人脸识别已经成为了访问因特网应用的重要身份ID，如：刷脸登录、刷脸贷款、刷脸支付等，而随之而来的安全问题也一直备受争议。

一、人脸识别是什么。

人脸识别是一种身份认证服务，它主要由三部分构成：采集用户的人脸特征，并与公安网纹照等权威数据源进行比对，判断当前的身份证件持有者是否为真实身份，因此它主要由三部分构成：

上载文件-->活检-->人证比对。

而活体检测技术，在人脸识别时，会要求使用者做眨眼、点头、张嘴等动作，防止静态图像被破解。

二、人脸识别有哪些风险？

市场上不乏专门贩卖公民身份证、动态认证视频的黑产，这类信息不仅包括身份证正反面，还有手持式侧拍，更甚者还有抬头点头、左转右转、读文字等。最为令人担心的是，上述环节黑产人员均可自动生成，成本颇低。

而且人脸识别一旦被破解，意味着只要能获取你的身份证和静态人脸信息，其他人就可以登录并操作你的账户，轻松地转移你手中的账户余额，甚至还可以将你的账户作为洗钱渠道。

三、威胁人脸认证的技术有哪些。

经过对数家人脸识别SDK产品的调查，发现一些应用程序不能分辨人像另一端是一个移动的3D图像，另一些则通过hook技术来替换对比图片，更有可能通过篡改通讯数据来绕过人脸识别，并对目前威胁人脸的各种技术做了总结。

风险一，注入应用绕过活体验证篡改了程序的注入应用，绕过了活体检测法，用一张静态照片就能识别人脸。

同时也可以通过查看当前APP的数据结构，修改入参字典，篡改已完成的活体检测图像，从而达到任何一位完成活体检测都能通过的效果，这样只要拿到被攻击者的照片就能通过静态人脸识别，然后自己眨眼抬头来破解活体检测。

风险二，视频攻击绕过活体检测通过制作动图软件来"蒙混过关"，操作简单，例如只需安装一个Photospeak软件，然后在朋友圈、个人空间等地方找到对方的正面照片，输入软件后，即可让对方开口说话，即可模拟验证所需的动作。

风险三，3D建模，完成摇头等高难度动作，绕过活体检测。

三维人脸模型，以及关于发型的重要性。

利用3D建模，构造人脸模型破解方法。从网上下载的软件，参考明星照片中的人脸特征，可以在较短的时间内生成相应的3D造型，人脸检测软件对比表明，在短时间内制作出的模型与原照片的相似度分别达到73.17%和86.71%，可用于破解普通人脸识别。

风险四，面模攻击绕过云检测。

因为3D模型可以成功地绕过人脸识别，用3D打印是可能的，但是这一点很考验打印机的材料和精细程度。

风险五，利用界面保护不当及各种奇葩设计缺陷。

有些APP在使用上传人脸图像时，没有签名，导致图片可以被工具截取并篡改，可以通过重放数据报文的方式实施破解。

人脸识别的成功与否，是由返回文中的一个阈值决定的，它相当于考试中的“及格分数”，如果人脸匹配超过此阈值，则可通过该APP，但不幸的是，APP并未对该返回文加上签名，导致报纸可能被篡改，从而破解了人脸识别。

风险六，简化的人脸检测流程验证操作简便，尝试无限次，检测动作顺序不变等，都会让黑产有机可乘：一张身份证如何攻破人脸识别技术。

四、对风控人员的启示。

一般的APP开发者不会自行开发人脸识别技术，而是通过第三方API接口或SDK组件实现人脸识别功能，这一过程中每一个环节都有被破解的可能。

身为企业风控人员，在重视自身产品安全技术的同时，三方技术使用也要严格控制，接入前要多了解，多做接入测试，接入后也要定期检视使用效果，是否存在安全漏洞。