基于顺序值融合策略的可撤销虹膜识别方法

Cancelable Iris Biometric Based on Ordinal Value Fusion Strategy

摘要

为虹膜特征数据提供有效的保护对于虹膜识别技术的应用和普及具有重要意义。针对局部排序虹膜模板保护方案精度高但不可逆性较低，易遭受顺序逆向攻击的问题，提出了两种基于顺序值融合策略的改进方法。首先将原始虹膜数据与l 个特定于应用的参数进行异或运算并排序得到相应的顺序值，在对顺序值进行融合之后，两种改进方案分别通过重新排序和取模运算来进一步增强不可逆性。实验结果表明，与局部排序方案相比，第一种改进方案可以实现精度下降2%以内，不可逆性指标提升超过15%；第二种改进方案实现不可逆性指标提升超过30%，而精度下降10%以内。

Abstract

Providing effective protection for iris data is of great importance for the application and popularization of iris biometrics. For the high accuracy but low irreversibility local ranking-based iris template protection and its vulnerablility to ranking inversion attack, two improved schemes based on ordinal value fusion strategy are proposed. The original iris data are first XORed with l different application-specific parameters and ranked to obtain the corresponding ordinal values. After the fusion of the ordinal values, the two improvement schemes further enhance the irreversibility by re-ranking or modulo operations, respectively. The experimental results show that the first improved scheme can achieve an accuracy reduction of 2% or less and an irreversibility index improvement of more than 15% compared with the local ranking scheme, and the second improved scheme can achieve an irreversibility index improvement of more than 30% and an accuracy reduction of 10% or less.

Graphical abstract

关键词

可撤销虹膜识别 / 不可逆变换 / 改进的局部排序 / 顺序值融合

Key words

cancelable iris biometric / non-invertible transform / improved local ranking / ordinal value fusion

0　 引 言

生物特征识别技术，如虹膜识别、指纹识别、人脸识别等，已经被广泛应用到访问控制、数据安全以及国家身份证系统^[1]等实际应用当中。虹膜作为最常用的生物特征之一，其特征数据的大部分内容在人的一生中是保持不变的，这些特征数据一旦泄露将会永久丢失，无法像密码一样被修改或者撤销。因此，如果直接将原始的虹膜特征数据保存在服务器用于提供识别或者认证服务，这些数据在使用过程中就存在着严重的隐私泄露风险。

近十年来，已有大量的虹膜特征数据保护方案被提出，这些方案通常分为虹膜生物识别密码系统和可撤销虹膜识别两个大类^[2]。其中，可撤销虹膜识别^[3]是通过特定的方法对虹膜特征进行有目的、可重复的不可逆变换以实现虹膜数据的保护。根据国际标准ISO/IEC 24745，有效的生物特征保护方案需要满足不可逆性、可撤销性和不可链接性三大安全性要求^[4]。

Zhao等^[5]提出了一种基于局部排序的可撤销生物识别方案(local ranking based cancelable biometric,LRCB)，该方案是近几年比较有代表性的虹膜模板保护方案之一，作者指出该方案能够在满足三大安全性要求的前提下达到与开源虹膜识别系统在原始虹膜数据集上相当的识别精度。Ouda等^[6]提出了针对于LRCB方案的顺序逆向攻击模型，实验结果表明，在LRCB方案中精度较高的参数设置下，通过顺序逆向攻击能恢复出大部分原始虹膜数据，说明该方案的不可逆性有待进一步提高。

本文针对LRCB方案容易遭受顺序逆向攻击的问题，提出了基于融合重排的可撤销生物识别(fusion re-ranking based cancelable biometric,FRCB)和基于融合取模的可撤销生物识别(fusion modulo based cancelable biometric,FMCB)。改进方案将LRCB作为其中的部分模块，改进的核心思想在于通过对局部排序的结果进行融合使得攻击者无法准确得到融合之前的顺序值，从而无法发起顺序逆向攻击，并且通过重新排序或取模操作进一步提升不可逆性。

1　 相关工作

本文提出的方法属于可撤销虹膜识别领域，该领域已有基于布隆过滤器^[7]、局部敏感哈希^[8~10]以及神经网络^[11~13]等技术的很多方案被提出，但已有的方法大多被证明存在安全性问题。

Rathgeb等^[7]提出了一种基于布隆过滤器的可撤销虹膜识别方法。然而，Hermans等^[14]指出布隆过滤器方案无法满足不可链接性。Dwivedi等^[15]提出了基于随机查找表映射的可撤销虹膜识别方案。Zhao等^[16]提出了负虹膜识别体制，该体制通过将原始虹膜数据转化为负数据库来完成虹膜数据的保护。然而，Ouda等^[17]指出负虹膜识别方案无法抵抗不可逆攻击和链接攻击。后来，Zhao等^[18]又提出了一种具有更好的不可链接性并且能够保护实时虹膜数据的改进方案。Lai等^[9]基于文献检索领域的最小哈希技术设计了一种可撤销虹膜模板生成方法。

