Morphing-aanval: hoe twee gezichten in één pasfoto passen
Stel je voor: een pasfoto die niet van één persoon is, maar een zorgvuldig gemengd gezicht van twee mensen tegelijk. Dat is een morphing-aanval (van het Engelse to morph, geleidelijk van vorm veranderen): een gemanipuleerde foto waarin de gezichtskenmerken van twee personen zo zijn samengevoegd dat een gezichtsherkenningssysteem — en vaak ook een mens — bij beide personen zegt: dit klopt. Wie zo'n foto in een paspoort of identiteitsbewijs krijgt, kan dat document met twee verschillende gezichten laten gebruiken.
Vergelijk het met twee doorzichtige portretfoto's die je over elkaar legt en met een vinger laat 'in elkaar overlopen' tot er één nieuw gezicht ontstaat met trekken van beide, maar dat er volkomen natuurlijk uitziet. Voor het blote oog — en voor de scanner bij een grenscontrole — lijkt dat ene gemiddelde gezicht genoeg op zowel gezicht A als gezicht B om als geldige match te gelden. Zo zou iemand met een strafblad kunnen reizen op het paspoort van een handlanger zonder strafblad, simpelweg omdat de foto in het document op beiden lijkt.
Wat is het precies?
Gezichtsherkenningssystemen zetten een portretfoto om in een wiskundig sjabloon: een reeks meetbare kenmerken zoals de afstand tussen de ogen, de vorm van de kaaklijn en de positie van neus en mond. Bij een grenscontrole vergelijkt de software dit sjabloon met een live foto van de reiziger en berekent een gelijkenisscore. Is die score hoog genoeg, dan is er een match.
De klassieke manier om een morph te maken, verloopt in een paar stappen. Eerst worden bij beide bronfoto's automatisch tientallen 'landmarks' bepaald: vaste herkenningspunten zoals ooghoeken, neuspunt en mondhoeken. Vervolgens worden beide foto's zo vervormd (warping) dat deze punten bij allebei op precies dezelfde plek liggen. Daarna worden de pixelwaarden van de twee uitgelijnde foto's gemengd (blending), meestal fifty-fifty. Tot slot volgt nabewerking om 'spookbeelden' weg te werken: vage dubbele contouren rond bijvoorbeeld het haar of de oren die ontstaan doordat de uitlijning nooit helemaal perfect is.
Nieuwere technieken gebruiken kunstmatige intelligentie, met name GAN's (Generative Adversarial Networks): twee neurale netwerken die tegen elkaar 'opboksen', waarbij het ene netwerk steeds realistischere gezichten genereert en het andere probeert te ontdekken of een beeld nep is. Het resultaat oogt gladder en bevat veel minder van de verraderlijke artefacten van de klassieke methode, wat het lastiger maakt om zo'n morph te herkennen.
Belangrijk detail: een morph moet twee soorten controle doorstaan. Bij de aanvraag van een paspoort bekijkt een ambtenaar de foto met het blote oog, en bij gebruik van het document toetst een automatisch systeem — bijvoorbeeld bij een zelfscanpoortje op een luchthaven — de foto tegen het gezicht van de reiziger. Een geslaagde morph moet dus zowel mensen als machines om de tuin leiden.
Wat wil men ermee bereiken?
Voor kwaadwillenden is het doel identiteitsfraude: één document dat voor twee mensen bruikbaar is. Dat kan gaan om mensensmokkel, het omzeilen van een reisverbod of no-flylijst, of het reizen op de 'schone' identiteit van een medeplichtige terwijl de werkelijke reiziger gezocht wordt of geen visum zou krijgen.
Voor onderzoekers en overheden ligt het doel juist aan de verdedigende kant. Door zelf te onderzoeken hoe overtuigend een morph gemaakt kan worden, brengen zij de kwetsbaarheid van bestaande systemen in kaart. Dat voedt de ontwikkeling van detectiemethoden, in de vakliteratuur Morphing Attack Detection (MAD) genoemd, en van veiligere aanvraagprocedures — zoals het overstappen op foto's die uitsluitend rechtstreeks door een ambtenaar met een gekalibreerde camera worden gemaakt (live capture), in plaats van foto's die een aanvrager zelf inlevert.
Uiteindelijk draait het om vertrouwen in geautomatiseerde grenscontrole. Steeds meer landen gebruiken zelfbedieningspoortjes (Automated Border Control- of e-gates) die reizigers zonder tussenkomst van een mens doorlaten op basis van gezichtsherkenning. Dat systeem is alleen zo veilig als de foto die aan het begin van de keten — bij de paspoortaanvraag — wordt vastgelegd.
