【分析】生物識(shí)別技術(shù)在金融行業(yè)中的應(yīng)用

　　行業(yè)背景：隨著傳統(tǒng)金融業(yè)務(wù)的互聯(lián)網(wǎng)化以及新型互聯(lián)網(wǎng)金融業(yè)務(wù)的出現(xiàn)，作為金融業(yè)務(wù)開(kāi)展基礎(chǔ)的用戶(hù)身份核實(shí)和認(rèn)證需求快速增長(zhǎng)，尤其是基于移動(dòng)互聯(lián)網(wǎng)如何實(shí)現(xiàn)安全、可靠、便捷的電子身份認(rèn)證技術(shù)已成為金融從業(yè)各方關(guān)注的重點(diǎn)。

　　當(dāng)前問(wèn)題：傳統(tǒng)的基于密碼口令、令牌Token的認(rèn)證模式由于其易被遺忘或不易攜帶等原因已經(jīng)漸漸不能滿(mǎn)足當(dāng)前金融行業(yè)的需求。

　　解決措施：以指紋識(shí)別、人臉識(shí)別為代表的生物特征識(shí)別技術(shù)伴隨著移動(dòng)互聯(lián)網(wǎng)、移動(dòng)智能終端技術(shù)的快速發(fā)展得到迅速推廣和應(yīng)用。目前，生物特征識(shí)別技術(shù)已經(jīng)基本成為移動(dòng)智能終端的標(biāo)準(zhǔn)配置，其自然的人機(jī)交互方式、安全便捷的使用體驗(yàn)，逐漸成為了金融業(yè)務(wù)中新型用戶(hù)身份核實(shí)和認(rèn)證的發(fā)展方向。

　　“早在2010年8月，波蘭BPSSA銀行開(kāi)始引入采用指靜脈識(shí)別技術(shù)到自動(dòng)取款機(jī)上。2014年9月，螞蟻金服在國(guó)內(nèi)率先推出了基于指紋識(shí)別的免密支付方案，并隨后聯(lián)合產(chǎn)業(yè)鏈各方成立了互聯(lián)網(wǎng)身份認(rèn)證聯(lián)盟(Internet Finan-cial Authentication Alliance，簡(jiǎn)稱(chēng)IFAA)共同研究和推廣基于生物特征識(shí)別技術(shù)的新型身份認(rèn)證安全解決方案。2015年6月，互聯(lián)網(wǎng)銀行如網(wǎng)商銀行、微眾銀行推出基于人臉識(shí)別的遠(yuǎn)程開(kāi)戶(hù)輔助用戶(hù)身份認(rèn)證解決方案。目前，生物特征識(shí)別技術(shù)在金融領(lǐng)域的典型應(yīng)用場(chǎng)景包括輔助進(jìn)行遠(yuǎn)程開(kāi)戶(hù)、賬戶(hù)管理、支付確認(rèn)等。”

　　典型的應(yīng)用場(chǎng)景及模式

　　總體來(lái)看，生物特征識(shí)別技術(shù)在金融行業(yè)中的應(yīng)用模式可以分為遠(yuǎn)程認(rèn)證模式和本地認(rèn)證模式。

　　在遠(yuǎn)程認(rèn)證模式下，生物特征識(shí)別的完整過(guò)程需在用戶(hù)接入設(shè)備側(cè)和服務(wù)器側(cè)共同完成，在用戶(hù)接入設(shè)備側(cè)主要完成對(duì)用戶(hù)的生物特征進(jìn)行采集，并傳遞到身份認(rèn)證服務(wù)器，在服務(wù)器側(cè)完成對(duì)用戶(hù)生物特征的存儲(chǔ)和比對(duì)并輸出識(shí)別結(jié)果。一種典型的應(yīng)用場(chǎng)景就是輔助進(jìn)行遠(yuǎn)程賬戶(hù)開(kāi)立，如圖1所示：

