導讀：還真沒一種生物識別，是萬無一失的安全？

前不久，狗哥寫過一篇云同步導致相冊資料混亂的文章，幾位讀者私下表示，確實遇到過類似問題。

最近一則消息稱，蘋果公司正在測試網頁版iCloud新功能，當用戶的測試設備訪問beta.icloud.com網址時，可以使用Face ID或Touch ID登錄賬戶。

這是一個新功能，以前使用網頁登錄icloud，無論是不是蘋果設備都需要輸入密碼。現在用戶可以在運行iOS、iPadOS或macOS測試版設備上使用Face ID或Touch ID登錄網頁版iCloud。當這些設備訪問Safari瀏覽器的iCloud時，用戶會收到一個彈出窗口，詢問是否使用生物識別功能登錄。

由此，引發了不少讀者針對生物識別安全性的探討。因為他們保存著大量的照片和信息在iCloud上，并且覺得，在某些時候，生物識別破解往往比密碼破解更加容易。

數位讀者就生物識別的安全性展開更深層次地挖掘討論，打開腦洞，暢談更安全的生物識別認證。

一位“如影隨形”的讀者說，就拿我們常用的手機而言，比起生物識別，他還是非常希望回到傳統圖案解鎖。為何如此?因為，以前他手機圖案解鎖，設置得非常復雜，他女友學了幾次，都記不住，就懶得折騰他手機了。

后來，他換了一部國產手機，新增了面部識別、指紋識別的功能，卻把圖案密碼功能給刪除了。只能用六位數字密碼結合生物識別解鎖手機。

目前狀況是，他被迫告知女友六位解鎖密碼，還被迫在手機里設置了女友的指紋解鎖。如此一來，在他睡覺或洗澡的時候，女友便可隨意查看他手機，這讓他很沒有安全感。

所以他認為，生物識別在情侶之間，恰是不安全的典型表現。所以他的要求看上去有些復古——強烈希望能出一款高端的摒棄生物識別功能的手機。

仔細想來，也確實如此。且不論各種生物識別在黑客攻擊下的安全性，單就男女朋友之間，也確實給彼此解鎖彼此手機，提供了無與倫比的安全性。

而且狗哥覺得還有一個頭痛的地方，就是在未設置生物識別支付的情況下，網銀APP轉賬等都需要驗證手機短信。

但是，一旦設置指紋支付，往往只需驗證手機已錄指紋中的一個手指的指紋，以后的銀行卡轉賬，或各種支付交易，所有指紋皆能支付。

因此，如果男女朋友一方存有異心，就很容易盜取另一方的錢財，這在很多新聞中屢見不鮮。人心險惡，有些人可不是帶著真愛以及結婚生子的目的去戀愛，而是專門為了詐取錢財、騙取色相。

如上生物識別的安全性，只能說是特定關系下的安全問題。在更復雜的應用場景中，面臨更極端的入侵挑戰，各項生物識別的安全性又將如何呢?

01人臉識別與指紋識別

人臉識別和指紋識別，算是應用最為廣泛的兩大生物識別，在手機、門禁、考勤、車站等設備與地點，早已司空見慣。

1927年，德國羅伯特海因德爾在《指紋鑒定》一書中斷定，中國唐代的賈公彥是世界上提出用指紋識別人的第一個學者。

在大多情況下，人臉和指紋識別是安全的。但在極端情況下，也是可以被破解的，并且破解之法也屢見不鮮。

例如，當我們驗證指紋時，構成指紋物理紋路的獨特模式被傳感器轉換成數據后，這些數據可以被存儲、共享，甚至修改，為不法分子盜用埋下了伏筆。

兩年前，日本國家信息學研究所的研究人稱，他們僅用中端數碼愛相機，就能從個人照片中成功提取指紋，之后還可以使用3D打印機輕松創建指紋副本。

早在2016年，美國密歇根州的警察為了驗證生物識別的準確性，使用了警方自己的存儲庫的指紋，而非照片提取的指紋，通過與當地一所大學合作，制作了一個謀殺案受害者的指紋復制品，最終成功解鎖受害者的手機，獲取證據，幫助破案。

