基于隐私保护的人脸识别技术应用研究

来源:用户上传      作者:

　　摘要：人脸识别技术是基于生物特征身份验证中最具代表性的技术，随着人工智能、大数据、5G等新一代技术的发展，人脸识别技术在公共安全、金融支付、智慧城市等领域被广泛应用。然而人脸识别技术在快速发展、深入社会的同时，也给我们带来了诸多安全挑战，人脸信息泄露和技术滥用等造成的信息安全问题突出。该文分析了人脸识别技术常见应用场景及人脸识别技术应用当前面临的风险，并针对其面临的风险提出了人脸识别技术应用中的隐私保护措施。
　　关键词：人脸识别;隐私保护;安全风险;措施
　　中图分类号：TP3 文献标识码：A
　　文章编号：1009-3044（2020）21-0171-02
　　开放科学（资源服务）标识码（OSID）：
　　近年来随着新一代信息技术的快速发展，基于人体生物特征的身份验证应用日趋广泛，人脸识别作为生物识别技术的一种，以其直观、简便、快捷的特点，在各个领域得到了广泛的应用。但是它在给用户带来便利的同时，存在着人脸特征信息泄露和技术滥用等安全问题。另外，人脸特征信息属于个人敏感信息，在识别过程中存在着未经被识别人同意的情况下强行采集的隐私问题。如何在应用人脸识别技术的过程中，安全有效地保护用户隐私就成为近来业界急需研究解决的问题。
　　1 人脸识别技术应用概述
　　1.1人脸识别技术
　　人脸识别技术是通过人的脸部特征信息进行身份验证的一种生物识别技术。具体来说，就是利用计算机对摄像机或其他图像采集设备所捕获的人脸图像通过识别算法对其脸部的脸形、五官位置和角度等特征信息进行计算分析，并和自身数据库里已有的数据进行匹配，从而对用户的真实身份进行验证。
　　从人脸特征信息采集到人脸辨识的整个过程上来看，人脸识别技术一般包括：人脸图像采集及检测、人脸特征信息提取、人脸图像处理和人脸识别匹配比对等。人脸图像采集是指通过摄像头采集人脸图像，如静态图像、动态图像等。人脸检测是指在图像中准确标定出人脸的位置和大小，也就是人脸识别的预处理。人脸特征信息提取是对人脸进行特征建模的过程。可使用的特征通常有人脸图像代数特征、人脸图像变换系数特征、视觉特征和像素统计特征等。人脸特征提出的方法大致上有两类：一类是基于统计学习或代数特征的方法;另一类是基于知识的方法。由于受到各种条件的限制和随机干扰，系统获取的原始图像常常不能直接使用，必须通过人脸图像预处理对它进行噪声过滤、灰度校正等操作，预处理过程主要包括人臉图像的灰度变换、归一化、滤波、锐化、光线补偿、直方图均衡化和几何校正等。人脸识别匹配比对是指将已得到的存储在数据库中的人脸特征数据与拟识别的人脸特征数据进行搜索匹配比对，根据相似程度对人脸的身份信息进行验证判断。具体而言，就是在数据匹配比对过程中设定一个阈值，当相似程度达到或超过设定的阈值时，将比对的结果输出。这一过程又可以分为两种：一种是一对一将两张人脸特征信息进行比对确认的过程;另一种是一对多将一张人脸特征信息与多张另外人脸信息进行比对辨认的过程。
　　1.2人脸识别技术应用
　　人脸与虹膜、指纹等人体生物特征一样具有唯一和不容易复制的特点，与指纹识别相比人脸识别具有非接触的优势，与虹膜识别相比其生物特征采集处理设备的性价比较高，易大范围推广应用。由于人脸通过肉眼就能够识别，便于人工确认审核，因此人脸识别是众多基于人体生物特征验证方法中，最符合人的认知规律、最直观的方法，实用性也很强。特别是近年来随着人工智能、大数据和云计算等技术的快速发展，人脸识别的准确率大幅提高，从而促进了人脸识别在各个行业领域的广泛应用，根据亿欧智库研究报告显示，人脸识别应用涵盖安防、金融、智慧园区、交通出行、互联网服务等多个行业领域，其中2018年安防占人脸识别市场份额的61.1%，金融占17.1%，智慧园区占6.7%。
　　人脸识别技术现在已在安防诸多细分领域得到应用。例如：人脸识别门禁在政府办公楼、企业园区、社区等需要身份验证进入的地方，通过把预先录入数据库的人脸数据与实时抓拍的人脸图像进行对比，在不同时间段可以实现对不同门禁点、不同区域的进出权限控制。在金融领域，伴随着人脸识别准确度的提升和动态人脸识别技术的发展，人脸识别应用已经覆盖移动支付、自主终端发卡和远程开户、远程购买保险等领域。
