虹膜识别的安全隐患不容忽视

倪光南

近段时间，虹膜识别技术即将应用于手机等电子产品的消息层出不穷，尤以iPhone8为甚。

毋庸置疑，虹膜识别技术应用的逐渐成熟是科技界一项突破。尽管当前指纹、人脸等识别技术正趋于完善，并被不断应用到更丰富的场景，但现实生活中不乏指纹可以复制，双胞胎、整容等因素让人脸识别傻傻分不清楚等“状况”……现代信息社会对精准识别的需求，呼唤更加不可替代的生物体特征，虹膜识别应运而生。

虹膜是瞳孔周围的深色部分，包含有很多相互交错的斑点、细丝、冠状、条纹等等细节特征。即使是近视眼、白内障、红眼病对虹膜，也几乎不会造成破坏，这决定了虹膜特征以及身份识别的唯一性。

需要强调，相比照片、签名、声音等，虹膜与指纹都属于强生物特征信息，辨识成功率几乎达到100%，而前者辨识度相对弱。

然而，正是由于其高辨识性和唯一性，一旦虹膜识别得到的生物特征信息得不到有效监管，甚至是被泄露，结果将十分可怕。

以“指纹支付”为例，公民指纹通过算法转化为“数字化指纹特征信息”，该信息唯一且不变。

虹膜识别技术与“指纹支付”特性类似，若因用户体验优势而得到大规模应用，存储在云端的公民“数字化生物特征信息”有可能因被黑客攻击而泄露，以生物特征为基础的支付体系就会崩塌。此时，即便“数字化指纹特征信息”配上支付密码，也解决不了上述安全问题。

国家层面看，如果敌对国家掌握了我国公民的“数字化生物特征信息”，通过大数据分析就可轻易掌握上网公民的身份信息，进而建立起他们感兴趣的要害人员个人档案，对国家安全的破坏性效果简直让人不寒而栗！因为密码被攻破，还可以更换；虹膜、指纹等生物特征信息一旦被盗取，几无替代可能——人不可能为信息安全移植一只眼睛，抑或换掉手指上的皮肤。

回顾过去三四年，在强生物特征信息的监管问题上，我国有不少值得改进的地方。早在支付宝系、腾讯系、苹果系“指纹支付”技术大规模普及前的2014年，某主管部门下属研究机构就已提出：对“大规模采集生物特征信息”实施严格监管；建立起对现有市场智能设备指纹开锁系统的安全监测机制，确保信息不被外泄；制定法规，规定数字化生物特征技术只能应用于上网智能设备的自封闭体系（如考勤打卡机）。或许是主管部门担心过度监管扼杀企业创新的积极性，上述提议最终未能付诸政策。

亡羊补牢，为时未晚。强生物特征信息的监管具有共通性。相关部门可根据我国由指纹识别向虹膜识别过渡的实际情况，尽早制定相关法规，特别是强制带有强生物特征识别功能的机器软硬件全部通过由官方授权机构的安全审查，且采集储存过程需自主可控。否则，“马后炮”的后果我们难以承受。▲

（作者是中国科学院计算所研究员、中国工程院院士，由倪浩采访整理）