至于面部識別，更容易泄露，因為我們不可能整天蒙著臉出門，而且大街小巷各種攝像頭漫山遍野，手機拍照愈發清晰，面部生物特征隨時都可能被獲取。

以往，一張照片就可以用來攻破初級面部識別系統，如今這么弱雞的系統早已被淘汰，但是3D識別與3D打印技術卻在突飛猛進。

如果用3D拍攝工具拍攝一張你的照片，再用3D打印機打印下來，經過一系列精密加工，誰也說不準能不能騙過一些人臉識別系統。

至于在實驗室或極客大會上展現的各種破解技術，我們安在此前也有不少文章專門講述過破解過程，在此不再贅述。

不過有必要提及一點，人臉與指紋識別技術也在日新月異，很多以前可以破解的方法，如今已經失效。安全就是這樣，道魔相爭，你來我往，大家都水漲船高，只看誰在特定時間內技高一籌。

02虹膜識別

接下來談談虹膜識別。人的虹膜在胎兒發育階段形成后，整個生命歷程中將是保持不變的，因此也決定了身份識別的唯一性。

很多人以為，虹膜識別的破解，肯定極端復雜。畢竟誰也沒辦法復制一個一摸一樣的眼球吧。

事實上，現實與大眾想象大相徑庭，獲取虹膜的方式十分簡單，只要在一個人十米內，用單反長焦鏡頭結合捕捉紅外功能聚焦光束拍攝，就能成功獲取虹膜信息。

2018年，百度安全實驗室(X-lab)研究員小灰灰就成功破解了虹膜識別，并給出了復制虹膜的方法。

首先，虹膜識別驗證的過程是：以一款虹膜識別儀為例，首先由設備上的 LED 燈發出紅外光照射眼球，然后再由紅外攝像頭捕捉虹膜圖像，繼而利用算法進行定位和預處理。最后一步跟指紋識別一樣，進行歸一化、關鍵點抽取，并與數據庫信息進行比對。

雖然人眼看不到紅外線，但電子設備卻可以輕松探測到。據業內人士稱，相機其實都可以捕捉紅外，但因紅外光對照片效果有干擾影響，因此很多相機都屏蔽了這項功能。

研究員小灰灰在通過對某款虹膜識別儀進行拆解分析后，拿到了它的紅外光識別圖像。

接下來，小灰灰開始偽造傳感器能夠識別的虹膜復制品。他發現激光黑白打印機碳粉對近紅外吸收效果比較好。按照此法，他成功解鎖了一款具備虹膜識別功能的手機。這個結果直接粉碎了“由于虹膜是生物特征，在照片或者視頻上不能解鎖”的專家說辭。

而且，即便有硬件在虹膜識別過程中加入了“活體檢測”，譬如眼球微動、瞳孔縮放，只需抖動打印虹膜，或平穩拉進拉遠，也能輕易繞過，通過認證。

據媒體報道，現在手機像素越來越高清，而很多用戶喜歡在社交媒體上發布照片。黑客可以通過自拍照獲得用戶虹膜信息，然后同樣可以騙過手機虹膜識別系統。

03聲紋識別

人們說話過程中所蘊含的語音特征和發音習慣幾乎是獨一無二的，就算被模仿，也改變不了說話者最本質的發音和聲道特征。聲紋識別就是根據待識別語音的聲紋特征來識別該段語音所對應的說話人的過程。

中國人民大學數字經濟研究中心副主任程華認為，聲紋識別還是會存在不確定性和風險。“我們探索過聲紋支付，但這兩年大家發現人工智能已經能夠非常好地模擬出人的聲音。”

2018年底，微信安全中心發布消息稱，有人利用“語音克隆”進行詐騙：趙女士接到父親在微信上發來的消息，讓趙女士轉200元到微信上。趙女士便用語音問了句“爸爸，是你嗎?”很快就收到對方回復，趙女士一聽是父親聲音，便把錢轉了過去。但這是一場騙局，經核實，欺詐者發送的語音并非趙女士父親的聲音，而是“克隆”的聲音。

據媒體報道，語音克隆技術早已不是新鮮事物，有些系統僅需要說話者一個半小時的數據，就可以模擬他的聲音。

在GeekPwn2017國際安全極客大賽上，選手就根據游戲《王者榮耀》里英雄配音者所提供的聲音樣本，模擬了其聲紋特征，合成一段“攻擊”語音，對現場提供的四個具有聲紋識別功能的設備發起攻擊，欺騙并通過了“聲紋鎖”的驗證。

