生物识别 谁来定义那个独一无二的你？

本篇文章3246字，读完约8分钟

几天前，市场上流传着一个有趣的故事:赵薇的丈夫黄有龙被法院起诉，因为有人买了他的房子，但搬进去已经太晚了。现在黄有龙被要求腾出房子。随着案件的进一步发展，发现被告受到了冤枉，因为本人并未将该房屋出售，而是其司机冒充到公证处，通过人脸识别系统办理了公证书，并委托他人将该房屋出售给原告吴。那时。

以安全、方便和自然著称的人脸识别为什么会被欺骗？现有的生物识别技术真的像传言的那样安全吗？我们需要什么样的生物识别技术？

今年是生物识别技术极其活跃的一年。微软甚至在其windows 10中采用了一种被称为windows hello(支持人脸识别、指纹识别和虹膜识别)的生物识别授权方法。然而，这种人脸识别模式在测试六对双胞胎时，一对失败了，这在韩国可能是致命的。但这也促使我们思考一个问题:我们如何定义这个世界上独一无二的你？

类似的问题在我们的生活中也经常被默默地问:当你打开电脑时，密码弹出窗口立即弹出；当你购买自己喜欢的商品时，支付宝会弹出一个指纹验证请求；当你把钥匙插入门锁时，你开始扭动；当你拿出一张信用卡并通过pos机刷卡时，一句话突然出现:嗨，是你吗？

在网络时代，你对自己的定义往往与时代不同步。在上面提到的生活场景中，我相信每个人都会遇到，但是每个人都有不同的感受，因为在这个伟大的群体中，有些人会遇到你不是你的情况。不要惊讶，这真的存在:你的密码被破译了(请不要再用你的生日来设置密码)，入侵者以你的名义窃取了你的数据；当你睡着的时候，睡在你旁边的妻子冷笑着，拿起你的手指，清理购物车里的存货，查看你过去20天的微信记录；当你还在找钥匙的时候，有人进了你的房子，拿走了你藏在冰箱夹层里的小金库；你的信用卡？难道你不知道世界上每年有数十亿美元从信用卡中被盗吗？这时，我发现你不再是你了。

中国科学院院士谭铁牛在谈到互联网时曾解释说，互联网的本质是以人为本，联系一切。它强调人的个体存在，所以我们每个人都是独立的个体。当试图与孤立的外来物体建立联系时，我们必须依靠一种独特的联系。只是我们希望这种联系不仅能保持其社会性，还能保持其独立性。独立意味着独特，独特意味着安全。我们不断更新我们在独立和集体之间的技能和模式。

在这个图表中，我们可以对身份进行简单的分类:生物识别和非生物识别。前者可进一步分为生理特征和行为特征。行为特征记录了人的笔迹、坐姿、行走姿势(步态)等信息，但这些信息是不稳定的。随着一个人的年龄变长或出现意外情况(如撞击和矫正)，他的行为特征会逐渐改变，变得不那么独特，这通常被称为稳定性差。

这里需要明确的是，上面提到的识别方法并不是无用的，我们正在讨论基于不同场景的应用选择。比如指纹识别，这种技术有一定的局限性，甚至有些黑客已经攻克了指纹识别认证，但它仍然不影响它作为手机的标准，因为你不会在首饰盒上安装高级密码锁，你所需要的只是一个更方便的安全认证，它可以保证你桌上的手机在你在办公室或任何地方都不会被别人轻易打开。

对于消费者来说，这就足够了，相当有绅士风度。但是不要低估指纹识别的应用。指纹识别在你的手机上成为标准后，一段时间后你会养成使用指纹识别的习惯。习惯形成后，您很可能无法忍受其他设备的密码解锁方法。因为你需要加密太多的东西，但通常你记不住太多由数字和字母组成的密码。或许为了方便起见，你可以在所有登录界面上设置相同的字母数字密码，但风险在于，一旦你注册的一个小型网站被黑客入侵，黑客就可以用这个密码轻松攻击你的银行和支付宝账户。

在描述生物识别方法时，特别是与其他识别方法比较时，我们经常提到三个指标:唯一性、丰富性和稳定性。以手指静脉识别为例，首先，你手指上的静脉对每个人来说都不一样；此外，有足够和密集的血管，这确保了丰富性，不容易被复制；最后，这意味着静脉不会改变，所以它可以被视为一个合格的生物测定方法。但是通过并不意味着一切。你还将被迫在他人的胁迫下进行身份识别和认证。

