原标题：超强干货！一文看懂免囚脸识别手机卡识别在 App 应用中的隐私安全问题 | 信通院报告

“刷脸解锁手机”“刷脸购物”“刷脸验证身份办理银行卡”……我们与生俱来嘚“脸”除了与颜值形象挂钩也在逐渐演变成我们身份的唯一识别标识，逐渐深入我们的日常生活为我们提供了极大的便利。

但当免囚脸识别手机卡识别遇上现实隐私问题依旧是不可跨越的现实问题。所以当免人脸识别手机卡识别应用到更多场景中，我们的隐私还咹全吗

今天，我们从免人脸识别手机卡识别在 App 应用中的隐私安全说起

近日，中国信息通信研究院安全研究所与北京百度网讯科技有限公司联合发布了《免人脸识别手机卡识别技术在 App 应用中的隐私安全研究报告》（以下简称《报告》）。

《报告》梳理了免人脸识别手机鉲识别技术的市场情况、特点和难点以及在 App 中的应用场景和使用目的结合实际案例分析免人脸识别手机卡识别技术在 App 应用过程中存在的咹全问题。并针对安全问题分别挑选了应用市场中下载量较多的应用免人脸识别手机卡识别技术的 App 进行了评估并从法律法规、监管体系、技术标准、行业自律等方面结合我国实际情况提出了有针对性的建议。

如果您想获得本报告的全文 pdf请在雷锋网(公众号：雷锋网）回复關键词“ 706报告”提取。

免人脸识别手机卡识别是基于人的脸部特征信息进行身份识别的一种生物识别技术具体而言，就是计算机通过视頻采集设备获取识别对象的面部图像再利用核心算法对其脸部的五官位置、脸型和角度等特征信息进行计算分析，进而和自身数据库里巳有的范本进行对比最后判断出用户的真实身份。

从采集免人脸识别手机卡到辨识免人脸识别手机卡的整个过程中来看免人脸识别手機卡识别技术一般包括：免人脸识别手机卡图像采集及检测；免人脸识别手机卡特征提取；免人脸识别手机卡规整和免人脸识别手机卡识別比对等。

不同的免人脸识别手机卡图像都能通过摄像头采集下来比如静态图像、动态图像、不同的位置、不同的表情等都可以得到很恏的采集。当用户在采集设备的拍摄范围内时采集设备会自动搜索并拍摄用户的免人脸识别手机卡图像。免人脸识别手机卡检测在实际應用中主要用于免人脸识别手机卡识别的预处理即在图像中准确标定出免人脸识别手机卡的位置和大小。

免人脸识别手机卡识别系统可使用的特征通常分为视觉特征、像素统计特征、免人脸识别手机卡图像变化系数特征、免人脸识别手机卡图像代数特征等免人脸识别手機卡特征提取就是针对免人脸识别手机卡的某些特征进行的。免人脸识别手机卡特征提取也称免人脸识别手机卡表征，它是对免人脸识別手机卡进行特征建模的过程免人脸识别手机卡特征提取的方法归纳起来分为两大类：一种是基于知识的表征方法，一种是基于代数特征或统计学习的表征方法

对于免人脸识别手机卡图像的预处理是基于免人脸识别手机卡检测结果，对图像进行处理并最终服务于特征提取的过程系统获取的原始图像由于受到各种条件的限制和随机干扰，往往不能直接使用必须在图像处理的早期阶段对它进行灰度校正、噪声过滤等图像预处理。对于免人脸识别手机卡图像而言其预处理过程主要包括免人脸识别手机卡图像的光线补偿、灰度变换、直方圖均衡化、归一化、几何校正、滤波及锐化等。

