生物識別技術(shù)應用于金融支付刷臉，你敢嗎

趙展慧

最近，上海一商家推出了臉譜支付系統(tǒng)，通過對人臉的掃描確定支付人，從而劃走其賬戶資金完成支付。其實，人臉支付不是頭一回聽聞，指紋、掌紋、筆跡、聲音、人臉……這些人體生物特征作為密碼，“隨身攜帶”更便捷，“量身定制”更唯一。然而，也正是因為它的唯一性，讓很多人憂心：身體密碼如果被盜取復制或者需要更換時怎么辦，“身體支付”相對于傳統(tǒng)支付是否更安全？

人臉識別精度有多高

換個發(fā)型、戴了眼鏡，高質(zhì)量設備照樣能認出你

戴上眼鏡、變了發(fā)型，機器還能不能識別出你的臉？最新推出的人臉支付系統(tǒng)，為了增強識別精度，除了掃描人臉之外還需要支付者“按個手印”，通過指紋數(shù)據(jù)比對配合，才能最終完成支付確認。

“目前，在受控場景一對一的人臉識別身份認證準確率可以超過99%。”中國科學院自動化研究所模式識別國家重點實驗室研究員孫哲南介紹，人臉和指紋識別技術(shù)已經(jīng)有50年的發(fā)展歷史，積累了比較成熟的技術(shù)體系，即使戴眼鏡、換發(fā)型，也基本都能識別出來。

“同樣，在受控條件下，指紋、人臉、虹膜等主流生物特征模態(tài)識別精度和速度都能滿足金融支付應用。”孫哲南詳細解釋了受控條件這個高精度識別的前提，“主要是指設備、用戶和環(huán)境等因素都有利于識別的情況，例如，高質(zhì)量的圖像采集裝置、用戶配合、光照均勻等?！?/p>

“這也是為什么人臉和指紋識別技術(shù)很早以前就在強制性較高的公安領(lǐng)域應用，卻還沒在金融支付領(lǐng)域普及的原因。”支付寶安全技術(shù)資深總監(jiān)曹愷表示，金融過程尤其是消費支付過程時間很短，并且用戶一般是遠程支付而不是面對面配合，這就對識別技術(shù)的準確性、可靠性包括用戶體驗提出了更高的要求。

如今，人臉支付等利用生物識別技術(shù)付款的方式越來越具備普及的基礎(chǔ)。近幾年生物識別技術(shù)在采集設備和識別方法上都有重要突破?！袄?，深度機器學習方法使人臉識別精度大幅提升，近期測試結(jié)果表明，通過大規(guī)模數(shù)據(jù)訓練后在限定圖像測試庫上電腦的人臉比對精度超過人腦。”孫哲南說。同時，傳感器等采集設備的發(fā)展和普及也讓人臉識別技術(shù)越來越接近日常使用。目前國際上已經(jīng)有一些銀行認可指紋、虹膜、靜脈作為身份標識開展銀行業(yè)務。

假臉騙得了計算機嗎

通過多攝像頭和動作檢測等手段，可抵御攻擊，但沒有絕對的安全

不久前，德國的一個實驗室證明可以用假指紋解鎖蘋果公司的iPhone 6手機，從而獲得包括支付在內(nèi)的各種應用通行證。類似經(jīng)驗恐怕普通人也曾有過，買一個指紋貼，復制上別人指紋貼在自己手指上，就能幫遲到的同事“作弊”代打卡了。

同樣，如果利用你的頭像照片或是視頻，是否也能騙過機器“登堂入室”？這些都是生物識別系統(tǒng)前端采集環(huán)節(jié)最常見的攻擊。孫哲南認為，目前還沒有比較低成本、高可靠的指紋和人臉防偽手段，因此安全風險較高。但這并不意味著技術(shù)上沒有辦法，如果提高技術(shù)成本，有效的防攻擊手段并不少。

