IT思维

支付宝的刷脸功能开通了，但丢出来的一个疑问就是它是否能够终结账号密码时代？

对使用支付宝的人来说，有两个特别关键而要命的东西，一个是六位数字的「支付密码」，另一个是复杂到自己也记不住的「登录密码」。相信在过去几年里，每个人为找回这两个密码折腾过若干次，尤其对记性不好的人来说，简直就是上网日常啊。

几个月前，支付宝实现了用「刷脸」来修改支付密码。

今天，另一大麻烦的登录密码，也可以用「点头」代替了，这也让支付宝也成为了首个支持人脸登录的 App。估计你用过刷脸后再也不想输入密码了。

在支付宝里，选择「我的」页面 > 「账户头像」> 「设置」> 「安全设置」> 「刷脸」> 「刷脸登录」，按引导拍摄脸部，完成两个指定动作，如眨眼摇头，就可开启刷脸登录了。

点头登录的过程非常简单，你只要拉长手臂摆出自拍造型，奥义是不要太急，要像大领导首肯一样，缓缓点一下。下巴一落，就登录上了。

新技术，安全吗？

当钱这件事落在手机上，最大的难题就是，你怎么证明正在拿手机进行操作的这个人，就是你本人？

今年《非银行支付机构网络支付业务管理办法 (征求意见稿)》里，把确保帐户安全的验证要素归为三种：

1. 仅本人知晓的要素，如静态密码；
2. 仅本人持有并特有的，不可复制或者不可重复利用的要素，如数字证书、电子签名、一次性动态密码；
3. 本人生理特征要素，如指纹。

这三类要素必须相互独立，不能一者泄露导致其他要素跟着泄露。人们对前两类验证要素已经非常熟悉了，而生理特征要素用于验证，对于大众还比较陌生。面对一项用户护财的新技术，安全性成为了人们首要关心的问题。

支付宝的人脸识别技术，由蚂蚁金服内部研发生物识别技术的团队「柒车间」与 Face++ Financial 合作研发，真实应用场景下的识别成功率已经在 90% 以上。从今年 7 月份开放，已逐步应用于实名认证、重置密码、换绑手机、风险支付校验等功能中。总体来说，生物识别比传统验证方式更为安全，验证短信还可能被劫持，生物特征被仿制的难度非常高。

现在有一些图像软件，可以把一张脸部照片变成 3D 动画，这样的作弊手段，支付宝防得住吗？

柒车间给极客公园的答案是：「基本上是可以检测到这种作弊行为的，但技术上的较量，不能百分百打包票。人脸识别技术在支付宝里也在逐步地开放，目前应用到登录环节，而在支付环节中，会有更复杂的多维度的防控。」

支付环节中的多维度防控意味着，即使有人登陆了你的账号，猜中了你的支付密码，也不一定能动得了账号里的钱。

如果万一支付环节也被攻破了，账号里的钱被盗刷了，支付宝还会进行赔付。售价 0.88 元的「支付宝账户安全险」可保一年，最高可赔付 100 万元，且不限次。相信支付宝会算好这笔账的。

接下来还会有什么？

在刷脸之后，未来我们还有哪些「证明你是你」的新姿势呢？

在今年 10 月的蚂蚁金服开放日，极客公园把「柒车间」正在研发的生物识别技术挨个儿体验了一遍。

其中有望成为下一个走出实验室的是「声纹技术」，它几乎没有设备门槛，伪造难度极高。在体验的过程中，只要读出屏幕上的一串随机数字，你的声音就以数字信号的方式被记录下来，作为识别依据，无法被他人模仿。

声纹识别与人脸识别有很好的互补性，比如在声音嘈杂的环境中，人脸识别优势凸显，在光线不足的地方，声纹识别更胜一筹。二者叠加，「人脸 + 声纹」可能在不久之后升级现有的支付宝登录环节。

除此之外，还有一些研发中的生物识别技术：

• 「掌纹识别」通过摄像头像扫码一样扫描掌心，它的优点是比指纹更加复杂且不涉及个人隐私，缺点是需要占用双手。
• 「笔迹识别」既是仅本人知晓的要素，又结合了包括笔画顺序在内的潜在书写习惯，不过目前在电容屏上的表现还不理想，待成熟。
• 「击键识别」通过每个人打字时特有的击键节奏，就可以验证身份。

以上这些生物识别技术，所需的硬件设备仅仅是摄像头、麦克风、触摸屏，可以在任何一台廉价智能手机上实现。

支付宝 9.0 为了让用户打开 App 成为一件更加高频的小事，取消了手势密码。但这还远远不够。验证这件小事，还有很多优化的空间。想象一下，如果你「双十二」在店里排队结账时发现没登录支付宝，需要在众目睽睽下，敲上一长串密码，或者大脑空白忘记了，体验会多么尴尬。未来只有用更安全、更快捷的方式把「证明自己是自己」这道门槛迈过去，移动支付才可能真正渗透到日常生活的各个角落中来。

文/极客公园