jù)壓縮比、匹配精度以及不可逆性。雙Bloom 過濾器原理框圖如圖1 所示。

圖1 雙Bloom 過濾器原理框圖

其具體原理為：虹膜圖像的二維二值特征向量IM×N通常表示成寬度W、高度H的二維矩陣，雙Bloom 過濾器將虹膜特征向量IM×N劃分成K個塊，每個塊包含W/K列，該比值以l表示。每列的高度設(shè)置為w位，其中w≤H，每個塊的變換有一個單獨的Bloom 過濾器，變換后的虹膜模板中有K個Bloom 過濾器。再將w位劃分為兩部分，若w為偶數(shù)，每一部分長度為w/2，上半部分映射到Bloom 過濾器的上部，下半部分映射到Bloom 過濾器的下部；若w為奇數(shù)，上w1位映射到Bloom 過濾器的上部，下w2位映射到Bloom 過濾器的下部，其中w1垣w2==1)。以w為偶數(shù)為例，受保護的虹膜模板共有K個Bloom 過濾器，每個過濾器的長度為2×2w/2，因此虹膜模板大小為K×2×2w/2。最后使用下式進行匹配：

其中，bi、bj≠0，為Bloom 過濾器模板被置為1 的個數(shù)，HD 為漢明距離，即兩個被比較的模板中對應(yīng)位不同的個數(shù)。

3 實驗與分析

3.1 實驗設(shè)計

為了獲得無偏的結(jié)果，實驗在兩個獨立的虹膜數(shù)據(jù)庫和一個人臉數(shù)據(jù)庫上進行，即虹膜數(shù)據(jù)庫CASIA Iris Image Database V1.0（108 人）、CASIAIrisV3-Interval（249 人）和人臉數(shù)據(jù)庫CASIA-Iris-Distance（142 人）。由于虹膜與人臉不具有關(guān)聯(lián)性，實驗采用兩個虹膜數(shù)據(jù)庫相組合的方式進行實驗，以CASIA Iris Image Database V1.0 為例，為了與虹膜圖庫相匹配，在人臉圖庫CASIA-Iris-Distance 里隨機選取108 個人、每個人7 張人臉圖片作為實驗樣本。

虹膜圖像預(yù)處理過程中，采用文獻[11]中的方法進行虹膜定位，將所得虹膜區(qū)域進行歸一化處理，得到歸一化虹膜圖像，再使用Log-Gabor 進行特征提取得到IM×N=20×480 的特征向量，預(yù)處理及特征提取效果圖如圖2。同時，對人臉特征進行特征提取，再量化得到人臉二值特征向量fn=1×944。

圖2 虹膜圖像預(yù)處理及特征提取

3.2 算法性能分析

為了測試本算法性能，分別用識別正確率（RR,Recognition Rate）和等錯誤率（EER,Equal Error Rate）對各算法性能進行評估，在兩個虹膜數(shù)據(jù)庫上進行實驗仿真，并將本算法與幾種通用的算法進行比較。對比結(jié)果如表1 所示。與單Bloom 過濾器、雙Bloom過濾器以及離散對數(shù)方法相比，本算法在增強模板安全性的同時取得了較高的識別率；與局部排序、雙Bloom 過濾器加不做離散對數(shù)變換的人臉特征方法進行對比，不僅在加密安全性上有所提高，在識別正確率上也有所提高。

表1 不同算法性能比較

為說明本算法對不同虹膜圖像的適用性，將算法用于CASIA Iris Image Database V1.0、CASIAIrisV3-Interval 兩種圖庫的測試結(jié)果列于表2 中。其中基本算法指未加密的虹膜識別方法。實驗結(jié)果表明本方法在兩種圖庫上均可以取得良好的效果，在對模板保護的同時也保證了身份識別正確率，具有有效性和適用性。

表2 不同數(shù)據(jù)庫對應(yīng)的GAR 與EER

3.3 參數(shù)選擇與識別正確率的關(guān)系

雙Bloom 過濾器與單Bloom 過濾器一樣，參數(shù)的選取同樣會影響識別率的高低，選擇合適的參數(shù)對識別性能很重要。參數(shù)對識別結(jié)果的影響如表3。

表3 不同參數(shù)選擇對識別結(jié)果的影響

可見，當w=20，l=32，k=15 時，識別率最高。因此，在Bloom 過濾器映射之前，將虹膜矩陣IM×N轉(zhuǎn)化為十進制矩陣的大小2×15×32=1×960。

考慮到分塊大小M以及前素數(shù)域發(fā)生器g是影響識別正確率的決定因素，對人臉特征二值序列做離散對數(shù)變換進行分塊，具體使用尺寸與人臉LBP 特征提取方法相關(guān)，詳見文獻[10]。當M=2 時，將人臉二值序列fn擴大3 倍后取前2×960=1920位；當M=3 時，將fn擴大4 倍取前3×960=2880位；當M=4 時，將fn擴大5 倍取前4×960=3840位。詳細分析結(jié)果如表4 所示。