Jin等^[8]设计了一种满足局部敏感哈希的可撤销生物识别方案，给出了该方案基于高斯随机映射和均匀随机置换的两种实现方法。此外，Sadhya等^[10]提出了一种利用随机位采样的可撤销虹膜模板生成方案，该方案将通过随机位采样之后的虹膜编码进行取模运算后保存为虹膜模板。Yang等^[19]提出了一种基于特征自适应随机映射的可撤销生物识别方法，该方法能够有效避免因投影矩阵泄露而遭受多重记录攻击。

此外，Tarek等^[13]基于线性卷积和双向联想记忆网络提出了一种可撤销生物识别方案，该方案通过BAM（bidirectional associative memory）的权重完成生物特征数据到随机密钥的映射。Tarek等^[11,12]利用生成对抗网络设计了一种生物识别加盐方案，该方案可以用于单实例的可撤销虹膜识别，也可以实现多实例的可撤销虹膜识别。

2　 本文方法

这一节介绍了LRCB方案^[5]的具体流程及本文提出的改进方案的攻击模型。

2.1　LRCB方案

文献[5]提出的LRCB方案的架构如图1所示，该方案首先通过一个特定于应用的参数p与原始虹膜数据进行异或运算得到伪虹膜数据t，然后对伪虹膜数据t按照分块大小b进行分块，得到n个块，若出现第n块的大小与其他块大小不一致的情况，则对第n块进行高位补零以保持块大小一致，随后将每个块内的二进制数据转化为对应的十进制值。接下来对转化得到的十进制值按照分组大小为d进行分组，得到g个分组，最终在组内将十进制值替换为对应的组内顺序值之后保存为虹膜模板。

LRCB方案^[5]的不可逆性主要依赖于组内十进制值变为顺序值时的多对一映射，针对于这一阶段的转换，Ouda等^[6]提出了顺序逆向攻击算法进行逆向攻击，并且通过实验验证了该攻击算法可以恢复出大部分的原始虹膜数据。由于前两个阶段的转换并不会提升方案的不可逆性，因此该方案的不可逆性还有待进一步提升。

2.2　顺序值融合重排方案

本文提出的第一种改进方案FRCB的架构如图2所示，本方案集成了l(l\in \left\{\mathrm{3,4},\mathrm{5}\right\})个局部排序的模块，转换过程一共分为5个阶段。在第一阶段，针对于每一条原始虹膜数据，利用l个特定于应用的参数 p_i(i\in \{\mathrm{3,4},\mathrm{5}\}) 与其进行异或运算，分别得到l条伪虹膜数据 q_i。在第二个转换阶段，将 q_i 按照分块大小为b进行分块，并在块内将二进制值转化为对应的十进制值，并将转化之后的十进制值按照分组大小为d进行分组。第三阶段在每个组内将十进制值替换为对应组内的顺序值得到o_i。第四阶段将前一阶段排序得到的l组顺序值o_i进行融合得到s，其中具体的融合方案：依次将o_i对应位置上的l个顺序值相加。为了更进一步提升本方案的不可逆性，第五阶段将融合之后的结果以组大小为d进行重新排序。在方案转换过程的第四个阶段，在将这l个局部排序的结果融合之后对边界值引入随机噪声进一步增强不可逆性。具体为：当融合之后的模板中出现l和l\times d时，向其中引入一个随机值，具体来说，如果融合之后结果为l,则将其加上一个随机值\epsilon，如果值为l\times d则将其减去随机值\epsilon，其中\epsilon 的范围为[\mathrm{1},l\times \left(d-\mathrm{1}\right)-\mathrm{1}]。

2.3　顺序值融合取模方案

本文提出的第二种改进方案FMCB与第一种方案FRCB相比，融合之前的部分是一样的，融合之后的部分主要有以下几点不同。第一，不再对融合以后的边界值引入随机噪声，因为取模操作带来的不可逆性的提升已经相对较高，因此不再进行额外的操作提升不可逆性，而且再引入随机噪声也会造成方案的性能进一步下降，进而影响方案的实用性。第二，融合以后增强不可逆性的操作由重新排序改为取模运算，其中取模阈值设置为\mathrm{2}d，因为该参数设置很好地满足了精度和安全性权衡。

2.4　改进的顺序逆向攻击算法

假设攻击者试图通过受保护的虹膜模板恢复出原始虹膜数据，必须首先反推出局部排序结果融合并增强不可逆性之后的结果，即由图2中的t恢复出r，这一步的恢复，主要通过对Ouda等人提出的顺序逆向攻击^[6]算法进行适当的改进来实现。

