【分析】生物识别技术在金融行业中的应用

　　行业背景：随着传统金融业务的互联网化以及新型互联网金融业务的出现，作为金融业务开展基础的用户身份核实和认证需求快速增长，尤其是基于移动互联网如何实现安全、可靠、便捷的电子身份认证技术已成为金融从业各方关注的重点。

　　当前问题：传统的基于密码口令、令牌Token的认证模式由于其易被遗忘或不易携带等原因已经渐渐不能满足当前金融行业的需求。

　　解决措施：以指纹识别、人脸识别为代表的生物特征识别技术伴随着移动互联网、移动智能终端技术的快速发展得到迅速推广和应用。目前，生物特征识别技术已经基本成为移动智能终端的标准配置，其自然的人机交互方式、安全便捷的使用体验，逐渐成为了金融业务中新型用户身份核实和认证的发展方向。

　　“早在2010年8月，波兰BPSSA银行开始引入采用指静脉识别技术到自动取款机上。2014年9月，蚂蚁金服在国内率先推出了基于指纹识别的免密支付方案，并随后联合产业链各方成立了互联网身份认证联盟(Internet Finan-cial Authentication Alliance，简称IFAA)共同研究和推广基于生物特征识别技术的新型身份认证安全解决方案。2015年6月，互联网银行如网商银行、微众银行推出基于人脸识别的远程开户辅助用户身份认证解决方案。目前，生物特征识别技术在金融领域的典型应用场景包括辅助进行远程开户、账户管理、支付确认等。”

　　典型的应用场景及模式

　　总体来看，生物特征识别技术在金融行业中的应用模式可以分为远程认证模式和本地认证模式。

　　在远程认证模式下，生物特征识别的完整过程需在用户接入设备侧和服务器侧共同完成，在用户接入设备侧主要完成对用户的生物特征进行采集，并传递到身份认证服务器，在服务器侧完成对用户生物特征的存储和比对并输出识别结果。一种典型的应用场景就是辅助进行远程账户开立，如图1所示：

　　图1基于生物特征识别技术的远程开户示意图

　　流程简介

　　1.用户通过金融应用客户端提交个人基本信息、身份证件、银行卡信息等请求进行远程开户。

　　2.金融应用调起生物特征认证器，发起远程特征身份认证流程，在用户接入设备侧采集用户生物特征信息，并同时进行质量判断和活体攻击检测等预处理后，通过加密等安全保护措施送至服务器侧;

　　3.服务器结合用户提交的身份信息，以及采集到的用户生物特征信息，送至公安部身份核查系统进行证件信息确认以及基于公安部权威生物特征数据库进行用户生物特征比对，以进行实人、实证校验。

　　4.金融应用服务器基于比对结果和风控分析来决定是否为用户开立账户。

　　在上述流程中，目前业内实际应用中，主要是通过公安系统的人脸识别身份验证库来解决了实人验证问题。

　　在本地模式下，生物特征识别的完整过程只发生在用户接入设备侧，不会将用户的生物特征信息传递到服务器侧进行分析、处理或存储。按照是否依赖于直接使用生物特征作为鉴别凭据，本地模式可分为生物特征直接作为鉴别凭据和生物特征间接作为鉴别凭据的技术模式。生物特征直接作为身份认证鉴别凭据的模式下，金融应用一般依赖于在用户接入设备侧中的本地生物特征识别结果进行相应的操作授权，如应用登录等;生物特征间接作为身份认证鉴别凭据的模式下，金融应用一般依赖于在身份认证注册环节中身份认证服务器为用户发行的鉴别凭据对用户进行身份认证，一种典型的应用场景是指纹支付交易确认，如图2所示。

　　其流程一般可分为指纹支付注册和指纹支付验证两个流程。用户首先通过移动支付客户端发起注册请求，移动支付应用服务器指定所支持的生物特征识别类型。

　　图2基于生物特征识别的指纹支付示意图

　　移动支付应用

　　1.调用身份认证可信应用，选择指纹识别系统并对用户进行验证。

　　2.验证通过后，身份认证可信应用生成用户鉴别密钥对。

　　3.身份认证可信应用使用设备认证密钥的私钥对用户鉴别密钥公钥和其他信息如指纹模板索引信息进行签名，连同设备认证公钥证书一块发送至移动支付应用服务器。

　　4.移动支付应用服务器将信息转发至身份认证服务器，在验证设备认证公钥证书合法性后，利用证书中的设备认证公钥对签名进行验证，通过验证后，提取用户鉴别密钥等信息，并将注册关系保存，返回身份认证注册结果。