今年1月，互聯網上傳來一個令人啼笑皆非卻又憂心忡忡的新聞：“谷歌ReCaptcha系統被破解，機器語音驗證準確率高達85%”。

谷歌ReCaptcha系統的工作原理為，通過人工智能技術生成不同字母和數字的人工語音，并且設計了不同的年齡、性別、語速等多種類型的聲線來分別朗讀，網民通過傾聽人工語音來辨識出朗讀的字母和數字，填入網頁提交驗證。此機制用于確保網頁操作是真人執行而非程序自動進行。

機制看上去無懈可擊，但破解方法同樣精巧妙絕，即同樣使用人工智能技術來進行語音識別(包括使用谷歌自身提供的語音識別服務來進行)，進而將朗讀出的語音轉化為字符文本，輸入至網頁提交驗證，來進行網頁操作。這真是“搬起石頭砸自己的腳”。

這個案例說明，AI可以對現實生活中各種行為和信息進行識別，并轉化為數字化的特征值數據形式;同樣也能將已有的數字化形式的各種特征值數據虛擬，還原為現實生活中的行為和信息。

而隨著算法進步、計算性能提升，虛擬信息的還原效果就越能夠以假亂真，虛擬還原信息越接近真實信息。由此可見，聲紋識別漏洞很大。

當然，這并不代表聲紋識別沒有前景，據了解，已有機構在開發識別“語音克隆”的對策。

語音控制軟件開發商NuanceCommunications正在研究算法，檢測語音片段之間連接點上微小的頻率跳躍。

Adobe公司表示，它正在開發的VoCo語音克隆軟件，也許可在合成語音中添加數字水印。這類精妙技術或許有助計算機辨別可疑語音。

04靜脈識別

靜脈識別是根據靜脈血液中脫氧血色素吸收近紅外線或人體輻射遠紅外線的特性，用特殊的技術手段提取特征，再與預先存儲特征數據進行匹配以確定個人身份。

簡單來說，就是在紅外線的照射下，血管中的血紅蛋白對近紅外光更容易吸收，其顏色逐漸加深，而手指肌肉、骨骼和其他部分都被弱化，最終靜脈就顯現了出來，被紅外攝像頭捕獲。

由于每個人的靜脈分布圖，具備類似指紋的唯一性，且成年后持久不變的特點，所以它能夠唯一確定一個人的身份。

早在2006年，掌靜脈識別就已被納入生物識別。但是，唯一性并不代表不可破解，肉眼看不到，不代表儀器看不到，也不代表不會被其他設備提取。

此前，國外兩名黑客Jan Krissler(starbug)和Julian Albrecht在德國召開的混沌通信大會上，演示了他們如今破解靜脈識別。

他們先用一臺不帶紅外濾光片的單反相機，在五米之外拍攝了目標者的手掌照片，然后通過修改照片去除紅外濾光后，從中提取出了目標者的靜脈布局，然后利用這些數據創建了一個手部的蠟質模型，包括了合成靜脈，成功欺騙了靜脈掃描儀。

其實，相關專家曾強調，經脈識別技術欲要增強安全性，必須結合血液流動，這樣形成的活體密碼很難被復制和破解。然而，據百度安全實驗室研究員稱，很多號稱有這項功能的識別儀，根本不具備血液流動檢測功能，故而實際上很容易遭到破解。

狗哥以為，靜脈識別技術總體而言，是相對安全的。比如上文提到的兩名黑客破解，雖然現場制作蠟制手掌只需15分鐘和一張照片，不過要想實現出這個效果卻花費了30天時間、使用2500多張測試照片。

在演示的時候，也不是立即奏效。兩位黑客不得不把掃描儀放在桌子下面，來遮擋大廳的光線，以隔離干擾。

另外，有業內專家表示：“刷手識別時，因為獲取的是手掌內部的靜脈圖像特征，所以手掌表面的損傷、磨損、干燥或太濕等不會帶來識別障礙;手掌也不需要與設備儀器直接接觸，可以保障使用者的衛生;此外，不是活人的手掌獲取不到靜脈圖像特征，也就無從造假——內部識別、非接觸式活體識別等特征，使得掌靜脈識別系統的安全等級更高。如果有壞人想要破解掌靜脈，破解率低達千萬分之一。”