在FRCB中，经过模块转换以后的结果可以看作是来自有限集合 \Omega =\{l+\mathrm{1},l+\mathrm{2},\dots ,l\times d-\mathrm{1}\} 的随机变量X。而从虹膜模板t得到r的近似编码 \widehat{r} 的过程相当于计算从有限总体\Omega中有放回抽取d个样本时第k个顺序统计量X_{(k)}的概率密度函数(PDF)，计算方法如(1)式所示^[20]：

f_{X_{\left(k\right)}}\left(x\right)=\left\{\begin{array}{c}{\displaystyle \sum _{w=\mathrm{0}}^{d-k}}\left(\genfrac{}{}{0pt}{}{d}{w}\right){\left[f_X\left(l+\mathrm{1}\right)\right]}^{d-w}{\left[S_X\left(l+\mathrm{2}\right)\right]}^w,x=l+\mathrm{1}\\ {\displaystyle \sum _{u=\mathrm{0}}^{k-\mathrm{1}}}{\displaystyle \sum _{w=\mathrm{0}}^{d-k}}\left(\genfrac{}{}{0pt}{}{d}{u,d-u-w,w}\right){\left[F_X\left(x-\mathrm{1}\right)\right]}^u{\left[f_X\left(x\right)\right]}^{d-u-w}{\left[S_X\left(x+\mathrm{1}\right)\right]}^w,\\ x=l+\mathrm{2},l+\mathrm{3},\dots ,l\times d-\mathrm{2}\\ {\displaystyle \sum _{u=\mathrm{0}}^{k-\mathrm{1}}}\left(\genfrac{}{}{0pt}{}{d}{u}\right){\left[F_X\left(l\times d-\mathrm{2}\right)\right]}^u{\left[f_X\left(l\times d-\mathrm{1}\right)\right]}^{d-u},x=l\times d-\mathrm{1}\end{array}\right.（1）

其中，F_X\left(x\right)表示分布函数(CDF)，用于计算获取的值小于等于 x-\mathrm{1} 的概率，S_X\left(x\right) 表示生存函数(SF)，用于计算获取的值大于等于 x+\mathrm{1} 的概率，而PDF则用于决定获得的值等于x的概率。

在该方案中，特定于应用的参数个数为l，排序时的分组大小为d，经过排序融合并加强不可逆性处理之后的结果可以看作是PDFf_X\left(x\right)=\frac{\mathrm{1}}{M-l-\mathrm{1}}的离散均匀随机变量X。其中， M=l\times d,x=l+\mathrm{1},l+\mathrm{2},\dots ,M-\mathrm{1}。因此，X的CDF和SF的计算方法为：

（2）

（3）

在通过改进的顺序逆向攻击得到融合加强之后结果r的近似值\widehat{r}之后，为了进行前一部分的数据逆向攻击，攻击者只能将\widehat{r}近似作为\widehat{s}。在本文设计的攻击模型中，将采用贪心算法继续前半部分的数据逆向攻击，进而得到原始虹膜数据x的近似值\widehat{x}。在该算法中，首先生成一条随机二进制串{\widehat{x}}_{\mathrm{1}}，在后续的每一次迭代中，先随机选择[\mathrm{0,1}\mathrm{535}]内的一个位置\eta，并对{\widehat{x}}_{\mathrm{1}}的位置\eta进行二进制取反操作得到 {\widehat{x}}_{\mathrm{2}}。接下来利用FRCB方案的引入随机噪声之前部分将{\widehat{x}}_{\mathrm{1}}和{\widehat{x}}_{\mathrm{2}}转化生成融合的中间结果{\widehat{s}}_{\mathrm{1}}和{\widehat{s}}_{\mathrm{2}}，并利用(4)式计算 {\widehat{s}}_{\mathrm{1}}={\widehat{s}}_{\mathrm{11}},{\widehat{s}}_{\mathrm{12}},\dots ,{\widehat{s}}_{\mathrm{1}n}和{\widehat{s}}_{\mathrm{2}}={\widehat{s}}_{\mathrm{21}},{\widehat{s}}_{\mathrm{22}},\dots ,{\widehat{s}}_{\mathrm{2}n}与改进的顺序逆向攻击生成的 \widehat{r}={\widehat{r}}_{\mathrm{1}},{\widehat{r}}_{\mathrm{2}},\dots ,{\widehat{r}}_n之间的距离。如果 {\widehat{s}}_{\mathrm{2}}与\widehat{r}之间的距离比{\widehat{s}}_{\mathrm{1}}与\widehat{r}之间的距离更近，说明通过该位置上的翻转能够得到更优的解，则保留位置\eta上的翻转，否则放弃该位置上的翻转。一直重复以上步骤，直至达到最大迭代次数，得到原始虹膜数据x的近似值\widehat{x}。

\mathrm{D}\mathrm{i}\mathrm{s}\mathrm{t}\left(\widehat{s},\widehat{r}\right)={\displaystyle \sum _{i=\mathrm{1}}^n}\left|{\widehat{s}}_i-{\widehat{r}}_i\right|（4）

而对于FMCB，由于在进行融合之后是采用取模的方式进行增强不可逆性，在第二阶段也无法通过改进的顺序逆向攻击进行不可逆攻击，因此，直接采用基于贪心策略设计的攻击模型进行不可逆攻击以验证其不可逆性。

