“刷臉”安全：支付行業(yè)社會責任感是一場大考
時間：2019-10-14 09:53:30點擊：979次
這是一個需要支付企業(yè)體現(xiàn)社會責任感的關(guān)鍵時刻，事關(guān)整個支付行業(yè)的未來。如能利用專用口令、“無感”活體檢測等實現(xiàn)交易驗證，突破人臉辨識支付應用性能瓶頸，由持牌金融機構(gòu)構(gòu)建以人臉特征為路由標識的轉(zhuǎn)接清算模式，便可實現(xiàn)支付工具安全與便捷的統(tǒng)一。
誰也未曾料到，自拍時比劃的“剪刀手”在“刷臉”支付時可能被違法分子竊取指紋信息，用以指紋登錄或支付。雖然最后證實通常無須擔憂，但類似的個案出來后，消費者的面孔信息會不會被盜用？用戶“顏值”會不會被泄露？難免讓人掛心。央行科技司司長李偉近日在金融網(wǎng)絡(luò)安全論壇上表示，針對刷臉支付應用，線下應用風險相對可控，基本具備試點應用的條件。但人的生物特征顯露在外，通過遠程非接觸方式，確有可能在本人毫無察覺之時被無聲無息地采集。因而，網(wǎng)絡(luò)空間僅靠人臉等單一特征實行金融交易驗證，存在一定安全隱患，應用條件還有成熟與提升空間。必須根據(jù)風險等級結(jié)合用戶口令等多因素認證，平衡好金融服務的安全與便捷。
與掃碼支付已成大部分人所熟知的付款方式一樣，“刷臉”支付已被越來越多的人嘗試，商家和用戶接受度不斷提升。在零售、餐飲、醫(yī)療等多個行業(yè)，刷臉支付提升了用戶體驗，節(jié)省了商家的綜合經(jīng)營成本。相比二維碼、NFC等移動支付手段，刷臉支付更省去了手機這個介質(zhì)，進一步給消費者在線上、線下場景提供了便捷選擇。更為要緊的是，在一些政務、金融或者民生領(lǐng)域，“刷臉”所帶來的便捷遠非當事人所能想象。不少人可能還記得這樣一則新聞，某地重病臥床的老年人因存折丟失，依據(jù)現(xiàn)有規(guī)章，必須得用擔架把本人抬到銀行才讓補辦，引發(fā)社會輿論的強烈質(zhì)疑?，F(xiàn)在看來，這一矛盾完全可以通過“刷臉”等科技手段來解決。事實上，早在2017年上半年，深圳人力資源與社會保障局便已宣布，深圳離退休老人不管是在當?shù)?，還是在異地，都可足不出戶，通過支付寶等平臺在社保場景“刷臉”，靠人臉識別來完成，再也不必非得本人跑一趟人社大廳去做相關(guān)認證。
不過，這里有個細節(jié)不能被忽略，尤其在商業(yè)支付環(huán)節(jié)，無論掃碼還是刷臉，都是一個涉及用戶、商家、第三方支付機構(gòu)與無線通訊運營商等多方主體參與的一個非直接接觸式的交易鏈。在這根鏈條當中，存在著一定的交易風險，有沒有得到應有的事前管控，是決定這一風險是否被屏蔽掉的關(guān)鍵。倘若部分支付平臺高估了弱隱私特征的識別作用，在網(wǎng)絡(luò)空間僅依靠單一特征實行金融交易驗證，的確存在嚴重隱患。
創(chuàng)新，并非隨心所欲，還需兼顧各方感受。相比以往針對二維碼這一信息中樞，對二維碼的生成環(huán)節(jié)可以做到風險防范前置，刷臉支付的風險防控難度直線上升。而對于這一點的認識，由于專業(yè)差異或消費心理，普通用戶在享受刷臉支付帶來的福利時，對其風險顯然還缺乏足夠的了解與判斷，大多可以說只知其然而不知其所以然。這說明責任主要在商家與三方支付平臺，尤其是負責具體研發(fā)的后者。
