Attaque de défloutage : définition
Une attaque de défloutage vise à reconstituer des informations visuelles intentionnellement ou involontairement obscurcies par un floutage. Dans le cadre de l’anonymisation d’images et de vidéos, l’attaquant cherche à estimer les détails présents dans une zone floutée contenant un visage ou une plaque d’immatriculation, tels que des traits du visage, des caractères ou l’identité probable d’une personne.
Le terme ne se limite pas à l’inversion d’un filtre mathématique. Un attaquant peut exploiter les pixels visibles autour de la zone masquée, d’autres images de la même vidéo, une image source en haute résolution ou un modèle d’apprentissage automatique entraîné afin d’inférer des détails plausibles manquants. Un résultat reconstitué peut sembler convaincant sans restituer fidèlement les pixels d’origine. Cette distinction est importante lors de l’évaluation du risque d’anonymisation.
Les attaques de défloutage sont donc pertinentes pour sélectionner et valider des méthodes de floutage des visages et de floutage des plaques d’immatriculation. Une méthode doit être évaluée non seulement sur son rendu visuel, mais aussi sur la probabilité qu’une personne ou un véhicule puisse encore être associé à une identité à partir des images traitées et d’autres informations raisonnablement accessibles.
Fonctionnement d’une attaque de défloutage
Le flou est généralement modélisé comme un processus de dégradation d’image. Un modèle simplifié suppose qu’une image d’origine est convoluée avec un noyau de flou, puis affectée par du bruit. L’attaquant tente alors d’estimer l’image d’origine, le noyau de flou ou les deux.
La formulation standard est la suivante :
y = k * x + n
Symbole | Signification
|
|---|---|
x | Région de l’image d’origine, telle qu’un visage ou une plaque d’immatriculation non floutés |
k | Noyau de flou, qui décrit l’opération de lissage |
* | Opération de convolution |
n | Bruit, artefacts de compression, bruit du capteur ou autre dégradation |
y | Région floutée observée dans l’image |
En pratique, le floutage appliqué pour anonymiser une image ou une vidéo peut ne pas suivre ce modèle simple. L’encodage vidéo, le redimensionnement, les mouvements, les exportations répétées et les retouches manuelles peuvent modifier la zone masquée. Ces changements peuvent compliquer l’inversion exacte, mais ils n’empêchent pas automatiquement un attaquant de générer une reconstitution plausible.
Méthodes utilisées lors des attaques de défloutage
Les méthodes d’attaque varient selon ce que l’attaquant sait du contenu source et du processus de masquage. Les attaques les plus efficaces combinent généralement le traitement d’image avec des informations externes.
- Déconvolution classique : l’attaquant estime un noyau de flou et applique un filtrage inverse ou une optimisation régularisée. Cette méthode est particulièrement pertinente lorsqu’un flou gaussien, de mouvement ou de défocalisation prévisible a été utilisé.
- Défloutage aveugle : l’attaquant estime à la fois l’image d’origine et le noyau de flou inconnu. Le défloutage aveugle est un problème mal posé, car plusieurs images d’origine peuvent produire un résultat flouté similaire.
- Reconstitution à partir de plusieurs images : l’attaquant exploite plusieurs images vidéo contenant le même visage ou la même plaque d’immatriculation. Les différences de mouvement, de netteté et de compression peuvent révéler davantage d’informations qu’une image isolée.
- Reconstitution par apprentissage profond : un réseau de neurones entraîné sur des paires d’images floues et nettes génère un résultat d’apparence plus nette. Parmi les exemples figurent le réseau de neurones convolutif multi-échelle décrit par Nah, Kim et Lee en 2017, ainsi que DeblurGAN de Kupyn et al. en 2018.
- Inférence contextuelle : l’attaquant utilise les vêtements, le lieu, le modèle du véhicule, les personnes visibles à proximité, l’heure ou des images publiques pour déduire une identité. Il ne s’agit pas d’une récupération de pixels, mais cette méthode peut tout de même compromettre l’objectif de protection de la vie privée.
Pourquoi les attaques de défloutage sont importantes pour l’anonymisation d’images et de vidéos
Une zone floutée ne doit pas être considérée comme anonymisée au seul motif que les caractéristiques d’origine sont difficiles à distinguer. La question pertinente est de savoir si les images traitées permettent encore d’isoler une personne, de relier des informations entre elles ou d’inférer une identité lorsqu’elles sont combinées à des informations auxiliaires réalistes.