3　 安全性分析

3.1　不可逆性分析

本文所提出的改进方案在局部排序的基础上进行了模板融合处理，使得攻击者在反向推导时无法准确得到融合之前的局部排序的顺序值，从而无法对前一阶段的局部排序结果发起顺序逆向攻击。在改进方案FRCB中，将顺序值进行融合之后，由于边界值存在部分数据泄露的风险，方案中又增加了对边界值引入随机噪声的操作来加强不可逆性，以提升其抵抗不可逆攻击的能力。此外，本方案所带来的不可逆性的提升最大的部分在于对上述结果进行了再一次排序。在这一步骤中，相当于从融合的结果集合中有放回抽样d个样本，此时融合结果的有限集合{\Omega }_{\mathrm{1}}=\{l+\mathrm{1},l+\mathrm{2},\dots ,l\times d-\mathrm{1}\}，其中的样本个数为 l\times \left(d-\mathrm{1}\right)-\mathrm{1}，对于一组给定的排序结果，可能的融合结果的数量为：

G=\left(\genfrac{}{}{0pt}{}{l\times (d-\mathrm{1})-\mathrm{1}}{d}\right)（5）

因此，对于长度为m位的原始虹膜串，按照块大小为b，组大小为d，一共可以分为m/(b\times d)组，本改进方案中受保护模板所对应的融合结果可能的数量为：

G_{\mathrm{F}\mathrm{R}\mathrm{C}\mathrm{B}}={\left(G\right)}^{\frac{m}{b\times d}}={\left(\genfrac{}{}{0pt}{}{l\times \left(d-\mathrm{1}\right)-\mathrm{1}}{d}\right)}^{\frac{m}{b\times d}}（6）

此外，由于融合之后的结果中还引入了随机噪声，因此在实际中本方案的改进带来的可能性数量的增加要比G_{\mathrm{F}\mathrm{R}\mathrm{C}\mathrm{B}}更大，进而从理论上可以说明本文的改进方案对不可逆性有了很大的提升。

对于第二种改进方案FMCB，在对排序结果进行融合之后，将融合结果中的每一个值都对分组大小d的2倍取模运算，并将取模的结果作为最终的受保护模板。在这一步骤中，并没有对融合的结果引入随机噪声的处理，融合之后的结果范围为有限集合{\Omega }_{\mathrm{2}}=\{l,l+\mathrm{1},\dots ,l\times d\}，取模运算之后的结果范围为{\Omega }_{\mathrm{3}}=\{\mathrm{0,1},\dots ,\mathrm{2}d-\mathrm{1}\}。由于l可能的取值为3,4和5，而l=\mathrm{4}为其中不可逆性处于中间水平的取值。为不失一般性，下面对本改进方案l=\mathrm{4}时的情况进行具体分析。当l=\mathrm{4}时，融合结果的有限集合为{\Omega }_{\mathrm{2}}=\{\mathrm{4,5},\dots ,\mathrm{4}d\}，对于取模之后的每一个值，除了为1,2和3的值以外，其余每一个值在取模之前都有两个可能的值，因此一共存在\mathrm{2}d-\mathrm{3}种情况对应有两个可能的值。假设融合之后的结果服从均匀随机分布，那么对于一个特定的取模结果，取模之前有两个可能值的可能性为：

p=\frac{\mathrm{2}d-\mathrm{3}}{\mathrm{2}d}（7）

而每个组一共有d个值，整个虹膜特征数据被分为了m/(b\times d)个组，因此，整个受保护的模板对应取模之前可能融合结果的数量为：

G_{\mathrm{F}\mathrm{M}\mathrm{C}\mathrm{B}}={\left(p\times d\times \mathrm{2}\right)}^{\frac{m}{b\times d}}={\left(\mathrm{2}d-\mathrm{3}\right)}^{\frac{m}{b\times d}}（8）

G_{\mathrm{F}\mathrm{M}\mathrm{C}\mathrm{B}}也就是本文提出的第二种改进方案所带来的多对一映射的数量相比于原来LRCB方案增加的部分。

3.2　可撤销性分析

可撤销性是为了保证当用户注册的虹膜识别模板发生泄漏时，可以将泄露的模板撤销并重新生成模板发布使用。本文所提出方案集成的模块分别运用特定于应用的具体参数p_i中的一个与原始虹膜数据进行异或操作，在异或得到伪虹膜数据之后进行模板融合等后续转化，因此本文的改进方案可以很容易地进行泄露模板的撤销和新模板的生成。具体来说，当某个应用中用户的虹膜识别模板发生泄露时，首先将泄露的模板从虹膜模板数据库中删除，使得泄露的模板无法再用于识别或者认证，该过程即为模板撤销。此外，对于发生模板泄露的用户，重新采集其虹膜图像并进行预处理之后，通过新的特定于应用的参数p_j将该用户新的虹膜特征数据转化为受保护的虹膜模板，并保存到服务器的模板数据库中，用于提供虹膜识别服务。需要注意的是，只有发生模板泄露的用户虹膜特征数据用新的参数p_j进行模板的转化，其他未发生泄露的用户或者新注册的用户依然用旧的参数p_i 进行模板的转化。相比于传统的局部排序虹膜模板保护方法，本文提出的改进方案具有更好的可撤销性，因为当模板发生泄漏时，除了同时将转化参数p_i中的每一个都更新得到 p_j，也可以选择只更新其中的一个或多个参数，因为只要特定于应用的参数中的某一个或多个发生了改变，通过本文提出的改进方案就会生成完全不同的受保护模板，因此本文提出的改进方案具有更好的可撤销性。

