法制论坛

搜索
查看: 3585|回复: 3

注意!“人脸识别”的安全问题已经来了

[复制链接]
发表于 2017-9-19 15:56 | 显示全部楼层 |阅读模式
“刷脸”支付进门过程并不顺利 打车软件“人脸识别”已被破解
“人脸识别”的安全问题已经来了

7.jpg

    调查动机

    9月13日凌晨,苹果发布新品iPhone X,新功能“Face ID”尤为引人瞩目。以后,无论是解锁iPhone X还是用其进行支付,用户只要看一眼手机就可以了。
  此前,中国农业银行已在贵州省贵阳市两台自助取款机上线“刷脸取款”,用户站在ATM机前,看一眼摄像头,再输入手机号、取款金额、密码,ATM机自动吐钞,用户取走现金。据悉,该功能将在贵阳进行大面积覆盖,今年年底在贵州实现全省覆盖。此外,招商银行也于2016年在全国106个城市近千台ATM机上实现了“刷脸”取款。
不仅如此,多所高校在今年9月入学季尝试了“刷脸”注册;肯德基有餐厅上线了“刷脸”支付;“京东之家”有门店实现了“人即钱包”;甚至有公厕用上了人脸识别厕纸机,靠脸取纸巾;更别说银行的“刷脸”转账了。
    一大波“刷脸”场景出现,当不少人沉浸在“人脸识别”的惊喜中时,也有人发出疑问:“刷脸”安全吗?




    □法制网记者 赵丽 □法制网实习生 韩朝阳


    “刷脸”的时代说来就来。
   
最近一段时间,“人脸识别”技术在各地应用的新闻屡见不鲜。继北京天坛公园安装“人脸识别”厕纸机后,8月31日,广西壮族自治区南宁市一家公园也采用了“人脸识别”厕纸机;9月7日,江苏省徐州市一家公共厕所同样装上了“人脸识别”厕纸机。北京市住建委9月8日表示,为解决保障房违规转租转借现象,继去年在海淀区金隅翡丽小区推行“人脸识别”门禁系统试点基础上,今年进一步在全市所有公租房小区推广。北京、武汉等地的火车站也开始启用“刷脸进站”设备。
   
《法制日报》记者在网上搜索发现,目前在门禁、考勤等方面应用“人脸识别”技术已经十分广泛。然而,任何新技术都可能是双刃剑。“黑科技”在带来更多惊喜和便利的同时,其潜藏的安全隐患也不容忽视。
   
尴尬的使用体验

   9月18日14时,《法制日报》记者来到北京市通州万达广场的京东之家体验“刷脸”支付。记者选中商品后来到支付柜台,店员优先推荐扫码支付。在记者表明要体验“刷脸”支付后,店员劝道:“这个技术还不太成熟,步骤比较繁琐,我们自己试了很多次,都不成功。之前也有顾客来尝试,没有支付成功。”记者执意表示愿意尝试后,店员才指导记者通过京东App扫码开通了“刷脸”支付功能,但是最终卡在了支付页面,无法付款。店员的电脑端也显示记者没有支付成功。记者随后多次退出App程序,尝试重启进入该功能,但都失败了。

   店员无奈地对记者说:“之前京东相关人员也来看过这个情况,但还是没办法成功‘刷脸’支付。今天人比较少,我们可以一直等您‘刷脸’支付,要是人多的时候,一直不能支付成功的话,后面的顾客就烦了。”最后,记者只得选择常规的扫码支付方式才完成此次购买。
   
同样作为使用者的北京师范大学大四学生墨桑(化名),对于“刷脸”的使用感受也是一言难尽。
  
  今年秋季学期,北京师范大学在学生公寓换装了新的门禁系统,“人脸识别”代替了之前的刷卡识别。更换识别系统后,学生进入公寓需要对着摄像头采集图像,然后刷自己的学生卡,匹配之后才能进入学生公寓。学生如果忘记带学生卡,可以输入学号的后四位,匹配成功也可以进入公寓。
  