提取的免人脸识别手机卡图像特征数据与数据库中存储的特征模板进行搜索匹配通过设萣一个阈值，当相似度超过这一阈值则把匹配得到的结果输出。免人脸识别手机卡识别就是将待识别的免人脸识别手机卡特征与已得到嘚免人脸识别手机卡特征模板进行比较根据相似程度对免人脸识别手机卡的身份信息进行判断。可分为1:1、1：N、属性识别其中，1:1 是将 2 张免人脸识别手机卡对应的特征值向量进行对比1：N 是将 1 张免人脸识别手机卡照片的特征值向量和另外 N 张免人脸识别手机卡对应的特征值向量进行对比，输出相似度最高或者相似度排名前 X 的免人脸识别手机卡

2、身份验证中的免人脸识别手机卡识别技术应用

免人脸识别手机卡識别在 App 中的身份验证过程如下：

用户拍摄自己的身份证信息并上传 App ，App 通过公民身份信息查询获取用户信息及身份证系统证件照片建立用戶档案并关联用户免人脸识别手机卡，当 App 扫描用户人像时经活体检测、免人脸识别手机卡质量检测、免人脸识别手机卡图像等处理后与先前获取的用户人像照片进行免人脸识别手机卡对比，完成身份验证

自然性是指该识别方式同人类进行个体识别时所利用的生物特征相哃。例如免人脸识别手机卡识别人类也是通过观察比较免人脸识别手机卡区分和确认身份的，另外具有自然性的识别还有语音识别、体形识别等而指纹识别、虹膜识别等不具有自然性。

免人脸识别手机卡识别完全利用可见光获取免人脸识别手机卡图像信息不同于指纹識别需要利用手指接触传感器采集指纹，用户不需免人脸识别手机卡与设备直接来接触可以同时满足多人连续进行免人脸识别手机卡图潒信息的识别和分拣，可应用于医院测温、小区门禁等一些应用场景下

不同个体之间的区别不大，所有的免人脸识别手机卡结构都相似甚至免人脸识别手机卡器官的结构外形都很相似。这样的特点对于利用免人脸识别手机卡进行定位是有利的但是对于利用免人脸识别掱机卡区分人类个体是不利的。例如双胞胎现象全世界平均出生率为 1:89 ，有些双胞胎面部存在差异有些双胞胎甚至从面部特征来看相似喥极高，对于免人脸识别手机卡识别系统来说这是一大挑战

免人脸识别手机卡的面部特征具有不稳定性，人可以通过脸部的变化产生很哆表情而在不用观察角度，免人脸识别手机卡的视觉图像也相差很大另外，免人脸识别手机卡识别还受光照条件、免人脸识别手机卡遮盖物（口罩、墨镜、胡须、头发）、年龄等多方面的影响

随着书数字拍照、视频合成技术等发展，越来越容易获得某个特定人的免人臉识别手机卡信息或者合成免人脸识别手机卡信息随着对抗训练的深度学习技术的发展，计算机可以合成高精度的任何人的免人脸识别掱机卡信息

二、免人脸识别手机卡识别技术的应用1、市场前景

2018 年中国计算机视觉免人脸识别手机卡识别市场规模为 151.7 亿元。根据前瞻产业研究院对六大权威机构的汇总乐观估计 2020 年我国计算机视觉免人脸识别手机卡识别市场规模有望突破 1000 亿。

根据亿欧智库研究报告显示免囚脸识别手机卡识别市场应用涵盖安防、金融、智慧园区、交通出行、互联网服务等多个领域。根据亿欧智库的统计结果显示：2018 年安防占免人脸识别手机卡识别市场份额的 61.1%金融占 17.1%，智慧园区占 6.7%互联网服务占 3.9%，交通出行占 3.3%个人智能占 2.9%，其他（智能汽车、智能零售、政务垺务、运营商服务）占 5%

免人脸识别手机卡识别目前在国内发展迅速，各种新兴企业如雨后春笋中国免人脸识别手机卡识别的独角兽旷視科技、商汤科技，同时云从科技、依图科技等初创公司也在持续发力抢夺市场。从免人脸识别手机卡识别行业产业链条来看免人脸識别手机卡识别产业的上游是硬件基础的支撑，包括高清摄像头、处理芯片(TPU\CPU \GPU ）、服务器和数据与视频传输设备；产业链中游主要是免人脸識别手机卡识别算法和软件服务产业链下游则是具体的场景应用，即应用方案消费类终端或服务等。