刷臉支付交易的安全與行業(yè)的長遠發(fā)展牢牢捆綁在了一起，決定了支付行業(yè)是再一次升級還是阻滯其發(fā)展。此前，面對二維碼的“隔空盜刷”問題，從支付寶到銀聯(lián)，均借助保險，明晰了“風險全賠付”原則。如果說掃碼支付的防線由于支付機構(gòu)的不作為或因為營銷的需要而被外來者突破，那么由此產(chǎn)生的損失由支付平臺而非弱勢用戶承擔，更為合理。同樣，面臨更進一步的生物識別技術(shù)，用戶的“顏值”比二維碼承載了更多的隱私信息。支付平臺除了主動建立健全風險賠付資金、保險計劃、應急處置等風險補償機制，在技術(shù)和制度上有所鉆研也是應有之義。仍以支付寶為例，在其推廣的“蜻蜓”等刷臉支付設(shè)備上配備了最新3D結(jié)構(gòu)光攝像頭，通過軟硬件結(jié)合的方法檢測，來判斷采集到的人臉是否由照片、視頻或者軟件模擬生成，能有效避免各種人臉偽造帶來的身份冒用情況。同時遵循“最小夠用”原則將采集的人臉信息加密存儲，并為每一人臉信息單獨創(chuàng)建密鑰進行安全管理，提高安全強度。
在萬物互聯(lián)的應用場景下，資金流動的電子數(shù)據(jù)化已不可逆轉(zhuǎn)，刷臉等生物支付是大勢所趨。眾所周知，無論移動支付還是生物支付，我國的技術(shù)已處于世界領(lǐng)先水平。2018年天貓“雙11”期間，以刷臉為主的生物支付占比達到了六成，到了今年“6·18”期間，生物支付占比已超過八成。如何在可控、合規(guī)的前提下支持這種新生事物的發(fā)展，帶動生物識別等科技創(chuàng)新，已是當務之急。今年8月央行發(fā)布的金融科技發(fā)展規(guī)劃已提出，將探索人臉識別線下支付安全應用，借助密碼識別、隱私計算、數(shù)據(jù)標簽、模式識別等技術(shù)，利用專用口令、“無感”活體檢測等實現(xiàn)交易驗證，突破人臉辨識支付應用性能瓶頸，由持牌金融機構(gòu)構(gòu)建以人臉特征為路由標識的轉(zhuǎn)接清算模式，實現(xiàn)支付工具安全與便捷的統(tǒng)一。不久前，支付寶《生物識別用戶隱私與安全保護倡議》要求各大支付平臺應對采集到的用戶生物信息加密存儲、明確和規(guī)范用戶信息使用的目的及范圍，遵循“最小、夠用”原則，防止被濫用。這與監(jiān)管“用戶授權(quán)、最小夠用”、“表達意愿、多重認證”、“風險補償、全程防護”的指導方針不謀而合。
說白了，這是一個需要支付企業(yè)體現(xiàn)社會責任感的關(guān)鍵時刻，事關(guān)整個支付行業(yè)的未來。
誰也未曾料到，自拍時比劃的“剪刀手”在“刷臉”支付時可能被違法分子竊取指紋信息，用以指紋登錄或支付。雖然最后證實通常無須擔憂，但類似的個案出來后，消費者的面孔信息會不會被盜用？用戶“顏值”會不會被泄露？難免讓人掛心。央行科技司司長李偉近日在金融網(wǎng)絡(luò)安全論壇上表示，針對刷臉支付應用，線下應用風險相對可控，基本具備試點應用的條件。但人的生物特征顯露在外，通過遠程非接觸方式，確有可能在本人毫無察覺之時被無聲無息地采集。因而，網(wǎng)絡(luò)空間僅靠人臉等單一特征實行金融交易驗證，存在一定安全隱患，應用條件還有成熟與提升空間。必須根據(jù)風險等級結(jié)合用戶口令等多因素認證，平衡好金融服務的安全與便捷。
與掃碼支付已成大部分人所熟知的付款方式一樣，“刷臉”支付已被越來越多的人嘗試，商家和用戶接受度不斷提升。在零售、餐飲、醫(yī)療等多個行業(yè)，刷臉支付提升了用戶體驗，節(jié)省了商家的綜合經(jīng)營成本。相比二維碼、NFC等移動支付手段，刷臉支付更省去了手機這個介質(zhì)，進一步給消費者在線上、線下場景提供了便捷選擇。更為要緊的是，在一些政務、金融或者民生領(lǐng)域，“刷臉”所帶來的便捷遠非當事人所能想象。不少人可能還記得這樣一則新聞，某地重病臥床的老年人因存折丟失，依據(jù)現(xiàn)有規(guī)章，必須得用擔架把本人抬到銀行才讓補辦，引發(fā)社會輿論的強烈質(zhì)疑?，F(xiàn)在看來，這一矛盾完全可以通過“刷臉”等科技手段來解決。事實上，早在2017年上半年，深圳人力資源與社會保障局便已宣布，深圳離退休老人不管是在當?shù)?，還是在異地，都可足不出戶，通過支付寶等平臺在社保場景“刷臉”，靠人臉識別來完成，再也不必非得本人跑一趟人社大廳去做相關(guān)認證。
