撓米成：當機器通過看臉就認出你是誰，真的安全嗎？

【文/觀察者網專欄作者：撓米成】

隨着iPhoneX中FaceID（人臉識別解鎖）功能的推出，人臉識別就開始火起來。如今，科技公司更是告訴我們“刷臉”將成為生活的日常：開設銀行賬户、辦理酒店入住、小區門禁，手機解鎖、移動支付、肯德基點餐，人臉識別將無所不在、無所不能。

先不要激動，暢想還沒多久，24日發生的一幕似乎要澆上一盆冷水，在GeekPwn2017國際安全極客大賽上，90後女黑客“tyy”利用設備漏洞，僅用時兩分半就騙過了人臉識別系統，打開了門禁。

90後女黑客“tyy”現場演示

當美好的未來和殘酷的現實交織在一起，我們也不得不再次思考那個問題：當機器通過看臉就認出你是誰，真的安全嗎？

人臉驗證，真的更安全嗎？

至少專家是不看好的。“目前所有互聯網認證技術中，生物識別認證是最不安全的，”上海市信息安全行業協會會長談劍峯在媒體上公開表示。“有人認為，生物特徵在自己身上具有唯一性，因此，生物識別認證技術應該是安全的。但很多人沒有想到，這種唯一性也意味着，生物認證信息一旦“丟失”就不可再生”， 談劍峯説。

從技術層面看，不管是人臉、指紋、聲音還是虹膜，這些人類的生物特徵都不適合作為遠程身份驗證的安全密鑰，因為它們太容易被仿造了。無論你擁有的是志玲姐姐的臉還是鳳姐的臉，雖然在你自己看來這是獨一無二的物理特徵，不可能被仿造被複制，但是對於計算機而言，這些特徵就是一串0和1組成的數字，或者説，是一串密碼。而且，普通密碼不安全了不喜歡了，還可以重新改；但是生物特徵信息被盜用後，不可能從物理上修改人的特徵來修正密碼，因此無法再次使用。

而在眾多生物識別技術中，人臉識別又是技術風險最大的。虹膜、指紋等生物識別技術都具有良好的穩定性，可以在很長時間內保持穩定，也不易受外部干擾影響。而人的臉部特徵則不然，有的人喜歡化妝、有的人愛佩戴飾品，這些都會使得臉部特徵發生改變，除此之外，整容、受傷、過敏、年齡增長等因素都會對臉部的識別產生影響，成為潛在的技術風險。

人的臉部特徵容易複製也是問題之一。目前，複製指紋早已不是什麼新鮮事。在某電商平台輸入“指紋膜+打卡”就可以輕鬆找到若干賣家兜售可以在家DIY指紋套的材料，掌櫃推薦的“豪華進口四人用”版本只要五十多元，可以供四個人制作用於欺騙指紋打卡機的指紋套。

而複製臉部特徵同樣很有可能，這一點007等間諜大片中已經給我們演示了無數遍。相對於密碼、指紋等保密手段，人的臉部天天暴露在公眾之中，獲取起來更為容易。

除了電影，也有實操。去年8月，來自北卡羅來納大學的一個研究團隊從Facebook上收集到了一些人的照片，利用電腦合成和渲染後生成了平面化的3D模型顯示在手機上。隨後他們利用這個模型進行測試，發現有高達4/5的被測安全系統在55%到85%的被測時間內，都可以被輕鬆騙過。更重要的是，他們在Facebook上能收集到的照片非常有限，質量也沒有保證，有些還只是45度角的側臉。

雖然時過境遷，以iPhoneX的FaceID等為代表的識別技術已經宣佈可以邁過“靜態識別”這一步，能防止照片及其他一些簡單複製手段的欺騙，但那些同樣技術精良的犯罪團伙，如果在未來推出像間諜大片中那樣逼真的人臉3D頭套時，臉部識別能否繼續保證安全？還要打個問號。

尼古拉斯·凱奇的電影《變臉》更是把臉都換了 你説能不能騙過人臉識別？

商用級的人臉識別可以被電腦合成的3D模型輕易騙過，個人信息數據庫更是各種犯罪分子攻擊的主要目標。由於“刷臉支付”主要通過手機拍照後進行數據傳輸。在傳輸過程中，也有可能受到黑客、病毒等攻擊，人臉信息在系統後台服務器解析過程中，解析結果同樣可以被篡改盜。在本文的開頭，“tyy”就是利用設備漏洞，直接修改設備中的人臉信息，實現用任意人臉來“矇騙”人臉識別系統，打開門禁。

更要命的是，如果“刷臉支付”被各家企業廣泛使用，那麼各企業參差不齊的技術實力，使得人臉信息泄漏的風險直線上升。“我比較擔心的是，假設我們的面部特徵以及指紋、虹膜等生物特徵信息被廣泛應用，比如用於銀行支付等，而在這之前我們的生物特徵數據已被各個銀行、手機廠商甚至不知名的APP廠商充分採集到，這個時候我認為才是風險最大的時候，”大成天下CTO黃鑫在9月份舉辦的2017第二屆SSC安全峯會上説。