表4 不同M 與g 值對識別性能的影響

通過實驗結(jié)果可以看出，當M=2，g=6 時，本方法的識別性能最好，可以達到97.22%。

4 實驗安全性分析

4.1 可撤銷性

可撤銷性要求一旦用于識別的虹膜模板受損或被泄露，能夠撤銷泄露或受損的模板，重新發(fā)布新的模板進行識別，且新模板和舊模板之間不應(yīng)存在任何關(guān)系，即使它們都是從同一生物特征中生成的[12]。在本方法中，由于在雙Bloom 過濾器中異或一個常數(shù)T∈｛0,1｝10，通過改變T的數(shù)值大小，將生成不同的轉(zhuǎn)換模板，共有1024 種可變換模板，滿足可撤銷性要求。

4.2 不可逆性

不可逆是指從變換后的虹膜編碼中恢復原始虹膜編碼的計算難度。在本方法中不存在任何逆變換，所用算法均為不可逆變換函數(shù)。因此，攻擊者需要學習完整的過程才能有機會破壞模板的安全性。在離散對數(shù)中要從變換后的模板中獲取十進制向量在計算上是不可行的，這關(guān)系到素數(shù)域上的離散對數(shù)問題，需要消耗次指數(shù)時間來攻破。

此外，在應(yīng)用離散對數(shù)之后，新算法將十進制向量與Bloom 過濾器原理相結(jié)合后進行雙Bloom 過濾器映射，計算出攻破單Bloom 過濾器理論需要的攻擊次數(shù)為2131，則雙Bloom 過濾器需要的攻擊次數(shù)為2×2131，結(jié)合經(jīng)過離散對數(shù)變換后的密鑰特征，攻擊者若想逆推出原始虹膜模板，嘗試次數(shù)要遠遠大于該值，因此攻擊者很難通過兩個不可逆變換逆推出原始虹膜模板，滿足了不可逆性要求。

4.3 不可鏈接性

不可鏈接性要求從同一虹膜生成的兩個來自不同應(yīng)用程序的模板不能用于交叉匹配，即是說，攻擊者不能判斷來自不同應(yīng)用程序的兩個模板是否屬于同一用戶。在本方法中，由于不同的常數(shù)T生成不同的模板，同一用戶可以為不同的應(yīng)用注冊不同的模板，而無需交叉匹配。虹膜加密模板是由同一個人在不同應(yīng)用程序中注冊的虹膜模板產(chǎn)生的，如果不提前知道常數(shù)數(shù)值，用戶很難判斷出生成的模板是否屬于同一個人。在實驗中采用兩個不同的常數(shù)值對算法的識別結(jié)果進行測試分析，選擇100 個虹膜圖像作為測試樣本。在一組測試中，令T=62 得到特征模板；在另一組測試中，令T=89 得到特征模板。比較同一虹膜在兩組不同常數(shù)下所得的特征模板，進行類內(nèi)類間正常匹配，記錄距離，再比較不同虹膜在兩組測試中生成的模板，進行類內(nèi)類間交叉匹配，記錄數(shù)據(jù)。實驗結(jié)果如圖3 所示。

圖3 不可鏈接性驗證實驗結(jié)果

圖中，橫坐標表示匹配距離，縱坐標為每個相同距離值的匹配次數(shù)占總次數(shù)的比例。圖3(a)表示在同一應(yīng)用程序中進行正常匹配的類內(nèi)類間距離分布，可以很明顯地看出兩者的差異，而且二者的重疊區(qū)域很少。圖3(b)表示在不同應(yīng)用程序進行交叉匹配的類內(nèi)類間距離分布，可以看出二者幾乎完全重疊，根據(jù)匹配結(jié)果無法判斷二者是否來自同一用戶，滿足不可鏈接性。

5 結(jié) 束 語

針對虹膜模板泄露問題，提出了融合人臉特征信息的虹膜模板保護新方法，將量化的人臉特征通過離散對數(shù)原理轉(zhuǎn)化為十進制的密鑰特征為虹膜模板加密，對虹膜特征進行雙Bloom 過濾器變換，將人臉密鑰特征嵌入到Bloom 過濾器變換中，在異或階段對經(jīng)過離散對數(shù)后的人臉特征進行異或，最終利用分數(shù)漢明距離對加密模板進行匹配識別。測試結(jié)果表明，該算法在加密后的正確識別率為97.22%，在提高模板安全性的同時滿足了識別性能的要求，有效保護了虹膜特征信息。