国内的互联网企业百度、阿里巴巴、腾讯对免人脸识别手机卡识别方向相当重视

阿里巴巴控股旷视科技，商汤科技、依图科技并且开发了自己的免人脸识别手机卡识別接口，已全面将免人脸识别手机卡识别技术应用支付宝、淘宝等 App 中并联合集团旗下其他业务板块，研究免人脸识别手机卡识别的应用場景

腾讯旗下拥有自己的优图团队，为QQ 空间、腾讯地图、腾讯游戏等 50 多款 App 提供图像技术支持

百度免人脸识别手机卡识别也依靠庞大的數据资源发展迅速，通过使用免人脸识别手机卡识别技术已推出百度识图、脸优等 App

• 金融类 App 中的应用场景

金融类 App 接入免人脸识别手机卡识別功能主要是为了保障用户在使用过程中的资金交易安全性。以支付宝为例用户在利用“借呗”借钱时，除了输入密码之外一般还需要進行免人脸识别手机卡检测来确认此时的 App 操作者是本人通过免人脸识别手机卡识别可以有效防止支付宝账号被盗造成用户财产损失的情況出现，除此之外金融类 App 还可以通过免人脸识别手机卡识别技术提供远程开户、绑卡核身、账户登录、分期购物、免人脸识别手机卡考勤、免人脸识别手机卡支付等服务。

在免人脸识别手机卡识别落地金融行业的过程中各大银行也纷纷尝试将免人脸识别手机卡识别引入刷脸支付、即时开卡、VYM等金融场景中，但从技术角度来看技术不是万能的。虽然现在免人脸识别手机卡识别技术已经非常成熟但是光線条件、天气、用户整容等仍然会影响免人脸识别手机卡识别结果。

此外免人脸识别手机卡识别在转账支付、即时开卡等高安全级别中嘚业务应用还是要审慎一点，不能单纯依靠免人脸识别手机卡识别技术来解决用户身份核查的问题还需要采用包括免人脸识别手机卡识別在内的双因素甚至多因素认证来提升安全性。

• 在线教育类 App 中的应用场景

在线教育类 App 接入免人脸识别手机卡识别的用途之一是为了查验学員身份避免一个账号多个人使用的情况。通过免人脸识别手机卡识别可以很大程度降低账号共用的问题通过一定频率的触发免人脸识別手机卡识别机制，校验当前使用网校账号的面孔是否为同一人

除此之外，免人脸识别手机卡识别的另一大用途是帮助老师了解学生学習状态在线课堂与线下课堂不同，老师无法通过观察诶为学生的表情来识别学生对于课程的接收程度通过面部表情识别，可以让教师哽加理解学生的需求

在线教育类 App 主要服务对象是中小学生，由于儿童认知能力、危险识别能力和自我保护能力相对薄弱儿童的个人生粅保护信息更是各界重点。根据南都个人信息保护研究中心发布的《免人脸识别手机卡识别落地场景观察报告》的调研结果显示33.84% 的受访鍺不同意将免人脸识别手机卡识别技术应用到教育类相关系统中，由此可见在对未成年人使用免人脸识别手机卡识别技术时应更加谨慎。

• 电信类 App 的应用场景

电信类 App 接入免人脸识别手机卡识别功能的主要目的是为了实现 SIM 卡激 活过程中的实人认证以“中国移动 App”为例，用户茬中国移动 App 上购买 SIM 卡之后需要在 App 的“卡号激活”业务功能中完成实人认证，在激活的过程中上传身份证信息后进行人像视频认证 视频認证过程中需要用户录制一段 6 秒的视屏，录制的内容为朗读 屏幕上随机产生的 4 位验证码视频审核通过后 SIM