3.3　不可链接性分析

不可链接性是为了保证来自不同应用中的受保护模板无法进行交叉匹配，从而避免了系统遭受链接攻击。就本文提出的方案而言，对于在两个不同的应用A和B中进行注册的同一条虹膜数据，在进行局部排序之前，首先随机生成两组特定于应用的参数p_{Ai}和p_{Bj}，并通过这两组参数将原始虹膜编码通过异或运算转化为伪虹膜编码。由于这两组参数是随机生成的，因此这两组随机参数之间是相互独立的，进而异或生成的伪虹膜编码之间也是相互独立的，而这两条相互独立的伪虹膜编码通过同样的方式生成受保护的虹膜模板，所以生成的模板之间也是相互独立的，即它们之间的分布是相同的。综上所述，即使由同一条原始虹膜数据在不同应用中注册的虹膜模板，也无法进行交叉匹配判断是否来自同一原始虹膜数据，说明了本文提出的方案满足不可链接性。

4　 实验与分析

这一节给出了本文所提出的方案在经典虹膜数据集CASIA-IrisV3-Interval^[21]上进行的参数变换实验、性能对比实验、不可逆攻击实验以及不可链接性评估实验。

4.1　实验设置

本文提出的方案是对文献[5]中LRCB方案所做的改进，因此对数据集的预处理方式与文献[5]中的方法一致。采用OSIRIS-V4.1系统^[22]对数据集中的虹膜图像进行分割，进行正则化以及编码等处理。此外，本文中的精度实验默认使用移位和掩码策略，移位策略的 sn 设置为8。在实验中，只使用数据集中左眼图片转化的二进制虹膜编码进行实验，一共有1 332条虹膜编码，来自198个个体。本文选择错误接受率(FAR)、错误拒绝率(FRR)、正确接受率(GAR)以及等错误率(EER)作为性能的评价指标,选择原始虹膜编码x与通过不可逆攻击得到的近似编码\widehat{x}之间的海明距离HD作为不可逆性的评价指标，计算方法如下：

\mathrm{H}\mathrm{D}=\frac{{\displaystyle \sum _{i=\mathrm{1}}^m}{x}_i⨁{\widehat{x}}_i}{m}\times \mathrm{100}\mathrm{\%}（9）

其中，m为原始虹膜编码的长度。

4.2　性能评估

1） 参数变换实验

本文提出的FRCB的性能随参数变换的实验结果以及对应LRCB的性能实验结果^[5]如表1所示。从实验结果的整体情况来看，当b相同时，本方案的性能随着d的增加而增加，而当d相同时，性能随着b的增加而降低，而当b和d都相同时，随着特定于应用的参数个数l的增加，方案的性能有略微下降。FRCB与LRCB一样在b=\mathrm{1},d=\mathrm{64}时具有最高的GAR。对比文献[5]中对LRCB的不可逆攻击结果，以及后文的不可逆攻击实验的结果可以发现，这些参数设置下本方案抵抗不可逆攻击的HD提高超过15%。另外，在l=\mathrm{3},b=\mathrm{1},d=\mathrm{8}以及l=\mathrm{3},b=\mathrm{4},d=\mathrm{32}\mathrm{和}\mathrm{64}等参数设置下GAR下降都在3%以内，而HD的提升超过10%。

但从实验结果中也可以发现，FRCB在某些参数设置下，精度下降比较多。尤其是当d=\mathrm{2}\mathrm{和}d=\mathrm{4}时，FRCB相对于LRCB的精度下降比较大。通过分析可以知道，在d=\mathrm{2}时，由于排序的分组大小d的值太小，在顺序值融合的时候很容易造成融合之后与融合之前结果之间的大小关系改变，使得类别判断时容易产生误判，导致识别精度下降较多。

本文提出的FMCB方案的参数变换实验的结果如表2所示。从实验结果可以看出，性能随着参数变换的趋势与FRCB的趋势类似，相比之下FMCB精度下降幅度稍大，但与对应后文中不可逆性实验结果对比可以发现，一定程度上的精度下降带来了不可逆性的较大提升。