  墨桑对《法制日报》记者说:“说是化妆或者戴眼镜都不会有影响,但是戴眼镜的话,在录入时要对戴眼镜和不戴眼镜的图像各录入一遍,传说‘亲妈都认不出来的时候,机器还能认出来’。”

   在墨桑看来,如果正常识别,速度还是挺快的,但并非每次都如愿。“如果学生卡、学号都不能够与图像识别系统匹配,还有最后一招,就是对着那个机器大声喊出自己的名字。第三种开启方式让我们很尴尬,虽然这种情况不多,但是已经出现了”。
  
  目前,北京师范大学的学生公寓有两道门禁,第一道大门是“人脸识别”,第二道门类似地铁站进出闸机,是刷卡识别加宿管阿姨辨别。墨桑说:“‘人脸识别’听起来比以前安全很多,但是一个同学通过‘人脸识别’打开大门后,后面的人和以前一样,依然可以不通过识别直接跟着进入。尴尬的是,在以前使用刷卡识别时,如果忘记带学生卡,第二道门无法刷卡进入,需要到宿管阿姨那里登记才能够进入。现在,因为有了外面的‘人脸识别’,所以宿管阿姨管的就很宽松,只要从第一道门禁进来了,宿管阿姨直接按第二道门禁的按钮放行,不需要刷卡。不知道是不是每栋楼都一样,这样其实加大了外人混入公寓的风险。”
  
  在便捷性上,墨桑说:“识别系统本来就只是为了提高安全性的,不是为了更方便。虽然没有做过调查,但是听同学说安全性反而降低了,而且现在出公寓也要刷卡,谈不上便利。也许以后会改进,一次只放一个人进入,不过这也太麻烦了。”
  
  “我同学普遍觉得这个系统很鸡肋,我现在觉得弊大于利,可能因为刚开始不太适应,说不定以后会改进。”墨桑说。
  
  杂乱的产品市场
   

和国外的“人脸识别”技术多应用于安防领域不同,在我国,“人脸识别”技术主要应用于企业的考勤门禁、物业小区的安全防护和金融领域的开户认证等,其中金融领域的应用占比较多。不过,目前比较常见的“人脸识别”技术主要出现在考勤机等应用上。
  
  《法制日报》记者以购买者的身份采访了北京市一家专业从事“人脸识别”设备销售的企业,并现场测试了一台集“门禁”“考勤”为一体的多功能考勤机。
   
在现场,记者首先进行人脸照片录入,主要对人脸的眼眶、鼻区以及嘴部三块区域进行图像采集。录入之后,记者站在机器前进行识别,只要一进入摄像头可照范围之内立即就被识别成功。不过,记者摘下眼镜或者更换眼镜以及调整眼镜佩戴角度后,考勤机无法识别成功。此外,用照片比对,该设备依然无法识别。
  
  据工作人员介绍,目前“人脸识别”考勤机的价位从数百元到上万元不等,价格越高,识别的精确度越高。记者测试的这款产品是最畅销的千元机,只要脸部采集到的数据能吻合到六成以上,便能认定是同一人。不过相对而言,由于采集时拍摄下来的一些特征相对单一,所以精确度也会受到影响。
   
记者还在淘宝通过搜索“人脸识别考勤”联系上一家卖“人脸识别”考勤机的店铺,并反复询问客服人员是否可以通过人脸的照片或者人脸视频进行打卡,客服都回答说不可以。在该商品的问答区,也有网友询问是否可以用手机上的照片或者视频代替打卡,有一个购买过该考勤机的网友回答说自己试了,发现不可以。
  