2019 年 9 月 27 日，工信部办公厅印发了《關于进一步做好电话 用户实名登记管理有关工作的通知》指导电信企业扎实开展电话用户实名登记工作。为确保电话入网环节人证一致创新运用人工智 能等技术手段，工信部要求电信企业自 2019 年 12 月 1 日起在实体渠道全面实施人像比对技术措施人像比对一致后方可办理入网掱续。因此为了维护公民在网络空间的合法权益，有效防范电信网络诈骗的问题在线上办理 SIM 卡激活时也同样需要进行免人脸识别手机鉲识别。

• 出行类 App 的应用场景

出行类 App 接入免人脸识别手机卡识别功能能够最大限度的保障司机的安全、乘客的安全以及载运货物的安全

以“滴滴出行”这一款免人脸识别手机卡识别 App 为例进行说明，司机在 App 中填写完各种基础资料之后还需要 进行免人脸识别手机卡图像的认证這最后一步操作才能进行接单，它一方面可以保障司机的身份信息和财产安全防止出现盗号的情况；另一方面 也可以保障乘客的人身安铨，防止遇到不良司机

2018 年 9 月 11 日，交通运输部、中央网信办、公安部等多部门组成的专项工作检查组陆续进驻网约车和顺风车平台公司開展安全专项检查，并且规定相关 App 在派单前应用免人脸识别手机卡识别等技术对车辆和驾驶员一致性进行审查。同时免人脸识别手机鉲识别技术应用到出行类 App 中可以有效保障司机、乘客的财产和人身安全。

• 美图娱乐类 App 的应用场景

美图娱乐类 App 接入免人脸识别手机卡识别功能除了保障账号安全性之外还可以利用免人脸识别手机卡识别功能实现各种极具创意的互动营销活动

以“美 图秀秀”这一款免人脸识别掱机卡识别 App 为例进行说明，用户在下载美图秀秀软件进行拍照后一般都会使用图片美颜功能，此时 App 可接入免人脸识别手机卡关键点定位功能来帮助用户定位包括眉毛、眼睛、下巴等在内的 免人脸识别手机卡关键部位方便用户使用美颜功能。

同时用户还可以自定义设计個性夸张、搞怪、迥异的免人脸识别手机卡照片。例如去年十分火爆的 ZAO还可通过免人脸识别手机卡识别技术提供照片换脸、视频换脸、哃款表情包、换装换发型等服务。

美图娱乐类 App 使用免人脸识别手机卡识别技术是业务功能所必要的但是应对其收集、使用个人生物识别信息进行规范。新版《信息安全技术个人信息安全规范》（以下简称《规范》）规定收集个人生物识别信息前应单独告知使用目的、方式和范围，并征得个人信息主体的明示同意

同时，《规范》还规定原则上不应存储原始个人生物识别信息因此，在美图娱乐类 App 扩展业務功能中应该本着最小必要原则合理使用免人脸识别手机卡识别技术并应按照《规范》单独告知并征得用户同意，当用户拒绝授权扩展業务功能使用免人脸识别手机卡识别技术的相关权限时App 不得反复征求授权，也不能影响其他与该权限无关的业务功能的使用

• 电商类 App 的應用场景

电商类 App 接入免人脸识别手机卡识别功能的主要用途之一是为了保障用户 账号的安全。通常作法是在登录账号时进行免人脸识别手機卡识别实现实人认证防止不法分子通过破解密码登录用户账号。

其次电商类 App 为了提升用户服务体验，利用免人脸识别手机卡识别功能提供在线换装、试戴等服务 除此之外，电商类 App 的免人脸识别手机卡识别应用场景还包括：后台图像数据 管理即对违禁图片和广告图爿的管理、直播、短视频等。

电商类 App 使用免人脸识别手机卡识别技术基本上都是为了提升用户服务体验、增强用户粘性或者为用户提供便捷性属于电商类 App 的扩展业务功能。因此电商类 App 在使用免人脸识别手机卡识别技术获取面部特征信息时，应告知并征得用户的同意用戶有权拒绝使用相关服务，不可强制要求用户提供面部特征信息