综合以上两个实验的结果可以发现，参数变换对于本文所提出的两种方案识别性能的影响整体趋势呈现一样的规律。因此，在进行参数设置时，建议对b和l取较小的值，而对d取较大的值，例如l=\mathrm{3},b=\mathrm{1},d=\mathrm{32}，或者l=\mathrm{3},b=\mathrm{1},d=\mathrm{64}等。

2） 性能对比

这一节将本文提出的方案与LRCB和开源的虹膜识别系统OSIRIS-V4.1在CASIA-IrisV3-Interval上的识别性能进行对比，实验结果如表3所示。

Table 3 本文方法与LRCB和OSIRIS-V4.1在FAR = 0.01%时的GAR、EER以及HD对比

从表3可以看到，对于FRCB,当l=\mathrm{3}，b=\mathrm{1}且d=\mathrm{64}时，GAR达到97.50%，EER为1.12%，HD达到24.54%。对于FMCB，当l=\mathrm{4}，b=\mathrm{1}且d=\mathrm{2}时，GAR为96.22%，HD达到31.84%，说明FMCB方案虽然精度下降较多，但不可逆性的提升更大。

4.3　不可逆性评估

1） 不可逆攻击

本实验选择数据集中编号前30的个体，并从每个个体虹膜编码中选择第一条进行攻击实验。攻击过程中，首先将虹膜编码转化为受保护的虹膜模板，接下来通过相应的攻击模型对转化之后的每一条受保护模板进行攻击得到原始虹膜数据的近似串\widehat{x}，之后通过(9)式计算攻击模型得到的近似值\widehat{x}与原始虹膜数据x之间的海明距离(HD)。本文提出的FRCB抵抗不可逆攻击的实验结果与LRCB抵抗不可逆攻击的实验结果^[6]对比如表4所示。

从整体实验结果来看，当b固定时，HD随着d的增加而呈现下降趋势，其中d=\mathrm{2}时的HD值最大，即d=\mathrm{2}所对应的不可逆性最高，而当d固定时，HD的值随着b值的增加而增加。在b较小且d较大的几组参数设置下，相对于原始的LRCB方案，HD值有了很大的提升。

FMCB的攻击实验结果如表5所示。在大多数参数设置下，攻击模型对本方案进行攻击得到的近似串与原始虹膜串的HD都高于40%，也体现了本文方案达到了大幅度提升不可逆性的目的。通过与表2中的实验结果对比发现，在HD大幅度提升的前提下，虽然某些参数情况下GAR下降比较多，但很多参数设置下GAR依然较高。加粗的几组参数是FMCB中较好地完成隐私和效用权衡的参数设置。

2) 多重记录攻击

多重记录攻击^[23]是假设攻击者能够获得同一虹膜的多条特征数据在不同应用中转化得到的多个模板，进而利用这些模板更好地进行对原始虹膜数据的逆向攻击。对于每一条原始虹膜编码x，首先通过m组不同的特定于应用的参数p_i将其转化得到m条受保护的模板t_{\mathrm{1}},t_{\mathrm{2}},\dots ,t_m，其中，m为记录重数(m\in \{\mathrm{1,3},\mathrm{5,7}\})，转化过程中的b固定为2，变换m、d和l进行实验。模板转化完成之后，对于这m条模板，使用本文设计的攻击方法攻击得到m条原始虹膜数据的近似值，分别为{\widehat{x}}_{\mathrm{1}},{\widehat{x}}_{\mathrm{2}},\dots ,{\widehat{x}}_m，然后根据这m条近似虹膜编码利用绝对多数投票决定最终的预测值\widehat{x}每一位上的值。

本文提出的FMCB以及对应LRCB抵抗多重记录攻击的实验结果^[6]如表6所示。当l、b和d都固定时，随着记录重数m的增加，通过攻击模型攻击得到的近似值\widehat{x}与原始虹膜编码x的HD逐渐减小，但与LRCB接受多重记录攻击的结果对比也可以发现，在FMCB不可逆性最低的参数设置下，即d=\mathrm{16}时，接受7条记录攻击时得到的HD也有19.19%，比LRCB最好情况的15.68%高出了3%左右。此外，当d=\mathrm{2},d=\mathrm{4}和d=\mathrm{8}的参数下都满足接受7条记录攻击HD值相对于LRCB提升超过20%，且由表2中的结果可知，此参数设置下的精度还高于80%。实验结果说明了本方案可以在大幅度提升不可逆性的前提下，仍然保持较高的识别性能。

4.4　不可链接性评估

采用精度最高(对应安全性最低)的参数设置进行评估，即FRCB中参数设置为l=\mathrm{3}，b=\mathrm{1}且d=\mathrm{64}，而FMCB中参数设置为l=\mathrm{3}，b=\mathrm{1}且d=\mathrm{16}。

1) 通过交叉匹配的距离分布评估

这一小节的实验通过计算来自不同应用中的模板进行交叉匹配时的距离分布来评估本文所提出方案的不可链接性。假设有两个应用分别为A和B，首先采用两组应用具体的参数p_i和 p_j将数据集中的原始虹膜数据都转化为相应应用中的受保护模板，对于应用A中的虹膜模板，从每个个体的模板中选择其中一条，与应用B中受保护的虹膜模板进行交叉匹配，完成交叉匹配之后记录下对应的距离和相应的频次。