05行為識別

概括來說，行為識別是一種通過算法，把人的主要活動骨架結構化，根據人的運動軌跡，定義各種一場行為，通過深度學習算法，形成動作體系，能高效的被系統識別到。

該識別技術通過攝像機拍攝，模擬勾勒出人的骨架，針對人的各種動作進行分析出運動軌跡，從而判斷出該運動軌跡是屬于什么動作。

目前，行為識別技術可對緊急求救、打架斗毆、高空拋物、聚眾圍觀等異常行為進行分析且提前預警，可廣泛應用于自動駕駛、醫療、教育、機器人、公共安全、影視娛樂等領域。

但是，行為識別并非完美無缺，目前存在算法缺陷，缺乏端到端的模型，人體姿態和動作的多樣性、復雜場景、缺乏標注良好的大型數據集、個體差異性(不同人表現統一動作的差異)。

行為識別中，最常見的是步態識別。顧名思義，步態識別是通過人們走路的姿態進行身份識別。

從解剖學的角度分析，步態唯一性的物理基礎是每個人生理結構的差異性，不一樣的腿骨長度、肌肉強度、重心高度、運動神經靈敏度，共同決定了步態的唯一性。

步態識別的整個過程分為采集、分析、提取、比對四大環節，每個環節都面臨著挑戰。

比如數據樣本的采集，如何獲取數據，又如何構建步態識別的數據庫?在獲取到數據后如何分割前景和背景，讓識別更為精確?在特征表達的階段，又該如何解決跨視角識別的問題等等。

目前，行為識別大多還處于實驗室階段，其本身尚還存在巨大的缺陷，所以針對行為識別的破解并不太多。

尤其是咱們常用的手機、電腦等設備，用行為識別來解鎖，且不說安全性上如何，看上去都似乎有些怪異。因為想要更高的安全性，必須要有更復雜的動作，手機解個鎖還得跳一段《學貓叫》，想想還是有些奇葩。

06心跳識別

心跳所呈現的狀態，早在2000多年前，就被中醫用來把脈來診斷病情。

盡管心跳會根據人的狀態而多變，但科學家稱，與人的指紋一樣，每個人的心跳信號也是獨一無二的。

在美國，為了滿足軍方識別恐怖分子的更高要求，五角大樓在美國特種部隊的要求下，開發更精確的遠程識別技術，成功開發出了一款名叫Jetson的遠程心跳識別設備，運用的基本原理正是心跳信號的獨特性。

這款設備可以在200米外捕捉到心臟信號，具體做法是：用激光振動儀來檢測由心跳引起的肌膚表層運動，然后用算法從激光信號中提取心臟信息。

激光振動儀是一種表面非接觸性的測量儀，其發射的激光束直接對準待測物表面，通過反射的激光束隨表面運動的頻移，可以提取待測物表面的振幅和頻率。

此外，紐約州立大學布法羅分校的華人科學家許文曜團隊，研制出一種利用雷達遠距離掃描、分析心臟結構與跳動特征的識別系統。據悉，與人臉相比，心臟生物測量學更加穩定，準確率可以達到98%以上。

目前，心跳識別已有商用案例。比如，Nymi公司提供一種腕帶，可以將使用者的心電圖作為指紋識別的替代品。

另外，B-Secur公司的心電圖生物識別方案，也有望在2020年的車型中得到應用，主要用于駕駛員身份驗證和駕駛員狀態監控。

然而，心跳識別目前只是小部分嘗試應用，尚未投入商用領域，只在軍方和一些特殊場景下應用，所以也未有比較特殊的破解之法。但是，一旦推廣開來，它也面臨著與其他生物識別系統相似的挑戰——收集的數據可能會被黑灰產竊取或被濫用，甚至被復制。

當然，狗哥以為，心跳識別并不像指紋識別那樣，在民用領域有廣闊的前景。畢竟手機若是用心跳信號來解鎖，手機放在身上，大概會一直處于解鎖-息屏-解鎖-息屏的循環模式。

07骨聲紋識別

沒錯，是骨聲紋識別，不是聲紋識別。

骨聲紋是利用耳機采集每個人特有聲音在其特有骨骼間傳遞反射的回聲，依賴于骨導鑒權和聲紋鑒權兩大技術將傳到手機的聲紋處理，這樣骨聲紋無法通過錄制聲音進行破解，所以安全性能更高。

這是一個比較偏僻的詞匯，狗哥也是前段時間才有所了解，并且當下已經有了商用案例。

比如，榮耀手機配備的FlyPods Pro耳機搭載的骨聲紋識別技術，能實現手機屏幕解鎖、調出支付二維碼頁面等功能。用戶需要佩戴好FlyPods Pro左右耳機，并在安靜的環境中按指引錄入骨聲紋。