黃鑫認為，風險主要來自於人們對自己生物特徵數據的不夠重視，可能會讓別有用心的人隨便拖個庫（從數據庫中導出數據），就能把這些數據拿到手。“弱口令有問題還可以更改，指紋、虹膜這樣的生物特徵數據就不是這麼簡單了。在技術還不是非常成熟、運用前景還不是很準確的情況下，我和家人不會把自己的生物特徵數據錄給不放心的廠商。”

作為網絡安全技術強國的以色列就發生過這種事情。2011年10月，以色列勞動與社會福利部就曾有900萬人（以色列到2016年的人口只有855萬，這些數據中包括已故公民的數據）的個人信息被一個軟件承包商竊取。失竊的信息包括姓名、住址、出生日期、證件號和親屬關係等，並被放在一款名叫Agron2006的軟件上，銷售給需要不同信息的相關方。

人臉技術：適於身份識別，不適於身份驗證

儘管人臉識別技術的火爆是近年的事，但對人臉識別的研究卻早在19世紀末就開始了。英國人類學家、氣象學家、地理學家弗朗西斯·高爾頓（Francis Galton，1822－1911）在1888年和1910年分別在《Nature》雜誌發表文章，對人類自身的人臉識別功能進行了分析（每個人都有五官，而且大體位置關係基本固定，但我們是通過什麼來識別出兩張不同的臉的）。

20世紀60年代至90年代，人臉識別被作為一般性的模式識別問題來研究，主要的研究集中在對於剪影（Profile）的研究上。1991年到1997年期間，誕生了若干個最有代表性的算法，美國軍方還組織了著名的FERET人臉識別算法測試，並出現了商業化運作的人臉識別系統。此後，人臉識別的商業系統進一步發展，越來越多的技術革新用於解決室內外光照變化、姿態、時間跨度等變化條件給識別的有效性帶來的挑戰。

但是，這一切技術革新的主要目的是為了實現遠程的身份識別，而非身份驗證。例如，在人臉識別系統的幫助下，公安部門可以在機場、體育場、超市等公共場所對人羣進行監控，防止恐怖分子登機或幫助抓捕嫌犯。當人臉識別系統鎖定了嫌疑人以後，還需要民警現場抓捕的時候再次確認嫌疑人的身份，真正的身份確認過程是發生在公安人員與嫌犯面對面的“近場”，而不是視頻監控系統的線上“遠程認證”。

相反，要使用人臉識別技術作為線上支付的密匙，就等於是在支付系統的雲端直接憑藉接收到的人臉信息做出身份認證，這是非常不嚴謹的。因為，雲端的系統並不能保證它接收到的信息是來自人的，還是計算機模擬出來的。

互聯網時代剛剛到來的時候，我們曾戲謔地開玩笑：你不知道網絡對面和你聊天的是一個人還是一隻狗。但在那個時候，網絡並沒有侵入到包括人們銀行賬户在內物理生活空間，所以，我們其實完全不必在意是和人還是狗聊天。隨着移動支付時代的到來，線上空間和物理生活空間極大地融合了，網絡身份驗證的複雜性和重要性也出現了顛覆性的變化。

在移動支付時代到來之前，使用網上銀行交易的用户大多是容易學習和接受新鮮事物的年輕人。那個時代要使用網銀轉賬或者第三方支付軟件支付，至少需要記住網絡銀行的登錄密碼、U盾密碼和交易密碼三個密碼，而且還需要在電腦及瀏覽器上安裝各種各樣的插件，這在客觀上阻止了很多人使用網絡支付服務。

移動支付時代的到來使得網絡支付的流程越來越簡化，在很多的場景下僅需要手機的驗證碼就可以登錄賬户，而不需要多重身份驗證了，甚至出現了小額免密支付等更加簡化的流程。因此我們可以看到移動支付的迅速普及，無論是超市、餐廳、路邊擺攤賣菜的大媽，幾乎每個商家都接受移動支付，幾乎每個人都在使用移動支付。

更加便捷、低價的銀行服務對於用户來説是好事，更加廣闊的市場對於移動支付公司來説也是好事，但是在實現“雙贏”的過程中，也應把網絡安全風險放在第一位。以生物特徵作為遠程驗證的秘鑰，雖然獲得了最大程度的便捷性，但若是以犧牲安全性為代價，將是得不償失的。

本文系觀察者網獨家稿件，文章內容純屬作者個人觀點，不代表平台觀點，未經授權，不得轉載，否則將追究法律責任。關注觀察者網微信guanchacn，每日閲讀趣味文章。