FRCB交叉匹配距离的分布图如图3(a)所示。从分布来看，类内匹配和类间交叉匹配的距离都是几乎重合的正态分布，因此攻击者无法判断两个应用中的模板是否来自同一个人，说明FRCB具有良好的不可链接性。FMCB的交叉匹配的距离分布如图3(b)所示。从结果可以看出，类内匹配和类间交叉匹配的距离分布同样是几乎一致的正态分布，同样不具有可分离性。从以上实验结果中可以看出，即使是来自同一个体的虹膜编码在不同应用中转化的模板，在进行交叉匹配时也无法进行类别判断，说明FMCB也具有良好的不可链接性。

2) 通过局部和全局不可链接性评估

这一小节采用文献[24]提出的框架对于本文提出方案的不可链接性进行定量评估。局部不可链接性度量指标D_{\leftrightarrow }(s)是衡量在某个特定的交叉匹配分数s下的不可链接性。D_{\leftrightarrow }(s)范围在[\mathrm{0,1}]之间，D_{\leftrightarrow }(s)越接近于0表示对应匹配分数下的不可链接性越好，相反，越接近1则表示该匹配分数下对应的不可链接性越差。全局不可链接性D_{\leftrightarrow }^{\mathrm{s}\mathrm{y}\mathrm{s}}则是衡量整个系统不可链接性的指标，D_{\leftrightarrow }^{\mathrm{s}\mathrm{y}\mathrm{s}}越接近于0表示系统整体的不可链接性越好。

图4中，淡红色虚线表示非配对（non⁃mated）模板交叉匹配相似性分数的分布，绿色实线表示配对（mated）模板交叉匹配相似性分数的分布。从图4(a)(b)中都可以看出，两种相似性分数的分布都是几乎重叠的，因此在交叉匹配时无法判断模板是否来自同一用户，从而直观展示了方案的不可链接性。

FRCB的不可链接性评估结果如图4(a)所示。FRCB的全局不可链接性D_{\leftrightarrow }^{\mathrm{s}\mathrm{y}\mathrm{s}}=\mathrm{0.058}\mathrm{7}，非常接近于0，说明FRCB的不可链接性较好，即是不可链接的。FMCB的不可链接性评估结果如图4(b)。该方案的全局不可链接性D_{\leftrightarrow }^{\mathrm{s}\mathrm{y}\mathrm{s}}=\mathrm{0.035}\mathrm{6}，该值也非常接近于0，因此同样说明本方案具有很好的全局不可链接性，并且FMCB比FRCB方案具有更好的全局不可链接性。

5　 结 语

本文提出了两种基于顺序值融合策略的可撤销虹膜识别方法：第一种改进方案侧重于保持性能，适用于对性能要求较高的应用中；第二种改进方案侧重于提升安全性，适用于对安全性要求很高，允许一定程度性能损失的应用中。本文分析了所提出的改进方案满足不可逆、可撤销和不可链接三大安全性要求，并且设计了相应的不可逆攻击实验和不可链接评估实验验证了方案的安全性。实验结果与LRCB对比可以发现，FRCB方案可以实现精度下降2%以内而不可逆性提升超过15%；FMCB方案则可以实现不可逆性提升超过30%且精度下降在10%以内，该方案能很好地权衡隐私与效用。在未来的工作中，我们将对本文所提出的方案进行进一步地改进和完善，并尝试将其部署到实际的虹膜识别系统中。

参考文献

[1] JAIN A K， FLYNN P， ROSS A A. Handbook of Biometrics ［M］. Berlin： Springer， 2007. DOI: 10.1007/978-0-387-71041-9 .

[2] RATHGEB C， UHL A. A survey on biometric cryptosystems and cancelable biometrics［J］.EURASIP Journal on Information Security， 2011， 2011（1）： 1-25. DOI： 10.1186/1687-417X-2011-3 .

[3] RATHA N K， CONNELL J H， BOLLE R M. Enhancing security and privacy in biometrics-based authentication systems［J］. IBM Systems Journal， 2001，40（3）： 614-634. DOI： 10.1147/sj.403.0614 .

[4] ISO. Information Technology-Security Techniques-Biometric Information Protection［EB/OL］. ［2022-05-30］. DOI: 10.3403/30136313 .

[5] ZHAO D D， FANG S， XIANG J W， et al. Iris template protection based on local ranking［J］. Security and Communication Networks， 2018， 2018： 1-9. DOI： 10.1155/2018/4519548 .

[6] OUDA O. On the practicality of local ranking-based cancelable iris recognition［J］. IEEE Access， 2021， 9： 86392-86403. DOI： 10.1109/ACCESS.2021.3089078 .