　　圖1基于生物特征識(shí)別技術(shù)的遠(yuǎn)程開(kāi)戶(hù)示意圖

　　流程簡(jiǎn)介

　　1.用戶(hù)通過(guò)金融應(yīng)用客戶(hù)端提交個(gè)人基本信息、身份證件、銀行卡信息等請(qǐng)求進(jìn)行遠(yuǎn)程開(kāi)戶(hù)。

　　2.金融應(yīng)用調(diào)起生物特征認(rèn)證器，發(fā)起遠(yuǎn)程特征身份認(rèn)證流程，在用戶(hù)接入設(shè)備側(cè)采集用戶(hù)生物特征信息，并同時(shí)進(jìn)行質(zhì)量判斷和活體攻擊檢測(cè)等預(yù)處理后，通過(guò)加密等安全保護(hù)措施送至服務(wù)器側(cè);

　　3.服務(wù)器結(jié)合用戶(hù)提交的身份信息，以及采集到的用戶(hù)生物特征信息，送至公安部身份核查系統(tǒng)進(jìn)行證件信息確認(rèn)以及基于公安部權(quán)威生物特征數(shù)據(jù)庫(kù)進(jìn)行用戶(hù)生物特征比對(duì)，以進(jìn)行實(shí)人、實(shí)證校驗(yàn)。

　　4.金融應(yīng)用服務(wù)器基于比對(duì)結(jié)果和風(fēng)控分析來(lái)決定是否為用戶(hù)開(kāi)立賬戶(hù)。

　　在上述流程中，目前業(yè)內(nèi)實(shí)際應(yīng)用中，主要是通過(guò)公安系統(tǒng)的人臉識(shí)別身份驗(yàn)證庫(kù)來(lái)解決了實(shí)人驗(yàn)證問(wèn)題。

　　在本地模式下，生物特征識(shí)別的完整過(guò)程只發(fā)生在用戶(hù)接入設(shè)備側(cè)，不會(huì)將用戶(hù)的生物特征信息傳遞到服務(wù)器側(cè)進(jìn)行分析、處理或存儲(chǔ)。按照是否依賴(lài)于直接使用生物特征作為鑒別憑據(jù)，本地模式可分為生物特征直接作為鑒別憑據(jù)和生物特征間接作為鑒別憑據(jù)的技術(shù)模式。生物特征直接作為身份認(rèn)證鑒別憑據(jù)的模式下，金融應(yīng)用一般依賴(lài)于在用戶(hù)接入設(shè)備側(cè)中的本地生物特征識(shí)別結(jié)果進(jìn)行相應(yīng)的操作授權(quán)，如應(yīng)用登錄等;生物特征間接作為身份認(rèn)證鑒別憑據(jù)的模式下，金融應(yīng)用一般依賴(lài)于在身份認(rèn)證注冊(cè)環(huán)節(jié)中身份認(rèn)證服務(wù)器為用戶(hù)發(fā)行的鑒別憑據(jù)對(duì)用戶(hù)進(jìn)行身份認(rèn)證，一種典型的應(yīng)用場(chǎng)景是指紋支付交易確認(rèn)，如圖2所示。

　　其流程一般可分為指紋支付注冊(cè)和指紋支付驗(yàn)證兩個(gè)流程。用戶(hù)首先通過(guò)移動(dòng)支付客戶(hù)端發(fā)起注冊(cè)請(qǐng)求，移動(dòng)支付應(yīng)用服務(wù)器指定所支持的生物特征識(shí)別類(lèi)型。

　　圖2基于生物特征識(shí)別的指紋支付示意圖

　　移動(dòng)支付應(yīng)用

　　1.調(diào)用身份認(rèn)證可信應(yīng)用，選擇指紋識(shí)別系統(tǒng)并對(duì)用戶(hù)進(jìn)行驗(yàn)證。

　　2.驗(yàn)證通過(guò)后，身份認(rèn)證可信應(yīng)用生成用戶(hù)鑒別密鑰對(duì)。

　　3.身份認(rèn)證可信應(yīng)用使用設(shè)備認(rèn)證密鑰的私鑰對(duì)用戶(hù)鑒別密鑰公鑰和其他信息如指紋模板索引信息進(jìn)行簽名，連同設(shè)備認(rèn)證公鑰證書(shū)一塊發(fā)送至移動(dòng)支付應(yīng)用服務(wù)器。

