实战：生物特征识别技术在金融行业中的应用浅析

1.调用身份认证可信应用，选择指纹识别系统并对用户进行验证。 

2.验证通过后，身份认证可信应用生成用户鉴别密钥对。

3.身份认证可信应用使用设备认证密钥的私钥对用户鉴别密钥公钥和其他信息如指纹模板索引信息进行签名，连同设备认证公钥证书一块发送至移动支付应用服务器。

4.移动支付应用服务器将信息转发至身份认证服务器，在验证设备认证公钥证书合法性后，利用证书中的设备认证公钥对签名进行验证，通过验证后，提取用户鉴别密钥等信息，并将注册关系保存，返回身份认证注册结果。

注册成功后，用户可以通过移动支付客户端发起支付请求。移动支付应用首先与移动支付服务器交互，确认是否可进行移动支付。

1.要求用户在本地进行指纹验证。 

2.通过指纹验证后，身份认证可信应用调用本地存储的用户鉴别密钥私钥对交易信息进行签名后，经移动支付应用发送至移动支付应用服务器。

3.移动支付应用服务器将认证信息发送至身份认证服务器进行验证，返回验证结果。

4.验证通过后进行支付授权。

不过，由于其自身技术特点，生物特征识别技术在金融领域的应用过程中也引起了人们对于风险的担忧，例如：如果解决用户生物特征信息的安全保护问题，如何解决其安全可靠性问题如应对活体攻击等。

金融业务传统的密码口令、令牌、短信验证等验证方式，虽然容易遗忘或被人窃取，但丢失后还可以选择重置修改。但用户的生物特征信息本身并不是保密的，有些类型的用户生物特征可能会较为容易被获取和盗用，如人的指纹可以从触摸过物体表面提取出来、人脸特征也可从公开的照片中提取等。用户生物特征信息属于用户的固有特征，被盗用之后不像密码口令可以被轻易修改，泄露之后造成的危害更为严重，影响更为长远。目前，关于生物特征信息保护，国际标准化组织已经制定相关的技术标准ISO/IEC 24745，从生物特征信息的采集、处理、存储、识别、更新、删除等全链条进行安全分析和威胁建模，并提出具体的保护措施，为产业从业各方制定完善的用户生物特征保护策略提供指导。

安全可靠性方面，一方面，单一的生物特征识别技术可能并不会对所有用户都适用，比如有些用户因先天或后天原因缺乏指纹特征无法使用指纹识别技术等；另一方面，由于有些类型的用户生物特征可能会较为容易被获取，生物特征识别身份认证系统也会受到各种各样的哄骗攻击，诸如使用指模可能会成功入侵指纹识别系统，使用高分辨率的脸部图片或者人脸三维面具可能会骗过人脸识别系统等。目前，业内一般采取多模态技术来提升生物特征识别应用的安全可靠性。多模态生物特征识别是指整合或融合两种及两种以上生物识别特征，利用多重生物识别技术的独特优势，并结合数据融合技术，使得认证和识别过程更加精准、安全。与单一生物识别方式相比，多模态生物特征识别主要优点在于三个方面：首先，已经证明利用多个生物特征融合可以提高身份识别的正确率；其次，利用多个生物特征可以拓宽生物特征识别系统的应用人群范围；最后，从防伪的角度，伪造多个生物特征的难度远远大于伪造单一的生物特征。

融合多模态信息的方法主要有两种：决策层的融合和特征层的融合。决策层的融合技术是先把各个模态的信息提取出来，输入相应的分类器得到单模态识别结果，然后用规则的方法将单模态的结果综合起来，得到最终的识别结果；特征层的融合方法则是将各个模态的信息提取出来，将这些信息组成一个统一的特征向量，然后再输入到分类器中，得到最终的识别结果。这两种方法各有优缺点，需要结合具体应用解决方案进行选择。

生物特征识别技术能够提供一种安全、便捷的用户身份认证实现方式，目前已经具备了大规模应用的行业基础，在金融行业有广阔的应用前景。不过，目前在金融行业还因存在对生物特征信息保护、活体攻击等的担忧，而导致了进一步推广应用的障碍。

为了更好地促进金融行业生物特征身份认证产业发展，建议：一是结合金融行业特点，从明确金融使用场景、规范底层技术、制定安全要求、建立市场准入规则等多个维度进行相关标准体系建设，并通过检测认证体系确保行业健康有序发展；二是进一步完善相关法规制度建设，明确相关方的责任和义务，确保用户生物特征信息和隐私安全；三是结合人工智能、云计算、传感器技术等的快速发展，进一步推动活体攻击检测等关键技术的研究和升级，并快速实现产业化应用。