　　注册成功后，用户可以通过移动支付客户端发起支付请求。移动支付应用首先与移动支付服务器交互，确认是否可进行移动支付。

　　身份认证

　　1.要求用户在本地进行指纹验证。

　　2.通过指纹验证后，身份认证可信应用调用本地存储的用户鉴别密钥私钥对交易信息进行签名后，经移动支付应用发送至移动支付应用服务器。

　　3.移动支付应用服务器将认证信息发送至身份认证服务器进行验证，返回验证结果。

　　4.验证通过后进行支付授权。

　　应用中存在的问题及解决思路

　　不过，由于其自身技术特点，生物特征识别技术在金融领域的应用过程中也引起了人们对于风险的担忧，例如：如果解决用户生物特征信息的安全保护问题，如何解决其安全可靠性问题如应对活体攻击等。

　　金融业务传统的密码口令、令牌、短信验证等验证方式，虽然容易遗忘或被人窃取，但丢失后还可以选择重置修改。但用户的生物特征信息本身并不是保密的，有些类型的用户生物特征可能会较为容易被获取和盗用，如人的指纹可以从触摸过物体表面提取出来、人脸特征也可从公开的照片中提取等。用户生物特征信息属于用户的固有特征，被盗用之后不像密码口令可以被轻易修改，泄露之后造成的危害更为严重，影响更为长远。目前，关于生物特征信息保护，国际标准化组织已经制定相关的技术标准ISO/IEC 24745，从生物特征信息的采集、处理、存储、识别、更新、删除等全链条进行安全分析和威胁建模，并提出具体的保护措施，为产业从业各方制定完善的用户生物特征保护策略提供指导。

　　安全可靠性方面，一方面，单一的生物特征识别技术可能并不会对所有用户都适用，比如有些用户因先天或后天原因缺乏指纹特征无法使用指纹识别技术等;另一方面，由于有些类型的用户生物特征可能会较为容易被获取，生物特征识别身份认证系统也会受到各种各样的哄骗攻击，诸如使用指模可能会成功入侵指纹识别系统，使用高分辨率的脸部图片或者人脸三维面具可能会骗过人脸识别系统等。目前，业内一般采取多模态技术来提升生物特征识别应用的安全可靠性。多模态生物特征识别是指整合或融合两种及两种以上生物识别特征，利用多重生物识别技术的独特优势，并结合数据融合技术，使得认证和识别过程更加精准、安全。与单一生物识别方式相比，多模态生物特征识别主要优点在于三个方面：首先，已经证明利用多个生物特征融合可以提高身份识别的正确率;其次，利用多个生物特征可以拓宽生物特征识别系统的应用人群范围;最后，从防伪的角度，伪造多个生物特征的难度远远大于伪造单一的生物特征。

　　融合多模态信息的方法主要有两种：决策层的融合和特征层的融合。决策层的融合技术是先把各个模态的信息提取出来，输入相应的分类器得到单模态识别结果，然后用规则的方法将单模态的结果综合起来，得到最终的识别结果;特征层的融合方法则是将各个模态的信息提取出来，将这些信息组成一个统一的特征向量，然后再输入到分类器中，得到最终的识别结果。这两种方法各有优缺点，需要结合具体应用解决方案进行选择。

　　总结及建议

　　生物特征识别技术能够提供一种安全、便捷的用户身份认证实现方式，目前已经具备了大规模应用的行业基础，在金融行业有广阔的应用前景。不过，目前在金融行业还因存在对生物特征信息保护、活体攻击等的担忧，而导致了进一步推广应用的障碍。

　　为了更好地促进金融行业生物特征身份认证产业发展，建议：一是结合金融行业特点，从明确金融使用场景、规范底层技术、制定安全要求、建立市场准入规则等多个维度进行相关标准体系建设，并通过检测认证体系确保行业健康有序发展;二是进一步完善相关法规制度建设，明确相关方的责任和义务，确保用户生物特征信息和隐私安全;三是结合人工智能、云计算、传感器技术等的快速发展，进一步推动活体攻击检测等关键技术的研究和升级，并快速实现产业化应用。