　　4.移動(dòng)支付應(yīng)用服務(wù)器將信息轉(zhuǎn)發(fā)至身份認(rèn)證服務(wù)器，在驗(yàn)證設(shè)備認(rèn)證公鑰證書(shū)合法性后，利用證書(shū)中的設(shè)備認(rèn)證公鑰對(duì)簽名進(jìn)行驗(yàn)證，通過(guò)驗(yàn)證后，提取用戶(hù)鑒別密鑰等信息，并將注冊(cè)關(guān)系保存，返回身份認(rèn)證注冊(cè)結(jié)果。

　　注冊(cè)成功后，用戶(hù)可以通過(guò)移動(dòng)支付客戶(hù)端發(fā)起支付請(qǐng)求。移動(dòng)支付應(yīng)用首先與移動(dòng)支付服務(wù)器交互，確認(rèn)是否可進(jìn)行移動(dòng)支付。

　　身份認(rèn)證

　　1.要求用戶(hù)在本地進(jìn)行指紋驗(yàn)證。

　　2.通過(guò)指紋驗(yàn)證后，身份認(rèn)證可信應(yīng)用調(diào)用本地存儲(chǔ)的用戶(hù)鑒別密鑰私鑰對(duì)交易信息進(jìn)行簽名后，經(jīng)移動(dòng)支付應(yīng)用發(fā)送至移動(dòng)支付應(yīng)用服務(wù)器。

　　3.移動(dòng)支付應(yīng)用服務(wù)器將認(rèn)證信息發(fā)送至身份認(rèn)證服務(wù)器進(jìn)行驗(yàn)證，返回驗(yàn)證結(jié)果。

　　4.驗(yàn)證通過(guò)后進(jìn)行支付授權(quán)。

　　應(yīng)用中存在的問(wèn)題及解決思路

　　不過(guò)，由于其自身技術(shù)特點(diǎn)，生物特征識(shí)別技術(shù)在金融領(lǐng)域的應(yīng)用過(guò)程中也引起了人們對(duì)于風(fēng)險(xiǎn)的擔(dān)憂(yōu)，例如：如果解決用戶(hù)生物特征信息的安全保護(hù)問(wèn)題，如何解決其安全可靠性問(wèn)題如應(yīng)對(duì)活體攻擊等。

　　金融業(yè)務(wù)傳統(tǒng)的密碼口令、令牌、短信驗(yàn)證等驗(yàn)證方式，雖然容易遺忘或被人竊取，但丟失后還可以選擇重置修改。但用戶(hù)的生物特征信息本身并不是保密的，有些類(lèi)型的用戶(hù)生物特征可能會(huì)較為容易被獲取和盜用，如人的指紋可以從觸摸過(guò)物體表面提取出來(lái)、人臉特征也可從公開(kāi)的照片中提取等。用戶(hù)生物特征信息屬于用戶(hù)的固有特征，被盜用之后不像密碼口令可以被輕易修改，泄露之后造成的危害更為嚴(yán)重，影響更為長(zhǎng)遠(yuǎn)。目前，關(guān)于生物特征信息保護(hù)，國(guó)際標(biāo)準(zhǔn)化組織已經(jīng)制定相關(guān)的技術(shù)標(biāo)準(zhǔn)ISO/IEC 24745，從生物特征信息的采集、處理、存儲(chǔ)、識(shí)別、更新、刪除等全鏈條進(jìn)行安全分析和威脅建模，并提出具體的保護(hù)措施，為產(chǎn)業(yè)從業(yè)各方制定完善的用戶(hù)生物特征保護(hù)策略提供指導(dǎo)。