  记者随后搜索“人脸识别锁”,发现这类商品品牌繁多。记者联系了销售量排名靠前的一家商铺。在演示视频中,记者看到,演示者利用人脸的照片和视频尝试多次都无法开锁。商家承诺称,如果用户在使用过程中发现可以用照片打开,他们会赔偿1万元。在商品的问答区,已经购买的网友也表示自己尝试用照片开锁,但没有成功。记者询问客服人员,这个“人脸识别”锁的原理和苹果新发布的iPhone X手机的Face ID是否相同?客服人员称,他们的锁“采用面部3D骨骼识别技术,红外扫描面部轮廓,化妆、灯光明暗、胖瘦等不会影响识别,可以开锁。‘人脸识别’系统是取脸上很多个点,计算各个部位的点的距离。这个算法与是否化妆没有关系,不影响识别。而且,在灯光暗的情况下也能识别,因为‘人脸识别’锁有两个带有夜视功能的红外探头,只要把脸和手掌显示在屏幕框内,照样可以识别开门。小朋友身高达到1.3米的都可以‘刷脸’”。客服人员说,“照片绝对打开不了这把锁,此锁采用是3D骨骼识别技术,戴眼镜的朋友请戴着眼镜录脸。化浓妆、发型,都能准确识别。另外,如果脸部整形动了脸部三分之二的,就有可能识别不了,需要重新录入。”
  
  那么,使用3D仿真面具是否可以骗过“人脸识别”系统呢?对此问题,客服人员没有正面回答。
  
  在问答平台“知乎”上,一位网友回答了“目前人脸识别技术最大的挑战是什么”这一问题,其答案获得最高赞。这位网友告诉记者,淘宝上卖的“人脸识别”锁不能保证绝对安全。记者询问这种产品是否有可能被3D仿真面具欺骗?这位网友说,这种情况可能发生。
  
  记者随后在淘宝上搜索“3D面具”“乳胶面具”,发现这种产品也有不少,有的面具不仅改变了容貌,而且改变了脸部的骨骼结构,戴上之后多有以假乱真的效果。
  
  被破解的“人脸识别”
   
尽管“人脸识别”产品的客服人员声称一般不易被破解,但现实生活中已然出现了破解实例。
   
破解“人脸识别”的实例,要从一次网约车经历说起。
   
一名市民通过网约车App下单。很快,车到了,但车辆、司机的信息均与手机客户端上显示的信息不符。为了赶紧回家,这名市民也顾不上太多,就直接上车了。结果,车开出去不到一分钟,司机就扭头对这名市民说要取消订单。尽管这名市民一再拒绝,但司机还是坚持把她送回原处,让她重新打出租车。
   
没有办法,这名市民只能再次用这款网约车软件叫车,结果发现来接他的还是那名司机。司机说:“你要么就打个出租车回去,只要你还用这个软件约车,叫到的还是我的车。”
   
这名市民当时就纳闷了,为什么会这样?一番打听后,这名市民才知道,附近有一个由30多名“黑车”司机组成的车队,每名司机都有一堆虚假的司机账号,上百个虚假账号由同一个人来统一接单,然后通过电台调度车辆去接人。因此,不管用户打到哪个号,都会调同一名司机去接人。
   
了解到这些内情,这名市民更加不解,“这个网约车App上明明使用了‘人脸识别’功能来验证司机信息,为什么这些司机可以使用虚假账号”?经过一番软磨硬泡,那名司机终于透露,“人脸识别”听起来很厉害,但是他们有软件可以轻易破解。
   
没错,“高大上”的“人脸识别”技术就这样被一群“黑车”师傅给黑了。
   
以上故事是在Freebuf(国内关注度最高的全球互联网安全媒体平台)主办的FIT2017互联网安全创新大会上,平安科技安全研究员高亭宇在一场“关于人脸识别技术应用风险”主题演讲中的一段描述。
   
说完这个故事,高亭宇现场展示了那名司机用来破解“人脸识别”技术的软件——一款可以让照片“张口说话”的App。
   
高亭宇说,从那之后,他开始琢磨“人脸识别”技术在实际应用层面的风险,并调研了市面上使用“人脸识别”技术的软件,最后的结果出乎自己的预料。
   
通过分析,高亭宇发现,市面上大部分使用了“人脸识别”技术的软件,其识别流程大致相同:检测人脸→活体检测→人脸对比(和之前上传的自拍照或证件照)→分析对比结果→返回结果(通过或不通过)。
   
