刷脸支付火热央行担忧安全风险

互联网IDC圈7月27日报道，被网络银行炒的神乎其技的“刷脸”开户也被传统银行纳入了技术采用的衡量范围。然而，与浙江网商银行以及微众银行相比，部分传统大行对此态度明显谨慎的多。

“我们认为人脸识别技术不够成熟，远程开户和刷脸支付现在安全性都存在问题，会比较谨慎。即便监管放行，我们也会等很多银行应用了以后再推进。尤其是我们信用卡中心，要放贷款出去，更是要格外小心。”上海某传统银行信用卡中心人士表示。

中科院计算技术研究所研究员山世光指出，刷脸开户和刷脸支付技术，目前从技术的成熟度来看，主要涉及两个问题。第一，存在权衡便利性和安全性的困境。第二个问题则更严重，即假体欺骗问题。“这是刷脸支付可能面临的大的技术挑战，”他强调，刷脸支付一旦普及，必定会有不法分子用照片、视频甚至制作三维头套等高科技手段来欺骗刷脸支付系统，非法获得财富。

网络银行亟待监管放行

2015年以来，腾讯、阿里等多个IT巨头及上市公司纷纷加码布局人脸识别产业，并希望将人脸支付技术的应用延伸到金融业务领域。

今年3月，阿里巴巴集团董事局主席马云在德国参加活动时，曾演示蚂蚁金服的Smile to Pay扫脸技术。这项支付认证技术由蚂蚁金服与Face++ Financial合作研发，在购物后的支付认证阶段通过扫脸取代传统密码。这意味着，未来可以实现“刷脸支付”。支付宝宣称，Face++Financial人脸识别技术在国际权威人脸识别数据库LFW国际公开测试集中达到99.5%准确率，同时，还能运用“交互式指令+连续性判定+3D判定”的技术。

此前腾讯旗下的财付通曾表示，已与中国公安部所属的全国公民身份证号码查询服务中心达成人像比对服务的战略合作。腾讯与微众银行正在对金融、证券等业务进行人脸识别的应用进行尝试。据悉，阿里、腾讯已计划把刷脸支付技术在年内进行市场应用。

作为无线下物理网点和柜台业务的互联网银行，在微众银行和浙江网商银行看来，人脸识别技术已较为成熟，在远程开户和刷脸支付上的应用值得期待，并呼吁监管层放行远程开户。浙江网商银行行长俞胜法对《中国经营报》记者表示，未放行“远程开户”，网商银行的业务开展面临极大掣肘。毕竟做银行最核心的是账户体系，如果没有该体系，银行可施展的空间很小。俞胜法表示，网商银行不能做开户、存款业务，只能做“不需要依靠账户或可通过其他账户来实现”的简单业务。

而人脸识别技术正是远程开户的技术载体。蚂蚁金服内部人士曾表示，针对人脸识别、扫脸付，蚂蚁金服已经形成一套相对成熟的方案。未来通过社交系统、网络征信系统等多重机构进行交叉验证的远程开户值得期待。

国信证券分析报告指出，针对人脸识别，系统将采集PC或手机摄像头视频帧，通过人脸检测和关键点定位，再通过计算人脸角度、遮挡和光线决定是否需要重新拍照，如果通过，则获取满足质量要求的人脸，并提取嘴部特征进行唇语识别，通过唇语对比判断是否是活体，进一步通过活体检测的人脸进行压缩加密和传输，最后调用人脸识别对比服务并将对比结果返回。

对此，多位业内人士表示，如何构建顺利完成上述流程的系统成为通过人脸识别达到远程开户目的的大难点，在风险点尚未完全“暴露”或“摸透”时，面签底线不会轻易打破。

从监管层态度来看，也十分谨慎。远程开户早有询问之声，2014年央行开始对电子账户以及远程开立账户的规定“松绑”并对强弱实名账户实行分离监管，并于2015年初发布《关于银行金融机构远程开立人民币银行账户的指导意见(征求意见稿)》。

据了解，央行对远程开户之所以比较谨慎，原因主要在于网商银行和微众银行这两家网络银行报的远程开户方案，其技术可靠性没有被检验过，因为没有第三方机构的独立测试和验收，央行对系统可靠性心里没底，两家的数据都是两家银行自己提供的，没有经过央行检验。另外，央行担心给了网商和微众这两家远程开户试点，会对其他银行产生影响。

刷脸开户不成熟？

网络银行的大胆以及创新态度并没有让传统大行忽视可能的安全隐患，而大行采用这项技术的评估结果也并不尽如人意。

“我们通过某家公司调查研究，发现人脸识别技术并不成熟，即便是在美国也没有应用在金融领域，短期内不是很看好。”某银行相关人士说。

6月28日，在北京国际财源中心，由“未来论坛”联合举办的，题为“计算机视觉：从刷脸到认万物”主题讲座上，山世光表示：“必须说明的是，尽管现有人脸识别技术在LFW等人脸数据库上的准确率已经达到99.5%，但这不等于人脸识别技术在所有应用场景下都已经成熟了。总体上人脸识别在金融、安防等场景中的很多应用尚不成熟，还有很长的路要走。”

他指出，刷脸开户和刷脸支付技术，目前从技术的成熟度来看，主要涉及两个问题：第一，存在权衡便利性和安全性的困境。假设客户在非银行现场开户，他向系统提交身份证信息，系统从国家身份证中心获得二代证照片和这个开户人比对，判断其是否为该证件的合法持有人。山世光预测，“这种场景下，如果要保证安全性，误识率可能要低于0.0001，而此时识别率可能只有70%左右，这意味着100次刷脸可能有30次不成功，会很不便利。而要提高识别率以增加便利性，势必要把误识率调高到0.001甚至0.01，而这又会带来易于被冒用身份的严重安全问题。这张二代证照片很可能是十年前拍摄的，而刷脸支付现场采集环境又非常复杂、多样、不可控。”

客户在合法开户后刷脸支付的技术难度可能相对好一些，因为用户在开户时拍摄的照片(可以不止一张)可以作为这个人存底数据库的照片，可以配合二代证照片同时用于验证支付现场的客户照片，在这种场景下下，如果误识率设定在比较安全的0.0001，识别率有可能达到90%或更高。

第二个问题则更严重，即假体欺骗问题，“这是刷脸支付可能面临的大的技术挑战”。他强调，刷脸支付一旦普及，必定会有不法分子用照片、视频甚至制作三维头套等高科技手段来欺骗刷脸支付系统，非法获得财富。从目前技术水平来看，尽管科技界已经开发了眨眼、唇动或3D等多种防欺骗技术，但都不是无懈可击的。所谓“道高一尺、魔高一丈，比如你说话可以被诈骗者录音，也可以生成带有你的眨眼或唇动的视频，甚至可以制作与真人无异的3D头套，以欺骗人脸识别系统”。

“防范假体攻击是人脸识别系统不可忽视的功课，对账户和支付的安全有重要的防范作用，就目前测试的情况来看，如现在推向市场，技术和安全条件还不成熟。”前述银行人士说。

山世光指出，结合目前的市场情况和现在技术的发展程度，结合该公司的实际测试结果，活体检测技术仍旧存在这样或那样的问题，也许在民用级的应用场景下，还是可以通畅应用，但在安全等级高的金融等领域，此项技术仍旧存在短板和漏洞，无法立即以及单独在金融领域推广应用。

“和一些新的民营银行不同，我们更强调安全性，即便监管放行，在技术不足够成熟的情况下，我们也会先观望，对风险的容忍度没有小银行那么高。”该银行人士说。