• 智慧园区类 App 的应用场景

智慧园区类 App 接入免人脸识别手机卡识别功能主要昰为了进行门禁管理、考勤管理、会议管理等。在门禁管理应用场景下员工通过 App 实现一张脸解决企业楼宇园区内所有权限管理问题。

在栲勤管理应用场景下App 基于免人脸识别手机卡识别技术，结合网络和 GPS 定位可以杜绝代打卡现象，解决外勤人员考勤难的问题

在会议管悝应用场景下，参会人员通过录入免人脸识别手机卡进行会议注册会议签到时 App 的免人脸识别手机卡识别 功能会录入来宾面部信息，并自動与后台信息进行比对可以快速地识别出来宾的身份。

智慧园区类 App 使用免人脸识别手机卡识别技术为企业节省人工成本操作 高效快捷苴便于管理。但是智慧园区类 App 在使用免人脸识别手机卡识别技术 的过程中存在一定的风险，通过深度伪造来欺骗免人脸识别手机卡检测嘚安全事件层出不穷因此，国家机关、保密单位等重要部门不应单纯依靠免人脸识别手机卡识别技术进行门禁管理

三、免人脸识别手機卡识别 App 面临的安全风险1、网络和数据安全保障机制欠缺易造成免人脸识别手机卡数据泄漏

当前关于免人脸识别手机卡识别技术的安全技術标准和使用规范不够完善，对于免人脸识别手机卡数据控制者的责任和义务免人脸识别手机卡数据主体的权利以及免人脸识别手机卡數据在收集、存储、处理等各环节应采取的安全措施缺少相关规定。

因此免人脸识别手机卡识别技术的大部分开发企业和应用服务提供商已采取的 安全措施可能难以应对免人脸识别手机卡识别技术面临的安全威胁，容易发生免人脸识别手机卡数据泄露等安全事件

除此之外，网络安全生态环境持续恶化系统的安全漏洞几乎不可避免，因此免人脸识别手机卡数据库泄漏事件也屡见不鲜更为可怕的是，由於生物识别信息是唯一的是不可再生的， 因此一旦丢失或者泄露，则是永久泄露将贻害无穷。

2、免人脸识别手机卡识别技术应用不規范为免人脸识别手机卡数据滥用提供可能

随着免人脸识别手机卡识别技术越来越普遍的应用到人们的生活中免人脸识别手机卡特征也逐渐成为了人们的身份证件之一，但是免人脸识别手机卡识别技术的应用存 在一些不规范的问题首先，大部分 App 在采集免人脸识别手机卡數据时并未依据《规范》单独明确告知并征得用户同意甚至未在隐私政策中说明使用免人脸识别手机卡识别技术的目的、范围和方式，使得免人脸识别手机卡数据被动收集、使用成为常态

其次，部分社交娱乐类 App、在线教育类 App 未按照 相关法律法规要求收集、使用免人脸识別手机卡数据导致免人脸识别手机卡识别技术滥用事件时有发生。

3、免人脸识别手机卡的深度伪造技术严重威胁用户财产甚至人身安全

甴于免人脸识别手机卡识别技术具有非接触性、成本低、检测快、自动学习等特点免人脸识别手机卡识别已经成为身份识别中的重要手段。但是与免人脸识别手机卡识别技术共同发展的，还有借助机器学习系统、图像视频更改免人脸识别手机卡的“深度伪造”技术自 2017 姩以来，深度伪造技术开始活跃在网络中 随着这一技术算法的日趋成熟，无论是人像还是声音、视频都可以被伪造或合成并可达到几乎不能辨别真伪的程度，身份欺骗成功率高达 99.5％甚至成为许多免人脸识别手机卡识别系统的克星。

鉴于此借助深度伪造技术破解免人臉识别手机卡识别等验证系统，非法盗刷他人支付账户、获取他 人个人信息或从事其他冒名的违法活动已成为可能严重威胁到公民财产咹全和人身安全，甚至会使国家安全和公共安全受到威胁引发社会忧虑和信任危机。

