虹膜識別的安全隱患不容忽視

倪光南

近段時間，虹膜識別技術即將應用于手機等電子產品的消息層出不窮，尤以iPhone8為甚。

毋庸置疑，虹膜識別技術應用的逐漸成熟是科技界一項突破。盡管當前指紋、人臉等識別技術正趨于完善，并被不斷應用到更豐富的場景，但現實生活中不乏指紋可以復制，雙胞胎、整容等因素讓人臉識別傻傻分不清楚等“狀況”……現代信息社會對精準識別的需求，呼喚更加不可替代的生物體特征，虹膜識別應運而生。

虹膜是瞳孔周圍的深色部分，包含有很多相互交錯的斑點、細絲、冠狀、條紋等等細節特征。即使是近視眼、白內障、紅眼病對虹膜，也幾乎不會造成破壞，這決定了虹膜特征以及身份識別的唯一性。

需要強調，相比照片、簽名、聲音等，虹膜與指紋都屬于強生物特征信息，辨識成功率幾乎達到100%，而前者辨識度相對弱。

然而，正是由于其高辨識性和唯一性，一旦虹膜識別得到的生物特征信息得不到有效監管，甚至是被泄露，結果將十分可怕。

以“指紋支付”為例，公民指紋通過算法轉化為“數字化指紋特征信息”，該信息唯一且不變。

虹膜識別技術與“指紋支付”特性類似，若因用戶體驗優勢而得到大規模應用，存儲在云端的公民“數字化生物特征信息”有可能因被黑客攻擊而泄露，以生物特征為基礎的支付體系就會崩塌。此時，即便“數字化指紋特征信息”配上支付密碼，也解決不了上述安全問題。

國家層面看，如果敵對國家掌握了我國公民的“數字化生物特征信息”，通過大數據分析就可輕易掌握上網公民的身份信息，進而建立起他們感興趣的要害人員個人檔案，對國家安全的破壞性效果簡直讓人不寒而栗！因為密碼被攻破，還可以更換；虹膜、指紋等生物特征信息一旦被盜取，幾無替代可能——人不可能為信息安全移植一只眼睛，抑或換掉手指上的皮膚。

回顧過去三四年，在強生物特征信息的監管問題上，我國有不少值得改進的地方。早在支付寶系、騰訊系、蘋果系“指紋支付”技術大規模普及前的2014年，某主管部門下屬研究機構就已提出：對“大規模采集生物特征信息”實施嚴格監管；建立起對現有市場智能設備指紋開鎖系統的安全監測機制，確保信息不被外泄；制定法規，規定數字化生物特征技術只能應用于上網智能設備的自封閉體系（如考勤打卡機）。或許是主管部門擔心過度監管扼殺企業創新的積極性，上述提議最終未能付諸政策。

亡羊補牢，為時未晚。強生物特征信息的監管具有共通性。相關部門可根據我國由指紋識別向虹膜識別過渡的實際情況，盡早制定相關法規，特別是強制帶有強生物特征識別功能的機器軟硬件全部通過由官方授權機構的安全審查，且采集儲存過程需自主可控。否則，“馬后炮”的后果我們難以承受。▲

（作者是中國科學院計算所研究員、中國工程院院士，由倪浩采訪整理）