比如，傳統(tǒng)的刮擦式指紋傳感設備抗攻擊能力比較弱，但是新的電容式傳感器已經(jīng)能夠很好地監(jiān)測真皮層的紋路來獲取指紋，通過只復制了表面的指紋貼很難攻擊成功。比如通過多個攝像頭可以檢測人臉是否為三維立體，從而有效防止二維的照片和視頻攻擊，或者在識別用戶的過程中讓用戶隨機做一些動作，提前準備好的假體視頻很難應付這種動態(tài)檢測。

“攻防的過程可以說是魔高一尺、道高一丈，沒有絕對的安全，但防攻擊手段的提升能拉高攻擊的門檻，當攻擊成本高于收益，就意味著攻擊沒有了價值?！辈軔鹫f，不久前支付寶在其安全開放日發(fā)布了人臉等生物識別支付技術(shù)，“這些技術(shù)在實驗室內(nèi)測中已經(jīng)得到了不錯的結(jié)果?！?/p>

身體密碼被盜怎么辦

將人臉圖像數(shù)據(jù)與動態(tài)參數(shù)綁定，如被竊只需掛失動態(tài)參數(shù)

如果將人臉作為支付密碼，在支付過程中人臉數(shù)據(jù)被黑客截走，難道需要“掛失”現(xiàn)在的模樣，換一張臉才行嗎？這當然只是個可怕的想象。在支付以及密碼數(shù)據(jù)接收的這一中間和終端環(huán)節(jié)中，專家通過對生物模板的脫敏和加密保護來實現(xiàn)用戶生物特征的保護。

“簡單來說，就是讓人臉或者其他生物特征變得可撤銷、可變更。”孫哲南介紹了一種業(yè)內(nèi)比較熱門的加密思路，“就像給生物特征穿上一件變化的外套，比如，將人臉圖像數(shù)據(jù)與一個動態(tài)參數(shù)綁定，如果被竊，只要掛失這個動態(tài)參數(shù)，就等于掛失了你的生物特征，下次注冊會綁定新的參數(shù)。并且綁定的數(shù)據(jù)是不可逆的，即使在支付過程中被攔截，也不能還原成原始圖像?！?/p>

曹愷提供了目前另一種生物模板加密的研究方向，這種保護方式被稱為“模糊保管箱”。曹愷解釋，這種保護方式是把用戶的生物特征作為密碼來保護服務商提供的一組密鑰，用戶在支付時，使用自己的生物特征對這組預先分配的密鑰進行解鎖，密鑰在完成解鎖后傳輸給服務商進行身份驗證，這樣一來，網(wǎng)上傳輸以及服務商保存的只是這組密鑰，即使被盜取了，危害也不大。

針對采集設備、活體檢測、識別精度、通路加密、服務終端每一支付環(huán)節(jié)的不同攻擊，都有有效招數(shù)來狙擊風險，而每一個招數(shù)背后，都是一個深邃、極富挑戰(zhàn)的技術(shù)領(lǐng)域。同時，不僅是科技領(lǐng)域，支付安全的發(fā)展還依賴更多學科的支撐。“支付安全現(xiàn)在不僅是生物識別、密碼學、信息安全問題，還需要綜合考慮心理學、社會工程學、支付行為學等多方因素制定安全方案，支付安全已經(jīng)進入了一個新時代。”曹愷說，比如，大額支付和手機話費充值所采用的安全保護技術(shù)自然有所區(qū)別，一個更強調(diào)安全，一個更強調(diào)方便。

孫哲南則看好生物識別技術(shù)的應用前景，他認為，不僅僅用于支付，生物特征還將是智能時代的身份入口，人臉、虹膜等更多的生物特征將為智能設備、智能網(wǎng)絡、智能安防等提供自動精準的身份標識，這既對生物識別技術(shù)提出了重大挑戰(zhàn)，也蘊含著巨大的市場。

（本文摘自《人民日報》）