译者 | 晶颜
审校 | 重楼
生物识别技术的概念
生物识别技术是人类的物理或行为特征，可用于数字识别一个人，以授予对系统、设备或数据的访问权限。
这些生物特征标识符的例子包括指纹、面部模式、声音或打字节奏等。这些标识符中的每一个对个人而言都是唯一的，并且它们可以组合使用以确保更高的识别准确性。
由于生物识别技术可以在对用户进行身份验证时提供合理程度的信任，并且减少了用户摩擦，因此它有可能极大地提高企业安全性。当电脑和设备检测到用户的指纹时，它们可以自动解锁；服务器机房的门在识别出受信任的系统管理员时就会自动打开；当服务台系统在支持线上识别出员工的声音时，可能会自动调出所有相关信息。
然而，公司需要小心如何推出他们的生物识别认证系统，以避免侵犯员工或客户的隐私或不恰当地暴露敏感信息。毕竟，当旧密码被泄露时，很容易发布一个新密码，但你不能给某人一个新的眼球。
生物识别标识的类型
生物识别标识符是一种与人类内在特征相关的标识符。它们大致分为两类：物理标识符和行为标识符。
物理标识符
在大多数情况下，物理标识符是不可变的，并且与设备无关。它主要包括以下几种：
- 指纹：近年来，指纹扫描仪由于在智能手机上的广泛部署而变得无处不在。任何可以触摸的设备（如手机屏幕、电脑鼠标或触摸板），都有可能成为简单方便的指纹扫描仪。
- 照片和视频：如果设备配备了摄像头，它可以很轻松地用于身份验证。面部识别和视网膜扫描是两种最常见的方法。
- 生理识别：包括面部识别、掌形识别、虹膜或视网膜扫描、掌静脉识别和耳朵识别。
- 语音：基于语音的数字助理和基于电话的服务门户已经在使用语音技术来识别和验证用户。
- 签名：数字签名扫描仪已经在零售收银台和银行广泛使用，对于已经习惯签名的用户和客户来说是一个很好的选择。
- DNA：如今，DNA扫描主要用于执法部门识别嫌疑人。在实践中，DNA测序速度太慢，无法广泛应用。不过，这种情况正在开始改变。2018年，一款价值1000美元的扫描仪上市，可以在几分钟内完成DNA匹配，而且价格可能会继续下降。
行为标识符
行为标识符是一种较新的方法，但由于可靠性较低，通常需要与另一种方法结合使用。然而，随着技术的进步，这些行为标识符可能会越来越突出。与仅限于人类某些固定特征集的物理标识符不同，行为标识符的唯一限制是人类的想象力。
今天，这种方法经常被用来区分人类和机器人，以帮助公司过滤垃圾邮件或检测暴力破解密码的企图。以下是行为标识符的一些常见方法：
- 打字模式：每个人都有不同的打字风格，这包括他们打字的速度，从一个字母到另一个字母所需的时间长度，对键盘的影响程度等。
- 身体动作：每个人走路的方式都是独一无二的，可用于对大楼里的员工进行身份验证，或者作为特别敏感地点的第二层身份验证机制。
- 导航行为：鼠标移动和手指在触控板或触敏屏幕上的移动方式对个人来说也是独一无二的，用软件相对容易检测，无需额外的硬件。
- 互动模式：我们都以不同的方式与技术互动。我们打开和使用应用程序的方式、我们最有可能使用设备的地点和时间、我们浏览网站的方式、我们拿着手机时倾斜手机的方式，甚至我们查看社交媒体账户的频率，都是潜在的独特行为特征。这些行为模式可以用来区分人和机器人，也可以与其他身份验证方法结合使用，或者，如果技术足够进步，也可作为独立的安全措施。
生物识别认证的隐私和安全风险
安全风险
指纹扫描或语音记录等身份验证凭据可能会从设备、公司服务器或用于分析它们的软件中泄露出去。此外，面部识别系统可能无法识别化妆或戴眼镜的用户，也无法识别生病或疲劳的用户。即便能够识别，误报的可能性也很高。
