亞馬遜正在悄悄測(cè)試新的支付方式：用手掌支付

最近，有媒體報(bào)道，亞馬遜正在悄悄測(cè)試新的支付方式：用手掌支付。亞馬遜的工程師們正在測(cè)試一種可以識(shí)別人手掌動(dòng)作的掃描儀，不需要用戶直接接觸，機(jī)器會(huì)掃描并辨別手掌的形狀和動(dòng)作，自動(dòng)完成支付。未來(lái)幾個(gè)月他們打算在美國(guó)旗下的全食超市（Whole Foods Market）中推廣這一工具。

生物識(shí)別信息正在泄露

國(guó)內(nèi)主流的移動(dòng)支付工具，微信和支付寶，很早就將指紋用于支付身份驗(yàn)證，隨著微信和支付寶的大力推進(jìn)，面部識(shí)別方式也正推廣開(kāi)來(lái)?，F(xiàn)在，亞馬遜又加入手掌信息，支付工具對(duì)生物識(shí)別信息的使用越來(lái)越廣泛。

除了支付，解鎖智能手機(jī)、開(kāi)智能鎖、刷門禁。..。..生物識(shí)別信息的應(yīng)用范圍越來(lái)越廣。使用的種類也越來(lái)越多：指紋、虹膜、面部識(shí)別。..。..但是，當(dāng)這些生物信息被大規(guī)模使用時(shí)，泄露的風(fēng)險(xiǎn)也在增加。而且，真實(shí)的案例正在發(fā)生。

2019年8月14日，英國(guó)《衛(wèi)報(bào)》就曾報(bào)道過(guò)一起大規(guī)模的數(shù)據(jù)泄露事件。一家叫做Suprema的生物科技公司，把大量未加密的用戶數(shù)據(jù)放到網(wǎng)上，這些數(shù)據(jù)包含了100多萬(wàn)人的指紋、面部識(shí)別等敏感信息。由于數(shù)據(jù)未加密，也沒(méi)有其他防護(hù)，其他人可以輕易獲取。這些數(shù)據(jù)來(lái)自公司服務(wù)的各大機(jī)構(gòu)，包括政府、銀行、英國(guó)大都會(huì)警察局等。目前，還沒(méi)有數(shù)據(jù)被其他人獲取并濫用的報(bào)道，但造成的后果還不好說(shuō)。

相較之下，印度的例子要嚴(yán)重得多。2009年，印度啟動(dòng)了一項(xiàng)宏大的計(jì)劃，將全國(guó)超過(guò)95%人口的生物識(shí)別信息納入國(guó)家數(shù)據(jù)庫(kù)Aadhaar，大約11億人的姓名、地址、手機(jī)號(hào)，以及指紋、相片、虹膜掃描等信息被保存。

但滑稽的是，這些數(shù)據(jù)并沒(méi)有得到嚴(yán)格的保護(hù)，數(shù)據(jù)庫(kù)很快就被黑客攻破，現(xiàn)在，通過(guò)WhatsApp上的匿名群組，任何人都能以500盧比（相當(dāng)于人民幣50塊錢）的低廉價(jià)格買到這11億人的生物識(shí)別信息。未來(lái)，將有無(wú)數(shù)人可以使用這些信息，和這11億人的信息相比，Suprema泄露的信息甚至顯得有些微不足道。

過(guò)去，我們使用賬號(hào)密碼的方式驗(yàn)證身份，保護(hù)不當(dāng)泄露的話，可能會(huì)遭受不少損失?，F(xiàn)在使用生物識(shí)別信息驗(yàn)證身份，信息也發(fā)生了泄露，只是這些信息的泄露要嚴(yán)重很多，賬號(hào)密碼是可更改的，可以隨時(shí)變換。但生物信息是唯一的且不可更改的，一旦泄露，風(fēng)險(xiǎn)就會(huì)伴隨終生。

指紋、面部識(shí)別沒(méi)你想的那么安全

盡管所有的服務(wù)商都會(huì)強(qiáng)調(diào)自己的生物識(shí)別技術(shù)非常先進(jìn)，破解非常困難，十分安全。但事實(shí)上它們并沒(méi)有那么安全，現(xiàn)在市面上最常見(jiàn)的指紋識(shí)別和面部識(shí)別兩種方式都是可以破解的。

指紋識(shí)別最早是在2011年出現(xiàn)在手機(jī)上的，當(dāng)時(shí)的摩托羅拉Atrix 4G就使用了指紋識(shí)別，但真正開(kāi)始流行起來(lái)是在2013年，當(dāng)時(shí)蘋果發(fā)布iPhone 5s，再次把指紋識(shí)別用到了手機(jī)上，并稱其為Touch ID。隨后，一眾手機(jī)廠商開(kāi)始追隨蘋果，指紋識(shí)別開(kāi)始流行開(kāi)來(lái)。

為了提高Touch ID的安全性，蘋果下了不少功夫，為此還花3.56億美元收購(gòu)了Authentec，一家全球頂尖的指紋認(rèn)證傳感器方案提供商。對(duì)手機(jī)上的指紋識(shí)別模塊，蘋果也一再?gòu)?qiáng)調(diào)其安全性。然而，距iPhone 5s開(kāi)售僅僅24小時(shí)，Touch ID就被黑客破解了。

