Les attaques par présentation peuvent être perpétrées à l’aide de divers supports, allant de simples impressions papier à des masques en silicone hyperréalistes. Crédit : Mads Wang-Svendsen, NTNU

Vous vous souvenez peut-être de la scène de la comédie Raising Arizona dans laquelle Nicolas Cage enfile un collant sur sa tête avant de tenter, avec un succès mitigé, de voler un paquet de couches dans une supérette. Bien que le masque en nylon soit devenu une icône de la culture populaire dans les années 1980 et 1990, rien n’indique qu’il ait été largement utilisé par de véritables criminels. Les masques en bas étaient probablement trop révélateurs et peu pratiques.

Raghavendra Ramachandra, professeur de cybersécurité à l’université NTNU de Gjøvik, prévient que cela est sur le point de changer.

Les masques en nylon pourraient servir non pas à dissimuler l’identité d’un criminel, mais à lui donner celle de quelqu’un d’autre.

Vulnérable aux attaques

Ramachandra étudie comment sécuriser les systèmes numériques conçus pour empêcher l’accès non autorisé à votre téléphone portable ou à votre compte bancaire en ligne. Il mène ces recherches en collaboration avec des collègues de l’Université norvégienne de sciences et de technologie (NTNU) et de plusieurs universités à travers le monde.

« Nombre de ces systèmes reposent désormais sur la biométrie. Cela signifie que nous n’avons plus besoin de nous souvenir de mots de passe ni de transporter autant de clés et de jetons d’accès qu’auparavant. Ces systèmes sécurisent nos appareils grâce à nos caractéristiques biologiques uniques », explique Ramachandra.

Les masques d’un réalisme saisissant peuvent tromper les systèmes biométriques, menaçant ainsi la sécurité de nombreux dispositifs, des téléphones portables aux systèmes de contrôle d’accès, avertit Raghavendra Ramachandra, professeur à l’Université norvégienne de sciences et de technologie (NTNU) de Gjøvik. Crédit : Mads Wang-Svendsen, NTNU

Ces caractéristiques peuvent inclure votre visage, vos empreintes digitales et vos yeux. Bien que ces systèmes soient souvent fiables, pratiques et conviviaux, ils sont également vulnérables à certains types d’attaques.

« Il existe de bonnes raisons pour lesquelles les systèmes de sécurité biométriques sont utilisés aujourd’hui par les banques, aux points de contrôle des passeports et dans de nombreux autres domaines où la sécurité est primordiale. Parallèlement, ces systèmes se sont révélés vulnérables à ce que nous appelons les attaques par présentation », explique Ramachandra.

Attaques de présentation

Une attaque par présentation consiste pour un attaquant à présenter à un système biométrique une copie des caractéristiques biologiques nécessaires.

« De nombreux téléphones récents, par exemple, intègrent la reconnaissance faciale », explique Ramachandra. « Imaginez que quelqu’un veuille accéder à mon téléphone. Il pourrait se rendre sur mon profil Facebook, télécharger ma photo de profil et l’imprimer sur une feuille de papier. S’il présente ensuite ce papier à mon téléphone pour tenter d’y accéder sans autorisation, il commet une attaque par présentation. »

La réussite de l’attaque dépend de la sophistication de la méthode employée et du système de reconnaissance. La plupart des systèmes de reconnaissance faciale modernes ne seraient probablement pas trompés par une impression papier.

« Mais imaginons que quelqu’un qui me suit sur les réseaux sociaux me procure plusieurs selfies pris sous différents angles », suggère Ramachandra.

« Cela pourrait servir de base à la création d’un modèle 3D de mon visage. Et si vous avez un modèle 3D de mon visage, vous pouvez mener des attaques par présentation sophistiquées », explique le chercheur de l’Université norvégienne de sciences et de technologie (NTNU).

Potentiel d’attaque très élevé

Ramachandra choisit un masque en silicone d’un réalisme saisissant. Il confère au visage factice une profondeur réaliste et des proportions justes entre le nez, les yeux et la bouche. Grâce au silicone, même la texture de la peau est reproduite avec un grand réalisme.

« Cela signifie que nous considérons ces masques comme présentant un potentiel d’attaque très élevé. Autrement dit, il y a de fortes chances qu’ils parviennent à tromper un système biométrique », explique le chercheur.