人们刚睡醒的时候，或者在拥挤的公共场合使用手机的时候，或者在生气或不耐烦的时候，声音都是不同的。识别系统可以被面具、照片和录音、指纹副本实施欺骗，也可以在合法用户睡觉时被信任的家庭成员或室友欺骗。
人工智能深度造假的祸害也让人们对生物识别技术的可靠性产生了怀疑。研究公司Gartner预测，“到2026年，使用人工智能生成的深度伪造面部生物识别技术的攻击将意味着，30%的企业将不再认为这种身份验证解决方案是孤立可靠的。”
为此，专家建议公司可以同时使用多种身份验证机制，并在发现警告信号时迅速升级。例如，如果指纹匹配，但面部不匹配，或者在不寻常的时间从不寻常的位置访问帐户，则可能需要切换到备用身份验证方法或二级通信通道。这对于金融交易或密码更改尤为重要。
隐私风险
一些用户可能不希望公司收集有关其习惯使用手机的时间和地点等数据。如果这些信息泄露出去，就有可能被跟踪者利用。一些用户也可能不希望他们的家人或配偶始终获悉他们的动向。
这些信息也可能被专制政府或越界的刑事检察官滥用。外国势力可能会利用这些信息试图影响公众舆论。不道德的营销人员和广告商可能也会这样做。2018年，一款健身应用被发现收集用户位置信息，并以某种方式暴露了美国秘密军事基地和巡逻路线的位置。
这些情况中的任何一种都可能导致收集数据的公司在公众面前陷入尴尬，面临监管罚款或集体诉讼。如果DNA扫描变得普遍，它们会引发一个全新的隐私问题领域，包括暴露医疗状况和家庭关系。
生物识别认证数据的安全性
生物识别身份验证数据的安全性至关重要，甚至比密码的安全性更重要，因为密码一旦暴露很容易更改。然而，指纹或视网膜扫描是不可改变的。这些或其他生物特征信息的泄露可能会让用户面临永久的风险，并给丢失数据的公司带来重大的法律风险。
归根结底，每家公司都要对自己的安全决策负责。您无法外包合规性，但是您可以通过选择合适的供应商来降低合规性的成本和泄漏的潜在后果。如果一家中小型公司使用谷歌或苹果的认证技术，而谷歌或苹果出现了安全漏洞，那么谷歌或苹果很可能会受到指责。
此外，不将凭据存档的公司也有其优势。例如，许多零售商可以通过将他们的系统“排除在范围之外”来避免大量的合规成本。支付信息在支付终端被加密，并直接进入支付处理器。原始支付卡数据永远不会接触公司服务器，从而降低合规性影响和潜在的安全风险。
如果公司需要收集身份验证信息并将其保存在自己的服务器上，则应该应用最佳实践安全措施。这包括对静态数据和传输中的数据进行加密。
当然，如果被授权访问数据的应用程序或用户本身受到威胁，加密并不能保证绝对的安全。但是，公司可以通过多种方法避免在服务器上保存加密的身份验证数据。
生物识别技术的企业用例
IDC预测，到2026年，欧洲公司将在生物识别解决方案上花费61亿美元。在员工体验和客户体验的自动化和数字化的推动下，生物识别技术将取代更传统的身份验证和识别方法。
根据IDC的研究，以下是企业计划投资生物识别技术的主要用例：
- 员工设施访问控制；
- 员工考勤管理；
- 员工数据访问身份验证；
- 客户注册标识；
- 客户ID认证。
生物识别技术的用例和投资重点因行业而异。例如，在金融领域，生物识别技术投资将用于提供更简化的客户体验，同时改善欺诈预防和检测。在交通运输领域，智能票务将有助于加快各个检查站的处理时间，比如行李托运和机场安检。在制造业，对生物识别技术的投资将集中在员工体验上，包括时间跟踪和访问控制。
用于身份验证的生物识别技术：两种方法
本地或基于设备的生物识别验证