　　安全可靠性方面，一方面，單一的生物特征識(shí)別技術(shù)可能并不會(huì)對(duì)所有用戶(hù)都適用，比如有些用戶(hù)因先天或后天原因缺乏指紋特征無(wú)法使用指紋識(shí)別技術(shù)等;另一方面，由于有些類(lèi)型的用戶(hù)生物特征可能會(huì)較為容易被獲取，生物特征識(shí)別身份認(rèn)證系統(tǒng)也會(huì)受到各種各樣的哄騙攻擊，諸如使用指模可能會(huì)成功入侵指紋識(shí)別系統(tǒng)，使用高分辨率的臉部圖片或者人臉三維面具可能會(huì)騙過(guò)人臉識(shí)別系統(tǒng)等。目前，業(yè)內(nèi)一般采取多模態(tài)技術(shù)來(lái)提升生物特征識(shí)別應(yīng)用的安全可靠性。多模態(tài)生物特征識(shí)別是指整合或融合兩種及兩種以上生物識(shí)別特征，利用多重生物識(shí)別技術(shù)的獨(dú)特優(yōu)勢(shì)，并結(jié)合數(shù)據(jù)融合技術(shù)，使得認(rèn)證和識(shí)別過(guò)程更加精準(zhǔn)、安全。與單一生物識(shí)別方式相比，多模態(tài)生物特征識(shí)別主要優(yōu)點(diǎn)在于三個(gè)方面：首先，已經(jīng)證明利用多個(gè)生物特征融合可以提高身份識(shí)別的正確率;其次，利用多個(gè)生物特征可以拓寬生物特征識(shí)別系統(tǒng)的應(yīng)用人群范圍;最后，從防偽的角度，偽造多個(gè)生物特征的難度遠(yuǎn)遠(yuǎn)大于偽造單一的生物特征。

　　融合多模態(tài)信息的方法主要有兩種：決策層的融合和特征層的融合。決策層的融合技術(shù)是先把各個(gè)模態(tài)的信息提取出來(lái)，輸入相應(yīng)的分類(lèi)器得到單模態(tài)識(shí)別結(jié)果，然后用規(guī)則的方法將單模態(tài)的結(jié)果綜合起來(lái)，得到最終的識(shí)別結(jié)果;特征層的融合方法則是將各個(gè)模態(tài)的信息提取出來(lái)，將這些信息組成一個(gè)統(tǒng)一的特征向量，然后再輸入到分類(lèi)器中，得到最終的識(shí)別結(jié)果。這兩種方法各有優(yōu)缺點(diǎn)，需要結(jié)合具體應(yīng)用解決方案進(jìn)行選擇。

　　總結(jié)及建議

　　生物特征識(shí)別技術(shù)能夠提供一種安全、便捷的用戶(hù)身份認(rèn)證實(shí)現(xiàn)方式，目前已經(jīng)具備了大規(guī)模應(yīng)用的行業(yè)基礎(chǔ)，在金融行業(yè)有廣闊的應(yīng)用前景。不過(guò)，目前在金融行業(yè)還因存在對(duì)生物特征信息保護(hù)、活體攻擊等的擔(dān)憂(yōu)，而導(dǎo)致了進(jìn)一步推廣應(yīng)用的障礙。

　　為了更好地促進(jìn)金融行業(yè)生物特征身份認(rèn)證產(chǎn)業(yè)發(fā)展，建議：一是結(jié)合金融行業(yè)特點(diǎn)，從明確金融使用場(chǎng)景、規(guī)范底層技術(shù)、制定安全要求、建立市場(chǎng)準(zhǔn)入規(guī)則等多個(gè)維度進(jìn)行相關(guān)標(biāo)準(zhǔn)體系建設(shè)，并通過(guò)檢測(cè)認(rèn)證體系確保行業(yè)健康有序發(fā)展;二是進(jìn)一步完善相關(guān)法規(guī)制度建設(shè)，明確相關(guān)方的責(zé)任和義務(wù)，確保用戶(hù)生物特征信息和隱私安全;三是結(jié)合人工智能、云計(jì)算、傳感器技術(shù)等的快速發(fā)展，進(jìn)一步推動(dòng)活體攻擊檢測(cè)等關(guān)鍵技術(shù)的研究和升級(jí)，并快速實(shí)現(xiàn)產(chǎn)業(yè)化應(yīng)用。