据了解,其中“活体检测”技术即在“人脸识别”时要求用户进行眨眼、点头、张嘴等动作,以防止静态图像破解,国内多个知名App中的“人脸识别”都采用了这项技术。
   
高亭宇说,一般的App开发者不会自己开发“人脸识别”技术,而是通过第三方的API接口或SDK组件来获得“人脸识别”功能,基于这个特点,他对“人脸识别”技术从接入到实际使用过程中的每个关键点进行了分析,最终在多个环节都找到了多个突破点,只要略施小计,就能让“人脸识别”形同虚设。比如,注入应用绕过活体检测,也就是通过注入应用的方式来篡改程序,从而绕过所谓的活体检测功能,使用一张静态照片就可以通过人脸识别。
   
在采访过程中,甚至有业内人士这样表示,“不是3D打印不行,如果用一台精密的打印机,破解‘人脸识别’同样不在话下”。
   
“除了一般的考勤、账号安全App之外,大量的银行、P2P金融企业的App已经介入使用了‘人脸识别’技术,其中金融行业在使用‘人脸识别’技术时的安全性明显高于一般应用;当‘人脸识别’技术涉及关键业务时,安全防护水准往往更高。”高亭宇说,比如他在测试国内某P2P金融的客户端时,尝试“人脸识别”解锁失败数次后,该App 就检测出了可能存在恶意破解的情况,强制使用银行卡信息、手机短信等其他方式来完成认证。
   
高亭宇在现场强调了一点,除了“人脸识别”技术在手机上的应用缺陷之外,许多问题导致的原因都是开发者在调用第三方“人脸识别”服务时,没有严格按照一个安全的规范来做,接入流程不够严谨,甚至经常出现为了提高用户体验而舍弃安全性的做法,这样的做法在技术实力不强的小公司十分常见,最终导致的结果就是,让用户把密码写在了自己的脸上。

来源:法制日报——法制网

 楼主| 发表于 2017-9-19 15:58 | 显示全部楼层

对话人

    中国科学院神经科学博士 刘耀文

    旷视科技市场副总裁 谢忆楠

    法制网记者 赵丽

    法制网实习生 韩朝阳

    “人脸识别”每个环节都复杂

    记者:根据前瞻产业研究所的数据,2009年至2016年,全球生物识别市场规模由34.22亿美元上升至127.13亿美元,年均复合增长率为31.50%。其中,人脸识别占比由2009年的11.4%增长到2016年的20.87%,占比持续增高。

    我国“人脸识别”相对于全球发展相对较慢,2016年我国“人脸识别”市场规模约为123.74亿元,预测2018年市场规模将超过400亿元,迎来飞跃性发展。

谢忆楠:“人脸识别”主要应用在金融、零售、商业、公共安全领域。从目前来看,“人脸识别”主要的功能及需求是远程实名认证、大规模人员通行管理、智能监控数据服务。从技术上来讲,“人脸识别”可以实现智能识别虚拟出一些“审核员”“前台”“收银员”等职位,实现这些场景的无人化、智能化、远程化,使得很多硬件有了拟人化服务能力,诸如手机、门禁机、小区道闸、公共摄像头等。而从长远来看,“人脸识别”会让未来的线下数据能有一个唯一的脸部ID作为索引,让所有的线下商业数据可以归到一个人或一群人,这也是未来大数据应用的基础。

刘耀文:最常见的就是在一些安防领域,因为“人脸识别”本身就是一个生物特征识别的技术,小的如门禁系统,大的如公共安全领域。至于“人脸识别”支付,我觉得还是一种辅助识别,增强一重验证的安全性。从目前来看,“人脸识别”支付还是需要通过输入手机号、身份证、密码等手段来确认是用户本人。我个人认为,“人脸识别”支付不是说便捷了多少,而是在一定程度上增强了安全性。

记者:目前“人脸识别”主要是通过什么技术(算法)实现识别,如何形象解释一下这个系统的技术原理或者说流程?

