刷脸支付大热，所以是要脸还是要密码?

硪与你隔三秋丶

* c3 X: l2 q! [/ F, z6 f# c2 r7 E■廖木兴 / 图
刷脸支付大热 , 或继扫码支付后成为移动支付的成功衍生品
, [9 F* C2 }# w) i今年 10 月 20 日 , 刷脸支付迎来了 " 国家队 " ——在第六届世界互联网大会论坛上 , 中国银联正式发布刷脸支付设备 " 刷脸付 "。继支付宝推出 " 蜻蜓 " 刷脸收银机、微信支付推出 " 青蛙 " 刷脸收银机后 , 中国银联也正式入局 " 刷脸支付 "。尚在 " 咿呀学语 " 的刷脸支付是否会成为继扫码支付后 , 又一移动支付的成功衍生品 ? 消费者在享受这一支付方式带来便捷的同时 , 又应如何保护自己的隐私及财产安全 ?
# J4 m3 m/ ^# b  D$ j/ ?■新快报记者 范昊怡 许莉芸
市场
& l8 p8 h' m- I- B) B. g  J! O刷脸支付成支付行业 " 香饽饽 "
目前 , 在支付市场中 , 微信与支付宝通过扫码等方式占据着全国高达 90% 的市场份额 , 紧跟其后的是云闪付。
2018 年 , 支付宝推出了轻量级刷脸支付终端 " 蜻蜓 ", 开始对刷脸支付进行大规模商用推广。微信支付虽然起步稍晚 , 但是迭代频率却不遑多让 , 先是今年 3 月首次展示了轻量级刷脸支付终端 " 青蛙 ",8 月即发布了升级版的刷脸支付 " 微信青蛙 pro"。本月初 , 腾讯公司又宣布 " 目前正与银行、银联携手打造符合金融行业标准的刷脸支付产品 "。可以预见 , 微信和银联的联手必将使得微信能够在短期内大量占有终端商户的市场。
+ Z& _. w3 v( `1 k* w' E10 月才全面推出 " 刷脸付 " 的银联虽然看起来起步最晚 , 但是推广之初就联合了六大行等 60 余家机构 , 且随后就发布了前述聚合产品 " 鲸鱼 "。
巨头们你追我赶之际 , 京东、美团等第二梯队互联网阵营也跃跃欲试 , 在一些线下零售场景中开展 " 刷脸支付 " 的应用尝试 , 但从落地场景的规模和市场的接受度来看 , 效果一般。
9 z% n" {# w! Z1 Z记者从相关银行人士处了解到 , 尽管刷脸支付银行系的推广远不如支付宝和腾讯积极 , 但多家银行对人脸识别系统的开发和应用却从未止步。招商银行是国内首家研究人脸识别技术的银行 , 目前 , 已相继推出了刷脸取款、刷脸转账、刷脸支付等功能。光大银行的人脸识别技术也应用于账户登录、转账、线上融资、线上申请办卡等不同场景。农业银行、建设银行等多家银行还将刷脸技术应用到了 ATM 上 , 实现 " 刷脸取款 "。
+ m" V$ \2 J& E. D! i+ G" 前段时间传出的‘小学生用照片解锁快递柜’的那种停留在 2D 技术的人脸识别系统已经早被银行淘汰。" 有银行人士向记者表示。
应用
广州等七城已上线银联刷脸付
9 c- K& @$ t( Z日前 , 记者随机在几家便利店分别尝试了支付宝和微信版的刷脸支付 , 发现两者差距并不大 , 均采用了刷脸 + 手机号码的支付方式。使用 " 刷脸支付 ", 哪怕身无分文 , 忘带手机 , 也可以愉快地 " 买买买 " 了。
据了解 , 银联的刷脸付已经在广州、杭州、武汉、宁波、合肥、嘉兴、长沙 7 个城市陆续上线 , 用户只需在手机银行或云闪付 APP 注册开通并绑定银联卡 , 在商超、餐饮、药店、酒店、自助售货机等场景的特约商户结算时 , 无需拿出手机、银行卡等物理介质 , 根据提示完成 " 刷脸 " 操作并输入支付口令 , 即可成功付款。
8 h2 s: o6 e5 L$ i& n2 @% k9 D记者在银联 " 云闪付 " 上查询发现 , 目前刷脸支付在广州并没有广泛铺开 , 仅在两家商户进行刷脸支付试点。不过 , 银联广东的相关负责人向记者表示 , 下一步银联将联合商业银行、收单机构、专业技术厂商等产业各方 , 加快试点应用 ," 努力构建互利共赢的刷脸付良性生态 "。
+ c' `& B/ h3 w" v* Z1 g- p尽管刷脸支付成为了今年支付行业的香饽饽 , 但是市场的反应却不如预想中热烈。据报道 , 有商家和消费者表示 , 刷脸设备利用率较低 , 还存在个人信息泄露的风险 , 有部分消费者直接表示 ," 刷个脸钱就被付出去了 , 脸就是行走的密码 , 担心不安全 ", 也有消费者向记者表示 ," 刷脸还要加密码 , 输密码不是更直接吗 ? 哪里还有刷脸的必要 "。
观察
  i4 K  E7 o3 I# n" `" S刷脸支付何时能独立安全行走 ?