本地身份验证机制最常见的例子是智能手机中的硬件安全模块。用户信息——如指纹扫描、面部图像或声纹——存储在该模块中。当需要身份验证时，指纹识别器、摄像头或麦克风会收集生物特征信息，将其发送到模块，并与原始信息进行比较。该模块会告诉手机新信息是否与它已经存储的信息相匹配。
有了这个系统，原始的生物识别信息永远不会被模块外的任何软件或系统访问，包括手机自己的操作系统。在iPhone上，这被称为安全飞地（secure enclave），适用于所有搭载苹果A7或更新版本芯片的手机。首款采用这种技术的手机是2013年发布的iPhone 5S。类似的技术也适用于安卓手机。例如，三星开始在三星S3智能手机上推出ARM TrustZone可信执行环境。
如今，智能手机硬件安全模块被用于为苹果支付、谷歌支付和三星支付提供安全保障，以及认证第三方应用程序。例如，PayPal可以使用手机的生物识别传感器进行身份验证，而它自己根本看不到实际的生物识别数据。Square Cash、Venmo、Dropbox以及许多银行应用程序和密码管理应用程序也利用了这种身份验证机制。
企业还可以在用户或客户使用智能手机时使用基于智能手机的生物识别读取器，而无需在自己的服务器上收集和存储任何生物识别信息。类似的技术也适用于其他类型的设备，如智能卡、智能门锁或个人电脑的指纹扫描仪。
基于智能手机的身份验证提供了显著的可用性优势。首先，用户往往会立即意识到他们把智能手机放错地方或丢失了，并会立即采取措施寻找或更换它。然而，如果他们丢失了仅用于非工作时间进入建筑物的徽章，那么他们可能暂时不会注意到它不见了。
智能手机制造商也在进行一场军备竞赛，以使他们的技术更好、更容易使用。没有任何其他行业——或单个公司——可以与手机的投资规模或可用性和安全性测试相媲美。
最后，电话身份验证为用户提供了最大的灵活性。他们可以选择带有面部识别、指纹扫描或语音识别的手机，或者其他一些尚未发明但将在未来主导市场的新技术。然而，使用像消费者智能手机这样的第三方机制会将身份验证过程置于企业控制之外。
通常，基于设备的身份验证的另一个缺点是身份信息仅限于该设备。如果人们使用指纹解锁智能手机，那么他们就不能在没有单独授权门锁的情况下使用相同的指纹解锁办公室的门，或者在没有单独授权个人电脑的指纹扫描仪的情况下解锁电脑。
需要在多个位置的多个设备上对用户或客户进行身份验证的公司，要么需要某种集中机制来存储身份验证凭据，要么需要利用用户始终随身携带的设备。例如，公司可以将身份验证机制放入员工在办公室佩戴的智能徽章中。他们还可以使用智能手机对员工进行身份验证，然后通过蓝牙、近场通信（NFC）、WiFi或互联网将身份确认信息传递给其他设备和系统。
标记化或加密
允许新设备识别现有授权用户的另一种方法是令牌化（Tokenization）、单向加密或散列函数。例如，视网膜、声音或指纹识别被用来识别和认证员工，无论他们在公司内的任何位置。但公司不希望将图像或音频文件存储在服务器上，以免黑客或恶意员工滥用它们。
相反地，该公司可以通过扫描一个人的面部或指纹，将该图像转换成唯一的代码，然后将该代码发送到中央服务器进行身份验证。然后，任何使用相同转换方法的设备都能够识别员工，而原始识别数据在任何系统上都不可用。这种方法的缺点是公司会被锁定在单一的专有身份验证机制中。
原文标题：What is biometrics? 10 physical and behavioral identifiers that can be used for authentication，作者：Maria Korolov