具體說來，就是用戶在佩戴該耳機后，一側的設備將播放特定波段的音頻，該波段音頻是人耳無法察覺的，時間極短且對人無害。另一側的耳機將暫時充當聲波接收設備，將通過頭骨的聲音識、別并紀錄下來。

由于每個人的頭骨結構都是獨一無二的，所以這種反射過來的聲音也便是獨一無二的。之后系統將解析聲紋，檢測并與數據庫匹配，來達成安全解鎖移動設備的目的。

狗哥搜尋發現，目前這項技術只有華為一家使用，所以目前也未出現針對性的破解方式。

08耳蝸識別

早在2016年，日本NEC公司就推出了全新的解鎖方式——耳蝸驗證解鎖。

NEC公司創建了一種微型入耳式耳塞，可以在發出聲音后測量耳蝸的震動方式來進行身份認證，每個人耳朵的形狀有獨一無二的構造模式，NEC公司表示這種識別方式的準確率達到了99%，并且只用1秒鐘的時間就能完成驗證。

耳蝸驗證技術主要依靠聲學的反射原理，耳機發聲后先達到外耳道的鼓膜，進一步到中耳、內耳，再反彈回耳道鼓膜。NEC的實驗結果表明，鼓膜和內耳道對聲音信號的傳輸所作出的反應都可以作為個體差異驗證的樣本，而且信號特征值可以減少識別計算的復雜性，同時提高計算的速度和準確度。

這種技術，與化為骨聲紋技術有些類似，但本質并不相同。NEC打算主要面向人身安全和財產安全的欺詐預防和保護領域，或是醫療及安保等安全基礎設施的維護和管理。

目前，狗哥并非發現大規模商用情況，故此針對耳蝸識別的破解，也沒有什么相關消息。

09簽字識別

簽字識別，古來有之，至今仍舊沿用，比如簽合同、簽協議時，都會用到。

每個人都有自己獨特的書寫風格，所以簽名識別可作為生物識別的一種，屬于行為測定。

簽字識別有個數字化過程：測量圖像本身以及整個簽字的動作，在每個字符以及字符之間的不同的速度、順序和壓力。

簽字識別分為離線簽字識別和在線簽字識別。

在線識別是通過手寫板采集書寫人的簽字樣本，有的系統還可以采集壓力、握筆的角度等數據，目前識別率挺高。但由于人類書寫動作并非固定不變，所以單單從字形上，有可能無法區分真實簽名和偽造簽名。故而離線簽名就更不安全。

古代有模擬字型，來偽造證明，甚至仿造圣旨的現象。當下，簽字識別已經成為一種輔助認證，并非唯一性，所以即便破解了簽字識別，也往往沒太大意義。

10尾音：腦洞系列

此外，有讀者提到記憶識別。

狗哥有些納悶，記憶識別，簡單看來不就是記住密碼或密保問題嗎?可讀者卻發散了更多的場景，比如根據你的經歷，隨時動態提出問題等等。畢竟大家覺得記憶沒法破解。

記憶能被破解嗎?目前看來，確實不能。因為人的自我意識的形成，主要自我知覺、自我記憶和自我思維的合成，其中記憶占據著相當大的權重。

如果記憶能被破解，那么復制記憶應該就不是難事。一旦記憶可以被復制，便就可以創造無數個“我”，這似乎很容易引起倫理與哲學體系的混亂，并且朝著完全不可預知的方向發展。

到了這里，腦洞可能就不太夠用。所以往后的思維發散，交給各位讀者去展開。狗哥想說的是，就算記憶可以成為一種生物識別，那么后果也將不堪設想。

因為，記憶很容易遺忘。正如狗哥一部舊手機中保密盒設置的密碼，時過三年，不但密碼忘記，就連“你最喜歡吃什么食物”找回密碼的答案，居然也死活想不起來。把所有愛吃的食物輸了一遍，竟沒有一個正確。

哎，人真是善變的動物。

其實梳理一番發現，還真沒一種生物識別，是萬無一失的安全。雖說安全不是絕對的，但我們只需相對安全即可。畢竟作為我們普通人來說，黑灰產也沒必要為你投入大量資金與精力，只為破解你的手機。

狗哥以為，未來的安全驗證發展趨勢應該是多重校驗的生物識別技術，尤其是交互式、AI智能邏輯判斷的生物識別。