無(wú)獨(dú)有偶，蘋果2017年發(fā)布iPhone X的時(shí)候，使用了面容識(shí)別系統(tǒng)Face ID，在發(fā)布會(huì)上蘋果大費(fèi)周章地展示這個(gè)技術(shù)的強(qiáng)大，并表示這個(gè)新技術(shù)無(wú)比安全，但最后還是打了臉。先是被報(bào)道可能會(huì)被雙胞胎騙過(guò)驗(yàn)證，接著，在2019年舉辦的世界黑帽安全大會(huì)上，被騰訊團(tuán)隊(duì)使用一副特制的眼鏡就破解了。

蘋果的Touch ID和Face ID的技術(shù)在業(yè)界都是領(lǐng)先的，尚且會(huì)被破解，其他使用屏下指紋和2D面容識(shí)別的手機(jī)，破解難度也不會(huì)高過(guò)蘋果，事實(shí)上，相關(guān)的破解新聞在互聯(lián)網(wǎng)上很容易搜到，使用生物信息識(shí)別并沒(méi)有那么安全。

當(dāng)然，對(duì)于普通人來(lái)說(shuō)，手機(jī)被破解的風(fēng)險(xiǎn)實(shí)際上是很小的。因?yàn)檫@些破解方法都很復(fù)雜，成本也不低，普通人的手機(jī)，根本不值得黑客浪費(fèi)精力破解。

先說(shuō)指紋識(shí)別，黑客想要破解，首先需要獲取一份清晰的指紋圖像樣本，黑客需要確定用戶使用的是哪一只手指，并且還要確保手指干凈，這些條件已經(jīng)比較苛刻。怎樣提取清晰的指紋樣本同樣復(fù)雜，沒(méi)有專業(yè)的知識(shí)很難辦到。制造一份假的指紋副本還需要昂貴的設(shè)備。面對(duì)這么高昂的成本，黑客不可能隨便去破解一個(gè)人的手機(jī)。

對(duì)Face ID的破解相對(duì)簡(jiǎn)單一些，騰訊團(tuán)隊(duì)利用蘋果活體檢測(cè)的漏洞，特制了一副叫做“X-glasses”的眼鏡，他們?cè)谘坨R上貼上一張黑膠布，并在黑膠布中央貼上一小塊白膠布，借此偽裝成人眼，騙過(guò)蘋果的活體檢測(cè)。不過(guò)這個(gè)破解同樣有很多局限，首先需要使用到被破解者本人的面容，還需要被破解者不作任何反抗?！陡２妓埂返挠浾邆円苍褂?D打印的人臉石膏模型破解市面上的一些旗艦手機(jī)：LG G7 ThinQ、三星 S9、三星 Note 8 和一加 6，但是他們沒(méi)能破解iPhone的Face ID。

所以說(shuō)，盡管可以破解，但是獲取信息的成本和破解的成本都是比較高的，普通人暫時(shí)不需要擔(dān)心安全問(wèn)題。

使用生物識(shí)別需要慎重

但是，除了手機(jī)，對(duì)于其他使用生物識(shí)別信息的設(shè)備，獲取成本是否同樣這么高呢？而且，生物識(shí)別信息的使用有逐漸擴(kuò)大的趨勢(shì)，各個(gè)服務(wù)商對(duì)信息的保護(hù)能力是不同的，一旦這些信息的使用規(guī)模變大，獲取生物信息的成本也許就不那么高了。

而且，泄露這些不可更改的生物識(shí)別信息之后，不僅僅是相關(guān)服務(wù)會(huì)面臨長(zhǎng)期隱患，在一些犯罪活動(dòng)中，這些信息也可能被利用，犯罪分子可以偽造生物識(shí)別信息作為證據(jù)，也可以用于偽造身份，這可能使普通人面臨自證的困難。所以，當(dāng)生物識(shí)別信息被大規(guī)模應(yīng)用，獲取成本降低之后，風(fēng)險(xiǎn)可能比我們想象的大。

在生物識(shí)別逐漸普及的今天，普通人在使用相關(guān)服務(wù)時(shí)，還是應(yīng)該謹(jǐn)慎一些，比如：那些會(huì)在云端存儲(chǔ)生物識(shí)別信息的服務(wù)能不用就不用，畢竟服務(wù)商保護(hù)信息的能力參差不齊；盡可能減少生物識(shí)別信息的使用，減少泄露的風(fēng)險(xiǎn)；保護(hù)好自己的隱私，不要隨便泄露自己的生物識(shí)別信息。

確實(shí)有很多人愿意為便利付出一些代價(jià)，隨意使用生物識(shí)別信息也是個(gè)人自由，只是，為自由付出的代價(jià)也要自己承擔(dān)。所以，對(duì)個(gè)人而言，如果愿意減少一些風(fēng)險(xiǎn)，使用生物識(shí)別信息時(shí)還是謹(jǐn)慎一些比較好。對(duì)于服務(wù)商來(lái)說(shuō)，如果沒(méi)有足夠的能力保護(hù)信息安全，還是不要輕易獲取客戶的這些信息。同時(shí)，還是希望有可靠的機(jī)制保證服務(wù)商獲取信息的途徑是合法的，使用的方式是合理的。