Pour les visages, les risques résiduels comprennent la géométrie visible du visage, la coiffure, les vêtements, le contexte corporel et les apparitions répétées dans plusieurs images. Pour les plaques d’immatriculation, le risque dépend de la lisibilité des caractères, de la possibilité de combiner des caractères partiels entre plusieurs images et de la possibilité d’associer le véhicule à une identité grâce au lieu ou à d’autres caractéristiques visuelles.
La détection des visages constitue une étape technique distincte de l’anonymisation. Un visage doit d’abord être détecté afin qu’une méthode de masquage puisse être appliquée à la bonne zone. Les visages non détectés créent un risque d’exposition immédiat, tandis qu’un masquage insuffisant peut créer un risque de défloutage après la détection.
Paramètres clés pour évaluer la résistance aux attaques de défloutage
Aucun rayon de flou ni réglage de pixellisation ne garantit une protection universelle. La méthode appropriée dépend de la résolution source, de la distance par rapport à la caméra, des mouvements, de la compression, du type d’identifiant et du modèle de menace.
Paramètre | Pourquoi est-ce important ? | Test pratique
|
|---|---|---|
Couverture du masque | Une couverture incomplète peut laisser apparaître les yeux, les contours du visage ou les caractères d’une plaque. | Vérifiez que le masque dépasse les contours du visage ou de la plaque détectés. |
Résolution source | Les images en haute résolution contiennent davantage de détails récupérables avant le masquage. | Testez les exports dans leur résolution d’origine, et pas uniquement les fichiers d’aperçu. |
Cohérence temporelle | Les décalages d’une image à l’autre peuvent exposer certaines parties de la cible ou faciliter une analyse sur plusieurs images. | Examinez les masques image par image lors des mouvements et des changements de plan. |
Compression et transcodage | L’encodage peut modifier les contours du flou et créer des artefacts. | Validez le format vidéo final livré ainsi que son débit binaire. |
Taux de réussite de l’attaque | Un résultat visuellement net ne constitue pas une preuve suffisante d’identification. | Mesurez si des évaluateurs indépendants peuvent correctement associer les sujets masqués à des références connues. |
Tester l’anonymisation face aux attaques de défloutage
Une évaluation robuste doit simuler les capacités réalistes d’un destinataire des images. Les tests doivent inclure des images fixes et des séquences vidéo complètes, car les informations temporelles peuvent modifier sensiblement le niveau de risque.
- Définissez l’attribut à protéger, tel qu’un visage ou un numéro de plaque d’immatriculation.
- Documentez la résolution source, la fréquence d’images, le codec, l’angle de la caméra et la configuration de masquage.
- Testez les méthodes d’amélioration courantes, notamment l’accentuation, la super-résolution, la déconvolution et l’examen de plusieurs images.
- Déterminez si le résultat du test permet d’inférer correctement une identité ou des caractères, plutôt que de produire une simple amélioration visuelle apparente.
- Consignez le risque résiduel, les critères d’acceptation et la version du processus d’anonymisation utilisée.
Gallio PRO prend en charge la détection automatique des visages et des plaques d’immatriculation pour l’anonymisation des fichiers image et vidéo. Il n’effectue pas l’anonymisation de flux vidéo en temps réel. Les éléments tels que les logos d’entreprise, les tatouages, les badges nominatifs, les documents et le contenu affiché sur des écrans nécessitent un masquage manuel dans l’éditeur manuel intégré lorsqu’ils créent un risque d’identification.
Normes et références
Il n’existe aucune norme de l’ISO ou du National Institute of Standards and Technology (NIST) définissant un réglage de flou universellement sûr pour les visages ou les plaques d’immatriculation. L’évaluation du risque doit plutôt combiner des tests techniques avec le contexte de communication prévu.
- ISO/IEC 20889:2018, Terminologie relative à la désidentification des données améliorant la protection de la vie privée et classification des techniques.
- NISTIR 8053, Désidentification des informations personnelles, National Institute of Standards and Technology, 2015.
- Nah, Kim et Lee, Réseau de neurones convolutif profond multi-échelle pour le défloutage de scènes dynamiques, IEEE Conference on Computer Vision and Pattern Recognition, 2017.
- Kupyn et al., DeblurGAN : défloutage aveugle du mouvement au moyen de réseaux adversariaux conditionnels, IEEE Conference on Computer Vision and Pattern Recognition, 2018.