如今，在我们的生活中，人脸识别技术已经从实验室里逐渐走入日常，不论是门禁、考勤系统，还是支付、娱乐应用，都开始应用这种技术。
但在今年的央视3·15晚会上，主持人仅用一张照片，而不是用自己的脸，对着镜头，就轻松进入了一个需要人脸识别认证才能登录的APP。
人脸识别安全性问题开始引起热议。曾经在公众眼中酷炫到甚至带有一丝科幻色彩的“人脸识别技术”走下神坛了吗？人脸识别为何会被破解？技术是否还不够成熟？一系列问题接踵而来。
市场追捧 技术存疑
人脸识别，是基于人的脸部特征信息进行身份识别的一种生物识别技术。用摄像机或摄像头采集含有人脸的图像或视频流，并自动在图像中检测和跟踪人脸，进而对检测到的人脸进行识别。
对于人脸识别的研究始于上世纪60年代，随着技术的不断发展，这种生物识别技术开始在手机、金融、安防等行业规模化应用。
“对比指纹验证、虹膜识别、DNA验证等生物识别技术，人脸识别更加易用。普通摄像头即可作为采集人脸信息的传感器，且用户不需要接触设备，使得这项技术更易于被接受，推广前景十分乐观。”曾开发出世界第一人脸识别算法的格灵深瞳首席技术官邓亚峰表示。
但是，伴随着人脸识别技术的日渐流行，对于其安全性的质疑也一直存在。
来自美国北卡罗来纳大学的一个研究团队凭借他们在社交媒体上收集到的若干照片，利用特殊的电脑合成和渲染技术，生成了一个平面化的3D模型。随后他们利用这个模型进行测试，发现有高达4/5的被测安全系统在55%到85%的被测时间内，都可以被轻松骗过。更重要的是，他们收集到的照片非常有限，有些甚至还只是45度角的侧脸。
在去年的一次互联网安全创新大会上，就有业内人士展示了5种破解人脸识别技术的方法。会上，平安科技的安全研究员高亭宇明确表示，人脸识别技术的多个环节存在突破点，“只要略施小计，就能让人脸识别形同虚设”。
然而这样一项存疑的技术，近年来却受到资本市场的热捧。《2015全球安防设备市场报告》显示，我国人脸识别市场规模从2012年的16.7亿元，上升至2015年的75亿元。伴随人脸识别应用场景的丰富，2017年整体市场规模预计可达到百亿元以上。
人们不禁要问：人脸识别“火”了，但安全风险谁来“买单”？
安全性或不如10位密码锁
据邓亚峰介绍，市面上大部分使用的人脸识别技术软件的识别流程大致如下：检测人脸→活力检测→人脸对比→分析对比结果→返回结果（通过或不通过）。
“人脸识别要完成两步基本的判断，一是要判断‘你是不是真人’，即通过活体检测技术验证；二是要判断识别的对象是否跟数据库内的生物特征数字吻合，即通过人脸比对解决‘像不像你’的问题。现在这两步都存在被破解的风险。”
高亭宇发现，可以通过注入应用、视频攻击等方式绕过要求用户进行眨眼、点头、张嘴等动作的活体检测环节，从而达到活体检测由任意一个人完成都可以通过的效果。
记者了解到，活力检测技术是指被识别者根据系统语音提示，面朝摄像头做一些诸如扭头、眨眼的规定动作。如果系统识别出相应动作，就会认定被识别者是一个真实的人，而不是静态的照片。
“央视3·15晚会披露的攻击方法，把静态照片变成可按另一个人的脸部动作驱动的视频模型，视频模型也可以在语音提示下完成眨眼、扭头等配合动作，机器却无法判断做动作的人是真是假，只能判断该对象是否做了规定动作，故被模型所欺骗。”邓亚峰解释道。
而第二步人脸比对，需要把摄像头采集到的图像或视频与数据库里人像特征做比对。“机器识别的是人的生物特征，例如人的眉形、嘴型等，再把这些特征转换为生物特征码储存。人脸比对就是拿采集到的特征码与数据库内的做比对的过程。虽然人脸的生物特征具有唯一性，但是这些特征也可以通过算法伪造。对机器而言，特征码基本吻合的情况下，就会判定为是同一个人。”邓亚峰表示。
原公安部第三研究所物联网技术研发中心副主任刘云淮博士介绍，现在人脸识别有两大基本应用场景，即1对1的人脸验证——让系统判断“你是不是谁”；1对多的人脸验证——让系统判断“你是谁”。前一种识别准确度高达99%，但是这种场景需要预先输入人员资料，再与数据库中唯一对应的资料进行比对。而后一种场景是系统简单采集人员图像后自动找出其身份，更易用、更智能，但很难保证准确率。
他表示，人脸识别是一种“受限”的技术。“光线、角度、遮挡等因素都会影响到人脸识别的精度；机器后端连接的数据库容量有多大，也会直接影响到机器比对的效率，如果库内储存了超过1万张图像，识别准确度就会随之下降。”
“在众多基于生物特征识别方式中，人脸识别精度只能达到中等水准，安全性不如10位数的密码锁。”刘云淮直言。
生物特征数据泄露或成真正“痛点”
人脸识别的现存诸多漏洞并非全无攻克之法。“央视3·15晚会主持人用动态人脸模型软件骗过了机器，如果在校验中加入手机屏幕反射光、手机边框等因素，可以适当规避被攻击的风险。”采访中，邓亚峰给出了相应的解决方案。
“但技术在应用中是要讲究平衡性的，人脸识别最大优势是其易用性，如要提升安全性，就要牺牲其便捷，在识别过程中增加更多校验步骤，同时也意味着被识别者也需要做更多配合。那么，人脸识别就没有任何优势可言了。”他认为。
刘云淮则表示，在涉及支付等高级别安全场景使用时，要将人脸识别与声纹、指纹、虹膜等方式相融合，结合多种验证方式才能最大程度保证安全。
但有业内专家表示，相比漏洞可能造成的“盗刷”风险，人脸识别技术采集的大量的带有唯一性的生物特征数据被盗取，才是这种生物认证方式真正的“痛点”。
“生物特征识别技术不适合开放的网络环境。”在今年3.15上海金融信息安全论坛上，上海市信息安全行业协会会长谈剑锋给出建议。