　　另外，为了保障公共安全，国家公安部门也广泛使用了人脸识别技术，根据公安业务对身份识别的应用要求，主要分为人像验证、人像监控和人像检索三种应用模式，如表1所示。
　　2 人脸识别技术应用面临的风险
　　人脸识别技术在广泛应用的同时，其面临着的各类安全风险也不容忽视，如果不能认清这些风险并及时应对，人脸识别技术的“双刃剑”效应必将出现，从而制约其发展和应用。从目前人脸识别技术的发展和应用来看，其面临的安全风险主要有以下几类。
　　（1）硬件设备安全风险。摄像头和摄像机等作为人脸识别技术的主要图像采集设备，在设计、开发等过程中产生的漏洞，有可能被非法人员利用进行恶意攻击，存在着被植入、泄露和篡改等安全风险。并且随着5G、物联网等进入实践深耕阶段，将使图像采集设备网络由封闭模式逐渐转变为开放模式，暴露面的扩大将使其遭受网络攻击的风险加大，带来了新的安全隐患。
　　（2）软件安全风险。软件层面的风险主要有人脸识别技术所采用的智能识别算法风险和训练数据污染风险。当前深度学习是人脸识别算法所采用的主要方法，如通过基于卷积运算的神经网络系统进行人脸特征提取和分类训练，可以使人脸识别的性能和精度大幅提升。但是神经网络学习面临着对抗样本攻击的风险，攻击者通过构造特定的对抗样本可以进行逃逸攻击，如近期出现的深度伪造（DeepFakes）。同时还有识别算法偏见风险，主要是指算法设计时带着创建者的偏见，或在学习训练中所采用的数据是带有偏见的，从而使识别的结果有偏见，产生了不公正的问题，如在肤色、种族等方面的技术偏见。训练数据污染风险是指用于深度学习的训练数据如被不法分子篡改变成“脏人脸数据”，将变更识别的结果或使识别的准确率降低，从而给用户带来影响。另外，识别软件系统的漏洞，也存在着被非法分子利用进行攻击的风险。 　　（3）人脸识别欺骗风险。常见的欺骗手段有使用动态合成视频、照片、利用3D打印技术伪造的头部模型和三维面具等。此外还有人脸识别“黑客”（指出于某种目的而采取的物理遮挡或伪装技术被识别人），通过面部遮掩、化妆和整容等手段使摄像机难以扫描真实人脸来避免检测，或者通过仿冒他人面部特征从事非法活动。
　　（4）隐私保护合规风险。人脸特征具有唯一且不易改变的特点，属于个人敏感信息。在实践中，可以使用人脸信息的主体主要分为三种，首先是公安机关等基于犯罪打击、刑事侦查等进行的个人信息收集及使用;其次是政府部门基于特定公共利益，比如此次疫情防控，防控部门收集个人信息并用于疫情防控;最后是金融、教育等部门，在符合个人信息保护的前提下取得本人同意后可以使用。目前，个人信息保护的法律散见于《网络安全法》《刑法》和即将生效的《中华人民共和国民法典》等中。我国今年5月28日通过的首部《民法典》中也未对个人敏感信息做出明确界定。由于人脸识别技术不需要被识别人专门配合，被识别人的脸部特征信息在无意识的情况下就可能被无处不在的视频监控设备所获取，如在未征得被识别人同意的情况下使用，将引发法律方面的问题。如2019年发生的“郭兵起诉杭州野生动物世界案”，就是因为不愿意使用人脸识别，浙江某大学副教授郭兵以侵犯隐私权将杭州野生动物世界告上法庭。
　　3 人脸识别应用中的隐私保护措施
　　为了更好地推动人脸识别技术应用和发展，避免其在使用过程中出现的各种安全问题，保护好用户的个人隐私，针对其当前面临的各类安全风险，提出如下保护措施。
　　（1）使用隐私增强技术，加大用户隐私数据保护力度。近年来隐私增强技术的不断发展为保护用户隐私数据提供了技术上的方法。现阶段的主要方法有分散存储、数据脱敏和隐私计算等技术。分散存储方法是将用户身份证号、电话等敏感信息与其关联的生物特征信息分别存储在不同的数据库中，并且只有特定的和经过授权的查看者才能读取数据，从而防止不法分子恶意收集隐私信息，降低敏感数据集中存储带来的泄露风险。数据脱敏是指在用户同意的前提下，对采集的用户敏感信息，按照一定的规则进行数据变形，如针对人脸图像信息的空间域图像像素点置乱方法、图像滤波方法、变换作用域方法等。同时通过数据加密技术，保障数据在传输、存储等过程中的安全性，实现对用户敏感信息的保护。隐私计算是面向用户隐私信息全生命周期保护的计算理论和方法。在不共享、不归集原始数据前提下，完成对敏感信息安全处理，并按照对外“数据最小化”原则，减少外界可获得的信息量，仅向外提供脱敏后的计算结果，确保敏感数据在处理、流转和使用过程中不发生泄露，有效解决高效处理流通和数据隐私保护之间的矛盾。