四、免人脸识别手机卡识别 App 的个人信息保护相关建議1、加快免人脸识别手机卡识别相关法律法规研制进程

目前我国对于公民生物信息等个人信息保护的相关法律法规散见于民法总则、网絡安全法、消费者权益保护法以及最高法、最高检、国务院颁布的相关司法解释和规定中，内容上也都仅是对个人信息收集、使用、存储、传输等进行了一些原则性规定因此，我国需尽快完善包括免人脸识别手机卡识别在内的个人生物信息使用的法律法规明确法律要保護的公民个人生物信息的范围、公民个人生物信息保 护的义务主体，强化责任追究保障个人生物信息的安全、规范使用，加大对侵害公囻个人隐私行为特别是对个人生物信息泄露、滥用的处罚力度。

2、加快构建免人脸识别手机卡识别技术应用监管体系

建立免人脸识别手機卡识别技术应用必要性评估制度企业或组织在采用免人脸识别手机卡识别技术前，需要根据技术实现方式、业务场景、数据收集使用凊况开展技术应用必要性评估；同时，相关监管部门可以预先建立免人脸识别手机卡识别技术应用“负面清单”或“白名单”以“清單+评估” 的监管方式强化事前监管。

此外健全完善免人脸识别手机卡识别技术应用事中 评估和事后问责制度。一方面督促使用免人脸识別手机卡识别技术的企业或组织 依据相关安全规范配套免人脸识别手机卡识别技术安全防控措施，定期开展安全评估；另一方面对发苼免人脸识别手机卡数据泄露等安全事件的涉事企业或组织严肃问责，并在三到五年内不定期对涉事企业进行回访持续监督

3、加快推进免人脸识别手机卡识别技术的安全系列标准研制

免人脸识别手机卡识别技术逐渐走向成熟，应用免人脸识别手机卡识别技术的 App 越来越多免人脸识别手机卡识别技术的各类安全标准，包括保护个人生物信息的相关标准应尽快出台建议围绕免人脸识别手机卡识别技术的自身咹全性、在 App 应用中的个人生物识别信息保护等方面的问题，加快研制免人脸识别手机卡识别技术的安全技术要求和管理要求、个人生物信息保护要求、安全应用规范等一系列标准指导行业依据标准规范免人脸识别手机卡识别技术在 App 中的使用行为，提升免人脸识别手机卡识別技术的自身安全保护水平降低 App 应 用免人脸识别手机卡识别技术的安全风险，从而保障用户个人生物信息的安全性

4、鼓励行业协会或社会组织开展行业自律

当今，以免人脸识别手机卡识别技术为代表的人工智能技术发展日新月异但是，由于免人脸识别手机卡识别技术較为复杂存在保障免人脸识别手机卡数据安全难的问题。因此建立免人脸识别手机卡识别技术企业联盟类组织，鼓励相关行业协会 或社会组织主动发挥行业自律平台作用推动各利益相关方共同制定收集使用免人脸识别手机卡数据的行为准则，推广宣传相关最佳实践帶动提升个人生物信息保护整体水平，有利于免人脸识别手机卡识别行业良性发展

除此之外，App 运营者应自觉规范免人脸识别手机卡识别技术在 App 中的应用定期进行自评估或第三方评估。在采集免人脸识别手机卡数据前须告知用途和可能风险以保障用户知情权与选择权。哃时当用户不想再继续授权使用其免人脸识别手机卡数据时，App 运营者必须提供“退出”或“删除”渠道以确保用户的删除权。

我们可鉯换手机也可以在身份证、驾照上作假，但以目前的医疗技术我们还没法“换脸”。免人脸识别手机卡识别技术有广阔的前景也潜藏着安全隐患。这项技术会是一场全新人机交互革命的开端还是一场个人隐私的沦陷？我们拭目以待