iPhone SE发布了，并没有“活体指纹识别”什么事

iPhone SE发布了，没有提到“活体指纹识别”的什么鸟事。

在今年的MWC展会上，有厂商利用自制假指纹破解包括iPhone在内的指纹锁，将“活体指纹识别”的概念用洗地板的架势覆盖了各大媒体，成为一时热点。根据其在展会上对外宣传的信息显示，这是将电容指纹传感器、光学检测传感器集成到一颗传感器中，从而通过指纹、手指皮肤颜色以及心率信号来验证用户的真实身份，识别并拒绝假指纹的一项“全新技术”。

（图1，Goodix在MWC 2016展示的“活体指纹识别”的原理示意图）

其实多年以来，电容指纹传感识别技术的别名就是“活体指纹识别”，银行业更是硬性规定不可使用光学指纹识别技术，必须使用电容式指纹识别技术以保证一定安全等级的活体检测能力。

如今居然有电容式指纹识别技术公司自爆电容式没有活体检测能力（而不是活体检测能力不够），把业内人士都惊呆掉了！

作为电容指纹识别界的老大，苹果公司拥有大量的技术发明，其中于2012年授权的美国发明专利US 8180120 B2，也披露了一种技术方案，将指纹传感器和光学检测传感器集成。

（图2，苹果公司拥有的US8180120B2授权发明专利的原理示意图）

这肿么和MWC上展出的方案原理图一模一样？

这到底怎么回事？难道苹果公司有先进的技术发明不率先使用？在解答问题之前，先来扒一扒“活体指纹识别”的前世今生。

活体指纹识别是“活体检测”和“指纹识别”两个概念的组合。读者们对“指纹识别”应该没什么异议，就解释一下“活体检测”的概念。

“活体检测”是什么？

2014年6月，国家知识产权局专利局专利审查协作北京中心的王馨宁审查员发表了《生物特征识别中的“活体检测”概念及分析》，作为专利审查工作中遵循的科技名词定义规范。感兴趣的朋友可以在这里下载原文。

（图3，国家知识产权局对“活体检测”的官方解释）

在这篇官方名词解释里，活体检测是这样被定义的：

“为了防止恶意者将伪造的他人生物特征用于身份认证，在生物特征识别过程中，针对待认证样本的是否具有生命特征进行检测的技术，称为活体检测。活体检测是将具有生命特征的人的样本，与仿制的人造样本进行区分的过程，是欺骗检测中的一种。”

活体检测会用到什么技术类型呢？该科技名词定义规范里还有进一步的解释：

活体检测过程中常用的信息有以下几种类型——

第一类是生理特征信号，例如体温、皮肤表面的电阻特性、排汗过程、表情的变化、眼部动作、瞳孔大小变化等；

第二类是光谱学信息，该项技术主要针对打印图像形成的规律的纸质纹理特性，利用频谱特征进行检测；

第三类是通过人机互动的形式，通过检测预期的运动来对生物特征的活体特性进行验证；

第四类是多模态的生物特征识别，在认证系统中采用两种以上的生物特征识别技术方式，提高伪造样本的难度。

在其中还强调：

目前市场上已有的生物特征识别系统产品，已经在不同程度上采用了活体检测技术。活体检测虽然能够提高生物识别认证系统的安全性，但是检测的算法复杂度直接关系到产品成本，以及用户在使用产品时的时效性和方便度。因此活体检测技术仅仅是在一定程度上防止伪造的样本对识别系统进行攻击，并不能够提供百分之百的安全。生物的活体检测技术或者任何安全技术所能做到的，就是对于那些潜在的敌人“提高门槛”。

从这段比较直白的文字可以看出，活体检测既不是新鲜技术，也不是马灵丹妙药，而是个大杂烩。不同的活体检测方法之间没有准确的谁高谁低的必然区别，而要看其给攻击者制造了多高的“门槛”，来量化一种活体检测技术组合的安全性。

如何进行“活体检测”的安全性量化？

我们再来看一下该怎么进行“活体检测”的安全性的量化工作。2012年由全国安全防范报警系统标准化技术委员会提出并归口，由中科院自动化所、中国物联网研究发展中心、公安部安全防范产品质量监督检验测试中心、公安部第一研究所、国防科技大学、清华大学以及6家著名生物识别企业共同起草的行业标准《安防生物特征活体检测技术要求》的征求意见稿。豆丁网提供该标准原文的免费下载。

（图4，中国公共安全行业标准封面截图）

该标准对活体检测技术的测试流程进行了规定，包括6个步骤：

1、确定待测技术类别；

2、确定待测假体类型；

3、测试影响因素控制；

4、测试样本选择；

5、测试过程；

6、性能评测。

在第2步骤“确定待测假体类型”里，该标准指出：根据检测的严酷等级，可以将待测假体类型分为轻度、中度和重度三个级别——

轻度攻击性假体指以简单的技术手段为工艺获得的、具有低攻击能力的假体。

中度攻击性假体是指以复杂的技术手段为工艺获得的、具有一定攻击能力的假体。

重度攻击性假体是指以非常复杂的技术手段为工艺手段制造的、具有极高攻击能力、十分逼真的假体。

在第4步骤“测试样本选择”里，该标准指出：

如果该活体检测技术针对特定应用场景而设计，则测试报告中同时应给出该特定应用场景的真实人群的分布、可能遇到的虚假生物特征攻击评估，以及与本测试中所采用的测试样本的分布的差异性。

我来解释一下，因为这是非常、非常、非常重要的技术常识。

活体检测是多种技术手段的组合，根据应用场景中可能遭遇的假体类型进行正确的选择和组合；

通过采用与应用场景匹配的活体检测组合手段，迫使攻击者必须花非常大的代价才能实施攻击，是提高活体检测安全性的唯一途径；

所以没有最好的活体检测，只有最适合的活体检测。

（编辑：应用网_丽江站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!