不過，這里有個細節(jié)不能被忽略，尤其在商業(yè)支付環(huán)節(jié)，無論掃碼還是刷臉，都是一個涉及用戶、商家、第三方支付機構(gòu)與無線通訊運營商等多方主體參與的一個非直接接觸式的交易鏈。在這根鏈條當中，存在著一定的交易風險，有沒有得到應有的事前管控，是決定這一風險是否被屏蔽掉的關(guān)鍵。倘若部分支付平臺高估了弱隱私特征的識別作用，在網(wǎng)絡(luò)空間僅依靠單一特征實行金融交易驗證，的確存在嚴重隱患。
創(chuàng)新，并非隨心所欲，還需兼顧各方感受。相比以往針對二維碼這一信息中樞，對二維碼的生成環(huán)節(jié)可以做到風險防范前置，刷臉支付的風險防控難度直線上升。而對于這一點的認識，由于專業(yè)差異或消費心理，普通用戶在享受刷臉支付帶來的福利時，對其風險顯然還缺乏足夠的了解與判斷，大多可以說只知其然而不知其所以然。這說明責任主要在商家與三方支付平臺，尤其是負責具體研發(fā)的后者。
刷臉支付交易的安全與行業(yè)的長遠發(fā)展牢牢捆綁在了一起，決定了支付行業(yè)是再一次升級還是阻滯其發(fā)展。此前，面對二維碼的“隔空盜刷”問題，從支付寶到銀聯(lián)，均借助保險，明晰了“風險全賠付”原則。如果說掃碼支付的防線由于支付機構(gòu)的不作為或因為營銷的需要而被外來者突破，那么由此產(chǎn)生的損失由支付平臺而非弱勢用戶承擔，更為合理。同樣，面臨更進一步的生物識別技術(shù)，用戶的“顏值”比二維碼承載了更多的隱私信息。支付平臺除了主動建立健全風險賠付資金、保險計劃、應急處置等風險補償機制，在技術(shù)和制度上有所鉆研也是應有之義。仍以支付寶為例，在其推廣的“蜻蜓”等刷臉支付設(shè)備上配備了最新3D結(jié)構(gòu)光攝像頭，通過軟硬件結(jié)合的方法檢測，來判斷采集到的人臉是否由照片、視頻或者軟件模擬生成，能有效避免各種人臉偽造帶來的身份冒用情況。同時遵循“最小夠用”原則將采集的人臉信息加密存儲，并為每一人臉信息單獨創(chuàng)建密鑰進行安全管理，提高安全強度。
在萬物互聯(lián)的應用場景下，資金流動的電子數(shù)據(jù)化已不可逆轉(zhuǎn)，刷臉等生物支付是大勢所趨。眾所周知，無論移動支付還是生物支付，我國的技術(shù)已處于世界領(lǐng)先水平。2018年天貓“雙11”期間，以刷臉為主的生物支付占比達到了六成，到了今年“6·18”期間，生物支付占比已超過八成。如何在可控、合規(guī)的前提下支持這種新生事物的發(fā)展，帶動生物識別等科技創(chuàng)新，已是當務之急。今年8月央行發(fā)布的金融科技發(fā)展規(guī)劃已提出，將探索人臉識別線下支付安全應用，借助密碼識別、隱私計算、數(shù)據(jù)標簽、模式識別等技術(shù)，利用專用口令、“無感”活體檢測等實現(xiàn)交易驗證，突破人臉辨識支付應用性能瓶頸，由持牌金融機構(gòu)構(gòu)建以人臉特征為路由標識的轉(zhuǎn)接清算模式，實現(xiàn)支付工具安全與便捷的統(tǒng)一。不久前，支付寶《生物識別用戶隱私與安全保護倡議》要求各大支付平臺應對采集到的用戶生物信息加密存儲、明確和規(guī)范用戶信息使用的目的及范圍，遵循“最小、夠用”原則，防止被濫用。這與監(jiān)管“用戶授權(quán)、最小夠用”、“表達意愿、多重認證”、“風險補償、全程防護”的指導方針不謀而合。
說白了，這是一個需要支付企業(yè)體現(xiàn)社會責任感的關(guān)鍵時刻，事關(guān)整個支付行業(yè)的未來。