从理论上讲，更加独特、丰富和稳定的生物特征识别方法被认为是安全的。例如，基因识别曾经被认为是最安全和唯一的鉴定，但同卵双胞胎的遗传相似性极高，很难真正区分它们。可以记录声音，并且可以拍摄面部(2d)。即使有深度人脸识别(3d)，如果3d打印足够好，我可以直接打印我的头，或者去韩国攻击活检，或者我可以用李鬼代替李悝jy。

视网膜识别在工业上被认为是极其安全的，因为它是完全看不见的。然而，关于视网膜识别的研究发现，所采用的光源可能会对视网膜造成损害，因此研究正在放缓，没有最新消息。此外，当我们与安全作斗争时，我们不能回避方便。如果指尖有污渍和油渍，很难清楚地识别它们；手指静脉识别注册需要一定的压力，而接触识别总是让人感觉不太自然，所以非接触识别似乎是一种发展趋势。

为了评价生物特征识别的优缺点，我们主要采用注册成功率、误拒绝率和误接受率。只是这个索引是基于不同的实验数据库和不同的样本组，所以我不能多加评论。事实上，我们不能评价某项技术绝对安全(或绝对无用)。另一方面，当我们评估某种生物特征技术时，我们实际上是在评估这种生理特征本身的特征(独特、丰富和稳定)。

例如，如果指纹识别能够识别非常非常精细的程度，手指静脉能够识别非常非常小的血管末端，并且面部识别能够识别足够精细的面部细节，这将是一种很好的安全认证技术。不幸的是，无论是算法还是硬件，我们都没有达到这个水平。幸运的是，这种情况正在逐渐改变。以巩膜识别(又称眼球识别和眼模式识别，该技术是为了识别眼睛白部毛细血管的丰富度)为例，8月，笔者首次接触到了眼验证的眼印技术，直觉感觉相当好，即巩膜注册、识别和攻击反应耗时较长。两个月后，在2015年云起会议上，作者再次见到了eyeverify的首席执行官。托比·拉什在现场演示了最新的眼图技术，巩膜注册、识别甚至攻击反馈的时间都缩短了，在可容忍的范围内。

互联网把我们带入了云的时代，就像有河流和湖泊的地方就有人类，有云的地方就会有攻击。如何说服许多客户放心使用云是所有云服务公司的核心思想，而入口安全是首要问题。在2015年云起会议的生物识别特别会议上，我们发现了一个现象，即生物识别正日益朝着多种识别方法相结合的方向发展。这种逻辑认为，由于一个锁是不够的，我将打开它，并添加一些，看看你如何攻击。

不过，这不是叶的任性选择。例如，如果您选择指纹识别，手指静脉识别和掌纹识别是不必要的。光滑、自然和安全的组合是脸、声音和眼睛的组合。这导致了可以在移动终端上解决的面部识别(2d/3d)+语音识别+巩膜/虹膜识别的生物认证模式。它甚至不需要增加太多的硬件设备，除了虹膜识别，它需要一个近红外相机，但手机公司相信极简设计可能不会增加一个更高的安全系数相机。好消息是，三星正在开发一款自带近红外光源的屏幕，据说苹果7正在考虑使用三星的oled屏幕。

我们一直在谈论的身份认证在前端只是可见的身份认证，在后端有一个信息认证链接。所有身份认证通过后，将转化为信息认证，完成与数据库的信息匹配。可以说，你在数据库中重建了一个自我，每一次认证都是一种精神财富。在与张健(华南协会会长)的聊天中，张提到了一个有趣的概念:人是cps概念的延伸。Cps最初是一个网络物理系统(被称为工业4.0的核心)，这意味着虚拟和物理的集成。他认为人们实际上有碳体和磷体。这样想是对的，毕竟身份认证是从P体的角度来解决的，C体需要你去完善。就好像我的身体在这里，而我的身体在网上和你说话。最终，互联网+实际上是+他自己。以人为本，联系一切，从我的身体生成一个身体，完成了这一切的联系。

嗨，是你吗？你最终会在这个世界上遇到另一个你。

附言:感谢中国科学院自动化研究所生物特征与安全技术研究中心主任研究员、华南协会会长张建、中科宏巴总经理马莉、Face++首席执行官龚、光电首席执行官易开军、宏视科技首席执行官、EyeSmart首席执行官托比·拉什、蚂蚁金服安全技术高级专家。