« De nombreux systèmes de reconnaissance auraient du mal à gérer cela », déclare Ramachandra.

Le masque est tellement réaliste qu’on pourrait se demander comment il est possible de sécuriser un système contre un tel dispositif.

« Une solution consiste à utiliser deux systèmes de reconnaissance en parallèle. Ces masques pourraient tromper un système basé uniquement sur la reconnaissance faciale. Mais si le système utilise également la reconnaissance vocale, l’accès vous sera refusé », explique le chercheur.

L’inconvénient, c’est que cela complique rapidement les choses pour les utilisateurs : non seulement ils doivent montrer leur visage, mais ils doivent aussi utiliser leur voix.

« Notre objectif est donc de créer un système unique capable de gérer de manière autonome plusieurs types d’attaques différentes, y compris de nouvelles méthodes qui n’ont jamais été rencontrées auparavant », explique Ramachandra.

Un classique revisité

Avant d’examiner plus en détail le fonctionnement pratique d’un tel système, il convient de s’attarder un peu plus sur le fameux masque en nylon. Quel est précisément son rôle dans les recherches de Ramachandra ?

Comme nous l’avons vu, les masques en silicone présentent un fort potentiel d’attaque. Cependant, certains facteurs rendent leur utilisation difficile. Par exemple, ils sont coûteux et complexes à produire.

« Comme chaque personne a une forme de tête différente, ces masques doivent être fabriqués sur mesure pour chaque porteur afin que les proportions ne soient pas déformées une fois le masque en place. Cela rend rapidement le processus coûteux et complexe », explique l’expert en cybersécurité.

Ce n’est pas le cas des masques en nylon.

« Les masques en nylon que nous avons utilisés dans cette recherche peuvent facilement être achetés en ligne. Une image haute résolution de la personne imitée est imprimée directement sur la surface, de manière à préserver même les plus petits traits du visage lorsque le matériau est étiré », explique Ramachandra.

Les masques en nylon ne sont peut-être pas aussi réalistes que les masques en silicone, mais les expériences menées par Ramachandra et ses collègues montrent qu’ils présentent un potentiel d’attaque relativement élevé et peuvent tromper les systèmes biométriques avancés.

Le fait que ces masques puissent être commandés facilement et à bas prix en ligne démontre également à quel point de telles attaques sont devenues réalisables dans des situations réelles, selon le chercheur.

Peau, yeux et micromouvements

Les masques en nylon ne sont qu’un des derniers outils en date dans la panoplie sans cesse croissante utilisée par les cybercriminels pour accéder à nos appareils numériques.

« C’est un jeu du chat et de la souris permanent pour rester à la pointe. Dès que nous trouvons des moyens de détecter une méthode d’attaque, une autre apparaît aussitôt », explique Ramachandra.

L’objectif des chercheurs est donc de développer un système capable de détecter simultanément plusieurs méthodes d’attaque, y compris des méthodes nouvelles et jusqu’alors inconnues.

Ils ont déjà parcouru un long chemin pour y parvenir.

« En utilisant des algorithmes d’apprentissage automatique entraînés sur des éléments tels que la texture de la peau, les mouvements oculaires et les micromouvements, nous avons développé un outil capable de détecter ces méthodes d’attaque et qui est également performant face aux nouvelles », explique Ramachandra.

Les micromouvements sont de minuscules mouvements que tous les êtres humains effectuent constamment sans en avoir conscience. Ils se produisent, par exemple, lorsque nous respirons, avalons ou levons inconsciemment un sourcil.

« Cet outil peut être intégré aux téléphones mobiles, aux services bancaires en ligne et à d’autres systèmes de contrôle d’accès. Nos expériences montrent que le système peut également détecter des types d’attaques pour lesquels il n’a pas été préalablement entraîné », explique le chercheur.

Autrement dit, si le visage présenté au système se comporte différemment de ce à quoi on pourrait s’attendre d’un vrai visage, le système l’identifie comme une tentative d’attaque.

Ramachandra et ses collègues cherchent actuellement à déterminer s’il est possible d’identifier la personne masquée. Selon lui, des expériences préliminaires suggèrent que cela pourrait être possible grâce à une caméra multispectrale. Si cette technologie se concrétise, le personnage de Cage dans Arizona Junior aurait eu encore moins de chances de s’en sortir.

https://norwegianscitechnews.com/2026/09/stocking-masks-making-a-criminal-comeback/