2019 年 9 月 6 日 , 央行印发《金融科技 ( FinTech ) 发展规划 ( 2019-2021 年 ) 》, 规划要求探索人脸识别线下支付安全应用 , 借助密码识别、隐私计算、数据标签、模式识别等技术 , 利用 " 专用口令 "、" 无感 " 活体检测等实现交易验证 , 突破 1:N 人脸辨识支付应用性能瓶颈 , 由持牌金融机构构建以人脸特征为路由标识的转接清算模式 , 实现支付工具安全与便捷的统一。
从这一点来看 , 银联眼下 " 刷脸 + 支付口令 " 的模式最为符合监管建言 , 不仅仅依赖生物特征识别技术 , 安全性更高一筹。对此 , 中南财经政法大学数字经济研究院执行院长盘和林表示 , 银联采取两种方式叠加的支付手段虽说略显麻烦 , 但这意味着一方面官方机构认可了刷脸支付 , 另一方面也以此作为一种过渡形式 , 让担忧安全性的用户逐渐接受这种新生事物 ," 这无疑是让那些担心支付安全性的用户吃下了一颗定心丸。"
  F6 Q; i# E0 {$ d! T) x上述银行人士告诉记者 , 目前 , 银行在人脸识别系统主要应用于对接身份认证的信息平台 , 在资金相关的系统和平台上也在进行多场景试点谨慎探索 , 但并未投入大范围的使用。这一方面是由于技术原因 , 另一方面监管也尚未有统一的安全标准出台 ," 我们目前试点的场景大多是相对安全小额支付 , 风险相对可控 , 即便出现了问题也容易补漏 "。
有专家表示 , 即便存在预想中的系列风险点 , 但目前依然可以通过交叉性验证来提高刷脸支付的安全度 , 比如人脸识别与支付口令、人脸识别与指纹识别、人脸识别与虹膜辨别等的结合 , 甚至还可以采取人脸识别与身份证结合的传统路径。
* k* k* |+ j1 M1 O  Q& w) [对于用户而言 , 交叉性验证必然带来某些消费场景下的体验不佳 , 但所有与刷脸支付耦合的附加都只是一种过渡 , 最终目的都是为刷脸支付独立安全行走创造时间与空间。
回应
' r; `6 I& q! s" }隐私信息的采集与使用依然是敏感领域 , 但专家认为
. n3 p4 B/ L) a# ]; l' p6 i" 消费者暂时不用过于担心 "
对于如何保护用户的隐私及相关信息 , 支付机构的做法各有特点。
●支付宝方面向记者表示 , 在技术上 , 支付宝遵循 " 最小够用 " 原则将采集的人脸信息进行加密存储 , 并为每一人脸信息单独创建密钥进行安全管理 , 提高安全强度。目前 , 支付宝在蜻蜓等刷脸支付设备上配备了最新 3D 结构光摄像头 , 也会通过软硬件结合的方法进行检测 , 来判断采集到的人脸是否照片、视频或者软件模拟生成的 , 能有效避免各种人脸伪造带来的身份冒用情况。
5 Y2 e; W% {- ]●腾讯方面则表示将严格遵守金融监管要求 , 在信息采集上坚持 " 用户授权、最小够用 " 原则 , 在人脸特征采集时提前告知信息使用的目的和方式 , 明确获得用户授权同意 , 避免采集与需求无关的特征 , 做到 " 专采专用 "。支付交易上采用专用支付口令等进行交易验证 , 不将人脸特征作为唯一的交易验证因子。
. V; S7 o  v' W5 }6 _" |' G) G3 Q8 n●银联广东方面也同时向记者表示 , 目前 , 银联在人脸特征采集明确获得客户授权 , 严控数据使用范围 , 采用支付标记化、多方安全计算、分散存储等技术 , 严防信息泄漏、篡改与滥用。在资金安全方面 , 充分尊重客户的主观意愿 , 通过专用支付口令进行主动确权 , 建立安全保障机制 , 保障客户的知情权、财产安全权等合法权益。
2 a+ C% T+ {0 q8 G3 a! c; R盘和林表示 :" 消费者暂时不用对刷脸支付的安全问题过于担心。" 目前来说 , 各家支持人脸支付的公司在对于用户的人脸采集上不仅需要得到用户百分百的同意 , 还使用了人脸信息与个人身份信息分开储存并进一步提高访问权限的做法 , 以此来确保用户信息的绝对安全 ; 另外 , 在进行刷脸支付时 , 目前采用的均是活体检测功能 , 比如在人脸检测之时凭借眨眼、转头等行为确认使用人脸支付的是用户本人 , 杜绝了不法分子使用假体冒充用户并以此牟利的机会。加上近年来监管机构对于金融科技的愈发重视 , 对于刷脸支付等新型支付方式的监管也会越来越严格。
9 W! |4 T8 a( z3 T3 E链接
三星手机被指隔硅胶壳录指纹后 " 瞎认主 "
. ?- B6 a: a% g+ k  w指纹识别还靠谱吗 ?