Voorbeelden uit de praktijk
- Bologna, 2014: onderzoekers Matteo Ferrara, Annalisa Franco en Davide Maltoni van de Universiteit van Bologna publiceerden het eerste bekende wetenschappelijke bewijs dat gemorphte pasfoto's zowel menselijke controleurs als geautomatiseerde gezichtsherkenning konden misleiden, in het spraakmakende paper 'The magic passport'.
- ANANAS-project, Duitsland (2018-2020): het Duitse federale bureau voor informatieveiligheid (BSI) en de federale recherche (BKA) financierden onderzoek naar automatische detectie van morphing bij de aanvraag van Duitse paspoorten.
- iMARS, EU-project (2020-2023): een door de Europese Unie (Horizon 2020) gefinancierd project — 'Innovative Management of Morphing Attack Risk' — waarin onder meer Hochschule Darmstadt, de Noorse technische universiteit NTNU, Fraunhofer IGD, de Nederlandse politie en Duitse grenspolitie samenwerkten aan detectietechnieken en testdatasets.
- NIST FRVT MORPH, Verenigde Staten (sinds 2019): het Amerikaanse National Institute of Standards and Technology beoordeelt in een doorlopende benchmark hoe goed commerciële en academische algoritmes van over de hele wereld morphing-aanvallen herkennen.
- Beleidswijzigingen bij paspoortloketten: mede naar aanleiding van dit onderzoek zijn diverse Europese landen, waaronder Duitsland en Nederland, overgestapt op het verplicht ter plekke fotograferen van aanvragers bij de gemeente, juist om het risico van ingeleverde (en dus mogelijk gemanipuleerde) pasfoto's te verkleinen.
Hoe ver is de techniek?
Zowel de aanvalskant als de verdedigingskant is de afgelopen tien jaar snel verbeterd. Waar vroege morphs vaak herkenbaar waren aan wazige randen rond haar en oren, leveren GAN-gebaseerde methodes inmiddels beelden op die nauwelijks nog zichtbare sporen bevatten.
Detectiemethoden worden onderverdeeld in twee soorten. Single-image detectie (S-MAD) probeert aan één foto te zien of die een morph is, bijvoorbeeld door subtiele textuurinconsistenties in de huid te analyseren. Differential detectie (D-MAD) vergelijkt de documentfoto met een vers gemaakte live-opname van de persoon aan het loket of gate, wat doorgaans betrouwbaardere resultaten geeft.
Toch blijven er obstakels. Detectiealgoritmes die goed werken op de foto's waarmee ze getraind zijn, presteren vaak duidelijk slechter op onbekende databases of nieuwe morphing-technieken — een probleem dat onderzoekers 'generalisatie' noemen. Ook de zogeheten print-scan-aanval blijft lastig: wordt een gemorphte foto afgedrukt en daarna weer ingescand voordat die in het paspoort belandt, dan verdwijnen juist de digitale sporen waarop veel detectoren letten. De meest structurele oplossing is dan ook niet detectie achteraf, maar het wegnemen van de kwetsbaarheid aan de bron: alleen nog paspoortfoto's accepteren die rechtstreeks door de overheid zelf zijn gemaakt. Die maatregel is inmiddels in meerdere landen ingevoerd, al geldt dat niet overal en niet voor bestaande, oudere documenten.
Wie werken eraan?
Het onderzoeksveld is relatief klein en sterk internationaal verweven. Toonaangevend is de onderzoeksgroep da/sec van Hochschule Darmstadt in Duitsland, onder leiding van hoogleraar Christoph Busch, die ook verbonden is aan de Noorse technische universiteit NTNU met collega Raghavendra Ramachandra. De Universiteit van Bologna in Italië geldt als bakermat van het vakgebied dankzij het baanbrekende werk van Davide Maltoni en collega's.
Aan overheidszijde zijn het Duitse BSI (informatiebeveiliging) en de BKA (federale recherche) actief, evenals het Amerikaanse NIST met zijn benchmarkprogramma. Op Europees niveau bemoeien de grensbewakingsorganisatie Frontex en nationale politiediensten, waaronder de Nederlandse politie, zich met het onderwerp vanuit de praktijk van grenscontrole en paspoortuitgifte. De internationale burgerluchtvaartorganisatie ICAO stelt bovendien de wereldwijde standaarden voor paspoortfoto's en biometrische documenten op, waarin eisen rond morphing-risico steeds prominenter terugkomen. Ook fabrikanten van grenscontroleapparatuur en biometrische software investeren in detectiesoftware voor hun e-gates.