刘耀文:简单而言,它的步骤就是先摄取图像,摄取图像之后就在这个图像里进行人脸定位,然后对选取的人脸图像进行处理,之后通过数据库和算法进行人脸核对识别。

    但是,相应的,在每一步上都会存在一定问题。比如,在图像摄取上,如果环境变化很大,图像摄取就要考虑很多因素,光线、明暗等都会有一定影响。再一个,在图像识别上怎样建立信息库、怎样建立算法来保障识别的准确,这也是复杂的问题。

   

个人隐私支付安全如何保护

    记者:9月15日,在2017年网络安全博览会暨网络安全成就展新闻发布会上,上海市信息安全行业协会会长谈剑峰提到当下火爆的生物识别认证技术。他表示,目前所有互联网认证技术中,生物识别认证是最不安全的。谈剑峰称,有人认为,生物特征在自己身上具有唯一性,因此,生物识别认证技术应该是安全的。但很多人没有想到,这种唯一性也意味着,生物认证信息一旦“丢失”就不可再生。

刘耀文:首先,隐私问题现在已经是一个普遍关注的问题,任何网络应用都可能存在隐私问题,这个问题是客观存在的。想要更好地保护用户的隐私,就需要加强监管,这其中包括两个方面:第一是对于图像采集的监管、对于采集设备的限制,比如规定哪些厂商可以生产这些采集设备、哪些场合允许拍摄;第二要加强数据监管,对于采集的数据存放在哪里、什么样的权限可以使用这些数据、安全防护达到什么样的标准等问题要明确。

    其次,关于支付安全问题,我刚才也提到“人脸识别”比较容易获取,而且由于其非接触性,接受程度也高,但是随之而来也有一些客观问题。比如,人脸的识别度并不是那么高,整容、生理上成长等都会改变面部特征,这就意味着“人脸识别”并不是一个很好的身份认证手段,它还是一个辅助的认证手段。那么,在支付应用上,“人脸识别”也就只是增加了一个安全手续,而不是把快捷支付放在第一位。比如,银行推出“人脸识别”取款,其实银行一直都有无卡取款功能,这项功能和“人脸识别”一样,同样是需要密码或手机验证。“人脸识别”取款相当于多了一种取款手段,它还可以保留一定的证据。

    目前,在“人脸识别”技术领域,我国尚无相应的安全监管机制,这可能与这一技术还不普及、公众以及管理部门认知度不高有关系。不过,随着科技的快速发展,“人脸识别”注定会成为公民日常生活的常态,理应未雨绸缪。如果等到出现问题与危机才介入,那不仅会影响技术的演进,也会提高社会成本。

记者:有人认为,在“人脸识别”技术的科技研究和商业应用之间存在很大隔阂,实验室中推测算出的高可靠性,在商业应用时往往由于更注重技术应用的成本、便捷等问题,弱化其可靠性和安全性,这样会加大“人脸识别”技术在商业应用中的风险。

谢忆楠:商业性应用反而更加注重安全性,因为会直接涉及用户利益,所以至少在我们服务的客户中,并没有一家提出可以牺牲安全性来提高便捷的需求,而安全反而是第一优先的需求。

刘耀文:这是客观存在的。实验室中会控制各种变量,对照片的选择、数据规模、场景设定等都相对简单,可能会达到很高的拟合程度。现实中就很难了,拍摄环境很复杂,环境的变化会影响图像摄取,而且个人的衣着变化、装扮也会影响图像摄取,这些还只是简单的问题。另外,如果拍摄对象是处于移动过程中,那么定焦摄像机拍摄就会不清晰,然后需要对图像进行还原处理。本身就不清晰,会失真,还原过程会进一步影响图像识别。

    用户的隐私保护不能全靠企业的良心。在一个新技术日新月异、个人信息收录十分便捷的时代,如何看好我们的脸、保护好公民的个人隐私,需要公众个体多一些戒备与防范意识,需要企业多一些技术层面的保障措施,也需要监管及时跟进。

您需要登录后才可以回帖 登录 | 注册

本版积分规则

法制日报简介   |   关于我们   |   联系我们   |   法律声明   |   广告服务

网上违法和不良信息举报电话:010-84772380   法制网版权所有,未经协议授权禁止转载

京ICP备13032916号-1   网上传播视听节目许可证0105080号

京公网安备 11010502000576号   京报出证字第0080号

Powered by Discuz!

快速回复 返回顶部 返回列表