“刷臉登錄”有漏洞？專家：生物特徵數據被盜更危險

社會新聞來源：新華社 2017年03月19日 20:38 A-A+
掃一掃 手機閱讀

我要分享

QQ空間新浪微博騰訊微博QQ微信

原標題：

　　 在央視3.15晚會上，主持人現場提供了一張自己的證件照，大約一分鐘後，這張照片由靜態變成了動態，能眨眼、微笑。之後，主持人打開手機中的某人臉識別APP，按照刷臉登錄步驟操作，直接登錄成功。

　　主持人隨機邀請了一位觀眾，並找到觀眾個人微博中一張公開發佈的自拍照。經現場技術處理，這張照片被快速生成了與觀眾本人一模一樣的3D人臉模型。隨後，主持人對準手中的手機鏡頭，將觀眾的3D臉模套在自己的臉上直接“換臉”，按照APP中活體檢測的提示依次完成眨眼、轉頭、微笑等動作，竟然騙過了APP，順利完成了活體檢測認證。

　　新華社上海3月19日電（記者何欣榮）憑藉一張觀眾的自拍照，就成功“換臉”破解手機的人臉認證系統。近期，“刷臉登錄”存在的安全漏洞，在315維權活動中備受關注。不過，相關信息安全專家認為，比起數據在傳輸和認證過程中的安全漏洞，後臺的生物特徵數據一旦被盜，給用戶帶來的風險將會更大。

　　隨著技術的不斷進步，指紋識別、虹膜識別、人臉識別等生物認證方式不斷推陳出新，傳統的“用戶名+密碼”已經進化到當前的“用戶名+密碼+生物特徵+活體檢測”等更高級、立體的防護體系。面對科技含量越來越高的認證技術，無論是老百姓還是企業，都感到安全系數也隨之提升。

　　然而事實並非如此。比如，人臉識別技術雖然看起來頗為先進，但是一旦有不法分子破解了其中的技術屏障，在獲得消費者其他信息的條件下，就可能通過“刷臉”的方式侵害消費者利益。

　　在人臉識別的安全漏洞被曝光後，不少互聯網企業紛紛在第一時間發表聲明，表示已經預見到了這種風險。360首席科學家顏水成就表示，現階段人臉認證技術還不能在所有場合做到非常成熟，在涉及個人隱私、財産等重要信息的場景下，建議啟用多重認證方式。

　　上海市信息安全行業協會會長談劍峰也表示，從原理上講，所有的認證不外乎服務器端與認證端進行信息對比。在互聯網環境下，一旦採用生物特徵認證，就會産生特徵數據。而所有的生物特徵數據，只要進入計算機，就會被轉換為0和1的機器碼在數據庫中儲存起來。

　　“生物認證最大的共性是唯一性。每個人都有獨一無二的臉、指紋和虹膜等。正是這種唯一性，讓大家認為生物認證是安全的。但生物特徵數據庫一旦被攻破，大量的帶有唯一性的生物特徵數據被盜取，帶來的風險要比‘盜刷’嚴重得多。這才是生物認證方式的真正‘痛點’。” 談劍峰説。

　　在談劍峰看來，現階段生物認證技術，其實更適合於不聯網的本地化應用，比如門禁、保險箱和銀行保險庫等。在缺乏成熟的信息安全技術的支持下，互聯網企業不應急於將這類帶有安全隱患的技術作為“噱頭”來吸引大眾。

　　 【科普】人臉認證靠不靠譜？“換臉”怎麼做到的？

　　今年央視3.15晚會上，一段測試人臉識別安全性的互動演示讓人細思恐極。主持人在技術專家幫助下，不僅能讓觀眾的一張自拍照會眨眼，還能讓其變成可受任何人控制的臉部模型，並以此攻破了人臉認證。

　　這種“換臉”具體是怎麼回事？360人工智慧研究院視覺分析專家邱學侃解釋説，人臉識別需要通過兩點認證身份，一是人臉比對，即判斷待驗證的人臉是不是本人，二是活體檢測，即判斷待驗證的人臉是不是真實有效的。而這次演示，在已經掌握清晰正面照的情況下，主要針對第二點進行破解。他説，針對刷臉登錄的破解，根據主持人提供的證件照片，現場技術人員借助人臉關鍵點定位和自動化人臉動效技術，通過將自拍照由靜態改為動態，可以完成刷臉登錄需要的眨眼、微笑動作。而活體檢測的破解，則通過3D建模將現場隨機選擇的觀眾照片轉變成立體的人臉模型。