[7] RATHGEB C， BREITINGER F， BUSCH C. Alignment-free cancelable iris biometric templates based on adaptive bloom filters［C］//2013 International Conference on Biometrics （ICB）. New York： IEEE Press， 2013： 1-8. DOI： 10.1109/ICB.2013.6612976 .

[8] JIN Z， HWANG J Y， LAI Y L， et al. Ranking-based locality sensitive hashing-enabled cancelable biometrics： Index-of-max hashing［J］. IEEE Transactions on Information Forensics and Security， 2018， 13（2）： 393-407. DOI： 10.1109/TIFS.2017.2753172 .

[9] LAI Y L， JIN Z， TEOH A B J， et al. Cancellable iris template generation based on indexing-first-one Hashing［J］. Pattern Recognition， 2017， 64： 105-117. DOI： 10.1016/j.patcog.2016.10.035 .

[10] SADHYA D， RAMAN B. Generation of cancelable iris templates via randomized bit sampling［J］. IEEE Transactions on Information Forensics and Security， 2019， 14（11）： 2972-2986. DOI： 10.1109/TIFS.2019.2907014 .

[11] TAREK M， HAMOUDA E， ABOHAMAMA A S. Multi-instance cancellable biometrics schemes based on generative adversarial network［J］. Applied Intelligence， 2022， 52（1）： 501-513. DOI： 10.1007/s10489-021-02401-7 .

[12] TAREK M， HAMOUDA E， EL-METWALLY S. Unimodal-Bio-GAN： Keyless biometric salting scheme based on generative adversarial network［J］. IET Biometrics， 2021， 10（6）： 654-663. DOI： 10.1049/bme2.12034 .

[13] TAREK M， OUDA O， HAMZA T. Robust cancellable biometrics scheme based on neural networks［J］. IET Biometrics， 2016， 5（3）： 220-228. DOI： 10.1049/iet-bmt.2015.0045 .

[14] HERMANS J， MENNINK B， PEETERS R. When a Bloom filter is a Doom filter： Security assessment of a novel iris biometric template protection system［C］//2014 International Conference of the Biometrics Special Interest Group （BIOSIG）. New York： IEEE Press， 2015： 1-6.

[15] DWIVEDI R， DEY S. Cancelable iris template generation using look-up table mapping［C］//2015 2nd International Conference on Signal Processing and Integrated Networks （SPIN）. New York： IEEE Press， 2015： 785-790. DOI： 10.1109/SPIN.2015.7095296 .

[16] ZHAO D D， LUO W J， LIU R， et al. Negative iris recognition［J］. IEEE Transactions on Dependable and Secure Computing， 2018， 15（1）： 112-125. DOI： 10.1109/TDSC.2015.2507133 .

[17] OUDA O， CHAOUI S， TSUMURA N. Security evaluation of negative iris recognition［J］. IEICE Transactions on Information and Systems， 2020， E103.D（5）： 1144-1152. DOI： 10.1587/transinf.2019edp7276 .

[18] ZHAO D D， ZHOU X Y， XIANG J W， et al. NDBIris with better unlinkability［C］//2020 IEEE Symposium Series on Computational Intelligence （SSCI）. New York： IEEE Press， 2021： 2948-2956. DOI： 10.1109/SSCI47803.2020.9308596 .

[19] YANG W C， WANG S， SHAHZAD M， et al. A cancelable biometric authentication system based on feature-adaptive random projection［J］. Journal of Information Security and Applications， 2021， 58： 102704. DOI： 10.1016/j.jisa.2020.102704 .

[20] EVANS D L， LEEMIS L M， DREW J H. The distribution of order statistics for discrete random variables with applications to bootstrapping［J］. INFORMS Journal on Computing， 2006， 18（1）： 19-30. DOI： 10.1287/ijoc.1040.0105 .

[21] CASIA. CASIA Iris Image Database［EB/OL］. ［2022-05-10］. DOI: 10.1163/1574-9347_dnp_e227780 .

[22] OTHMAN N， DORIZZI B， GARCIA-SALICETTI S. OSIRIS： An open source iris recognition software［J］. Pattern Recognition Letters， 2016， 82（2）：124-131. DOI： 10.1016/j.patrec.2015.09.002 .

[23] LI C， HU J K. Attacks via record multiplicity on cancelable biometrics templates［J］. Concurrency and Computation： Practice & Experience， 2014， 26（8）： 1593-1605. DOI： 10.1002/cpe.3042 .

[24] GOMEZ-BARRERO M， GALBALLY J， RATHGEB C， et al. General framework to evaluate unlinkability in biometric template protection systems［J］. IEEE Transactions on Information Forensics and Security， 2018， 13（6）： 1406-1420. DOI： 10.1109/TIFS.2017.2788000 .

基金资助

国家自然科学基金(61806151)

重庆市自然科学基金(cstc2021jcyj-msxmX0002)

湖北省重点研发计划(2022BAA050)

海南省重点研发计划(ZDYF2021GXJS014)