刷脸比输密码安全？它的风险可比你想象得大

　　出品：科普中国

　　制作：铁流

　　监制：中国科学院计算机网络信息中心

　　在今年9月,阿里巴巴旗下蚂蚁金服宣布在杭州KFC首推“刷脸支付”服务。同月，以苹果公司为代表的数家手机厂商重磅推出具备人脸识别解锁功能的手机。苹果公司还宣称，人脸识别提供了比指纹更高的安全性。随即，不少媒体开始畅想人类即将进入刷脸时代，无论是开设银行账户、手机解锁、网络支付，还是打开小区门禁和自家房门，都将采用“刷脸”模式。

　　然而，在GeekPwn2017国际安全极客大赛上，一位黑客仅用时两分半就骗过了人脸识别系统。那么人脸识别安全性究竟怎么样呢？到底存在哪些安全风险？

　　黑客

　　（黑客现场演示攻破人脸识别系统）

　　人脸识别用于网络支付存在风险

　　随着移动支付的兴起，指纹支付、虹膜支付、刷脸支付等生物特征支付方式层出不穷。特别是阿里和苹果这样的大公司先后推出人脸识别和刷脸支付这样的功能，使刷脸支付显得非常时髦。而且相对于输入密码的支付模式，刷脸支付也会更加便捷。

　　不过，正如便捷性和安全性不可兼得。由于黑客攻击和人类识别技术的局限性，就目前来说，刷脸支付其实是存在较大安全风险的。

　　首先，网络空间存在被黑客攻击的风险。在去年，德国纽伦堡大学发表了一篇face2face的论文，从技术上已经实现了远程用模拟他人人脸进行身份认证。也就是说，黑客根本不需要你的人脸生物特征数据，就可完成人脸进行身份认证。

　　合成

　　（依靠技术破解身份认证）

　　其次，高仿模型可以骗过人类识别安全系统。在刷脸支付的想法被提出时，就有人调侃：“整容了这么办？”“毁容了怎么办？”“双胞胎怎么办？”“人皮面具怎么办？”。虽然这只是网友的调侃，但其中的风险是客观存在的。

　　在2016年，美国北卡罗来纳大学的技术团队依靠照片进行技术处理之后，建成了人脸3D模型，然后利用这个模型去测试人类识别系统。测试的结果让人惊骇：80%的人类3D模型骗过了系统的检测。也就是说，一旦犯罪分子使用高仿人脸3D模型，或者间谍电影中的人皮面具，那么，很可能将轻松骗过现在的人脸识别系统。

　　人脸建模

　　（人脸3D模型）

　　总而言之，在开放的网络空间、银行开户和大额支付等高安全级别场景，不宜采用人脸识别技术进行认证，否则将引发系统性风险。

　　虹膜、指纹：不适用于高安全级别场景

　　其实，不仅是刷脸支付存在安全风险，指纹识别、虹膜识别这类生物特征识别技术也不适用于高安全级别场景。虽然很多手机、笔记本等电子设备已经采用了指纹识别或者是虹膜识别，但技术是否被大量应用与技术安全性的高低并无直接关系。

　　根据公安部第三研究所物联网技术研发中心主任梅林介绍：“我们注意到手机、笔记本等用指纹开锁，虽然方便，但是安全是有问题的......我们的公安部信息网络安全重点实验室仅用假体攻击就能轻易打开这些指纹锁”。

　　另外，人脸、指纹、虹膜这类生物特征识别技术还存在一个巨大的风险。那就是很难保证这些信息不被从电脑、笔记本或者刷脸支付设备中窃取。由于生物特征成为每个人所独有的、伴随终生的、不可更改的身份信息。生物特征信息一旦大规模泄露，造成的后果将是灾难性的。

　　具体来说，如果您由6位数字组成的密码被盗取，那么您只要修改密码即可（可撤消）。而一旦您的生物特征信息一旦泄漏出去，就无法挽回了（不可撤消）。

　　正是因为生物特征泄漏危害巨大，相关的标准正在制定中，在将来生物特征采集设备市场准入和强制检测将越来越严格，数据的保护手段以及数据的安全应用也会越来越先进。与此同时，大家一定要加强自我保护意识，千万不要随意刷脸、刷指纹或虹膜，将自己的生物特征数据轻易交给他人。

　　人类识别技术的应用方向

　　虽然在网络支付、银行开户和大额支付高安全级别场景不适合应用，但是在采集设备可控、环境可控的安防等场景，人脸识别的技术应用前景非常广泛。

　　人脸信息

　　（面部特征采集比对）

　　人脸识别技术可以与视频监控相结合的主动布控技术，将广泛的用于机场、高铁、地铁等场景，支撑安保智能化的进一步发展。依托人脸识别和人工智能技术，公安机关可以通过视频监控捕获犯罪分子的人脸信息数据，然后再跟数据库的人脸进行比较，确认犯罪分子的身份。

　　在警务服务方面，人脸识别技术也大有可为。公安三所曾经公布过一段宣传片。在小女孩走失后，公安三所开发的守望者系统人脸识别技术确认了走失小女孩的面部特征。由于小女孩年龄太小，个人数据并未被记录在公安机关的数据库内，人工智能从全城的视频监控中搜索与该小女孩有监护行为的女子，然后通过人脸识别技术确认了这位女子的身份，帮助小女孩找到了家人。

　 脸部特征提取

　　在“人证合一”核验的场景中，人脸识别技术可以应用于重点场所进行现场人脸和证件中人脸的同一性认定。

　　在影视动漫行业，人脸识别技术将大幅推动CG（Computer Graphics）动漫影视作品的发展。

　　总之，任何技术都有其适用场景，不能因为方便而不顾安全隐患，特别是在存在系统性风险的情况下。

　　人脸识别不安全，有更安全的技术么

　　就目前来说，人脸、指纹、虹膜等生物特征识别不应当作为判断身份的关键手段，而应当作为物理空间身份查验中“人证合一”的辅助手段，即判别持证人是否持本人的身份证。

　　在政府推行的“一号一窗一网”的互联网＋政务服务中，解决“一网”问题的最好最安全可靠的方案就是采用网络电子身份标识（eID）技术和服务体系进行身份认证。

　　eID是十二五期间国家863信息安全重大专项的科研成果。eID是以密码技术为基础、以智能安全芯片为载体、由“公安部公民网络身份识别系统”签发给公民的网络电子身份标识，能够在不泄露身份信息的前提下在线远程识别身份，eID具有身份认证、安全登录、数字签名、交易保护和数据授权等功能。

　　目前eID正进入产业化阶段，有江苏省的工商全程电子化平台、淮安的食药监管理、上海的“市民云”公共服务、海口市的不动产登记、中航信的航旅信息服务、深圳法大大的电子合同等应用试点。

　　“科普中国”是中国科协携同社会各方利用信息化手段开展科学传播的科学权威品牌。

　　本文由科普中国融合创作出品，转载请注明出处。

本文由科普中国专家北京工业大学教授、博士生导师，中国人工智能学会科普工作委员会秘书长于乃功进行科学性把关