% }6 t5 `) `- [6 k! h, ~近日 , 有国外用户发现 , 三星 S10、S10+、Note10 等手机的屏幕指纹识别存在安全漏洞。一对英国夫妇隔着全包的手机硅胶壳录入指纹后 , 发现任何人的指纹都能够识别解锁手机 , 甚至登录银行 APP! 随后 , 微信、支付宝、中国银行 APP 等网上支付平台发布公告 , 宣布暂时关闭相关型号手机的指纹支付或登录功能。三星电子发布的官方声明里解释称 , 这不是机器缺陷 , 而是软件问题 , 可以通过软件更新进行完善。目前 , 三星宣布已修复相关机型的指纹识别漏洞 , 但外界对三星的指纹识别安全性仍持怀疑态度。
技术迭代 破解还是很容易 ?
据介绍 , 一开始 , 手机指纹识别技术用的是电容式指纹识别方式 , 只能通过在手机侧面、背面实现 , 随着全面屏潮流的兴起 , 这种方式逐渐被弃用。取而代之的 , 是大部分国内手机厂商使用的光学式指纹识别 , 以及此次成为新闻主角的三星的超声波屏下指纹技术。
相比起只能够扫描手指皮肤表面的光学式指纹识别 , 超声波指纹识别可以捕捉到用户皮肤凹凸纹理的 3D 轮廓 , 能捕捉到皮肤表面的细节。理论上来说 , 超声波指纹识别更安全、更具穿透力。但就三星这次的事件来看 , 超声波指纹识别技术仍需优化。
据网友测试 , 除了硅胶套 , 借助 3D 打印的树脂指纹模具或者是一张普通的纸巾 , 也能以同样的方式轻松破解华为、小米等其他品牌的屏下指纹。
近日 , 在上海召开的 GeekPwn 2019 国际安全极客大赛上 , 腾讯安全玄武实验室披露了指纹识别领域的最新研究——自动化破解多种类型指纹识别。研究员陈昱仅花了 1000 元左右添置破解工具 , 利用一卷黑色胶布和一台 3D 雕刻机 , 便成功攻破了三台手机以及两部指纹打卡器 , 更令人产生对当下的指纹识别技术 " 不靠谱 " 的怀疑。
* M. _, w$ g% S, I不过 , 也有业内人士认为 , 虽然指纹识别技术似乎存在致命的安全漏洞 , 但此类指纹识别的安全漏洞有较为苛刻的触发机制 , 破解技术也需要一定的条件。
生物识别技术仍是未来趋势
有业内人士透露 , 由于法律实际上不允许手机厂商采集存储指纹的原始信息 , 因此手机只能采集用户指纹的特征点 , 检测精度其实相对并不高。相比之下 , 人脸识别技术则能采集用户更多、更丰富的特征点 , 辅以 3D 识别更是使其在安全性上更有优势。从安全性上来说 ,Face ID ( 人脸 ) 的安全级别是 Touch ID ( 指纹 ) 的几十倍。
但无论是指纹识别 , 还是人脸识别 , 都仍无可避免地发现安全漏洞的存在。比如谷歌的 Pixel 4 也被指出 , 在用户闭着眼睛时也能通过人脸识别解锁。可以说 , 即使生物识别技术再成熟 , 也不能保证识别技术的绝对安全 , 生物识别安全问题仍需要在攻防对抗中不断升级。
: ]. Z/ n3 q/ s" ?& k& c纵使生物识别技术安全隐患频现 , 它仍然是当下安全性较高的、值得信赖的识别方法。除了成熟的指纹识别和人脸识别 , 声纹和虹膜识别技术也在完善当中 , 在未来也有可能被广泛应用。
# p# w; j# w1 p更高安全等级的生物识别技术在移动终端的应用势必会成为未来的发展趋势。行内专家建议 , 可以采取多模态融合的识别方式 , 通过不断升级识别技术 , 达到更安全的效果。