　　（2）落实好网络安全等级保护制度，保护好生物识别系统安全。网络安全等级保护制度是我国网络安全保障工作的基础。2018年公安部发布的《网络安全等级保护条例（征求意见稿）》，标志着网络安全等级保护迈人2.0时代。2019年5月13日，国家市场监督管理总局、国家标准化管理委员会正式发布了等保2.0相关的《网络安全等级保护基本要求》等国家标准，在主动动态防御、整体防控以及精准防护等方面进一步加强，并要求形成安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心支持下的防护体系架构。通过这些标准开展等级保护工作，可以发现生物识别系统与国家安全标准之间存在的差距，找到目前系统存在的不足和安全隐患，并通过安全整改，降低系统被各种攻击的风险，提高系统的安全防护能力。
　　（3）加快完善细化人脸识别管理规范。目前我国已将指纹、人脸等人体生物特征信息纳入个人信息范围进行规范管理。如2017年6月实施的《网络安全法》明确了网络运者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范圍，并经被收集者同意。
　　目前针对人脸识别信息的保护，采取的是信息的全周期保护，比如在收集阶段，要遵守知情同意和最小必要原则。将于2020年10月1日正式实施的《信息安全技术个人信息安全规范》等8项国家标准中，要求收集个人生物识别信息的合规要求更加严格，要采取单独告知的方式和明示同意，不能默许同意;存储阶段，原则上不允许存储原始的个人生物识别信息，而且要求身份识别及认证后要删除。在共享转让阶段，原则上也不允许共享或转让，确需共享转让要履行单独告知、告知目的类型及接收方身份及数据安全能力等，而且也是明示同意。
　　我国关于个人生物识别信息的法规和标准相继出台，对推动以生物识别技术为核心的身份验证广泛使用起了较大作用。但是由于人脸识别技术应用场景的复杂性和多样性，人脸特征信息在收集、储存、处理和使用的每一个过程中都可能涉及是否侵犯个人隐私，这就需要有详细、清晰的法规制度来监管人脸识别技术的使用，通过法治化途径使一些原则程序化，形成可操作的严格规程，从而使个人信息被合法收集和利用。
　　4 结束语
　　出于对个人敏感信息隐私保护和新技术应用的安全性等问题的担忧，人脸识别技术作为一种新兴身份验证技术，在各个领域发展应用中仍面临一定的障碍。为了更好地推动人脸识别技术应用，有效防范化解人脸识别技术带来的安全风险隐患，需要从制度建设上加快完善个人信息使用的法律法规，细化人脸识别管理规范，强化责任追究。从技术上不断研究和升级人脸识别智能算法及隐私增强等技术，加大用户隐私数据保护力度。从行动上认真落实好网络安全等级保护制度，切实保护好人脸识别系统的软硬件安全。
　　参考文献：
　　[1]张天泽.人脸识别“爆发式”增长背后[J].上海信息化，2020（4）：14-17.
　　[2]王俊秀，数字社会中的隐私重塑——以“人脸识别”为例[J].探索与争鸣，2020（2）：86-90.
　　[3]沈炜，基于隐私保护的人脸识别研究[Dl.杭州电子科技大学，2019.
　　[4]蒋增增，黄超，李乐，等.人工智能人脸识别技术的应用与安全挑战[J].保密科学技术，2019（9）：18-22.
　　[5]于成丽，刘浩.生物识别技术的发展应用及安全问题研究[Jl.保密科学技术，2018（5）：28-31.
　　【通联编辑：代影】
　　作者简介：陈冬梅（1982-），女，内蒙古人，讲师，本科，主要研究方向：网络安全。
转载注明来源:https://www.xzbu.com/8/view-15297965.htm