个人信息的泄露已影响生物识别技术的使用

 互联网时代，网络上遗留的个人信息以及随意丢弃的纸质单据都容易被不法分子搜集利用。部分不法分子还假借“促销”“中奖”“会员填表”等名义，诱使用户填写个人信息。不仅如此，聊天记录、消费记录等个人信息被各种服务类App掌握，过度索权、隐私条款不合规、强制授权、超范围收集个人信息等App违法违规收集使用个人信息问题依然突出。

为解决这一问题，今年1月25日，中央网信办、工信部、公安部、市场监管总局四部门联合发布《关于开展App违法违规收集使用个人信息专项治理的公告》，成立了App违法违规收集使用个人信息专项治理工作组。中央网信办网络安全协调局相关负责人称，至今，针对App专项治理的举报平台已收到8000多条举报信息，将400余款下载量大、用户常用App纳入了评估，向100多家App运营企业发送了整改建议函。个人信息与隐私泄露事件频发，与之相关的电信和网络犯罪行为也成为社会的一大顽疾。

中国生物特征识别行业最早发展的是指纹识别技术，基本与国外同步，早在80年代初就开始了研究，并掌握了核心技术，产业发展相对比较成熟。在手机App中植入安全漏洞，再通过电脑端软件操作，只需几秒钟，工作人员便可控制“千里之外”的手机摄像头、扬声器进行偷拍、窃听，一场现实版“窃听风云”在2019年网络安全宣传周上的网络安全博览会互动体验专区中上演。在NFC银行卡信息盗取演示项目中，工作人员当了一回“通天大盗”。当用户的银行卡贴近白色读取设备时，银行卡的卡片类型、卡号、持卡人姓名、身份证号和近期交易记录都会在屏幕中展现。当个人信息网上“裸奔”，当生物识别“不再唯一”，我们的信息如何得到保护?

指纹虹膜信息竟被照片泄露

随着窃取个人信息手段的技术不断发展，个人生物识别信息逐渐成为信息泄露的新内容。个人生物识别信息是指直接采集于人体，体现人的生理特征，与个人身份识别具有唯一对应性的个人信息，如指纹、虹膜、面部特征等。目前， 该技术已被广泛运用到如居民身份证、手机、安全门禁、零售店支付以及银行等领域。

近日，网络安全专家称拍照比“剪刀手”可能泄露指纹，在网上引起热议。该消息称，基本上1.5米内拍摄的“剪刀手”照片能100%还原出被摄者的指纹，1.5米至3米内拍摄的照片能还原出50%的指纹，超过3米拍摄的照片才难以提取其中的指纹。据了解，早在2015年，欧洲的黑客联盟“Chaos计算机俱乐部”就表示，只要使用“相机拍摄的标准照片”，就可以获得某人的指纹;2017年，日本一家研究所也表示，将强光集中在照片中人像的指纹，指纹数据就可以再现。

除指纹信息外，被拍摄者的虹膜信息也可能成为不法分子在照片中的提取对象。1985年，美国摄影家史蒂夫·麦凯瑞拍摄的一张“阿富汗少女”照登上《国家地理》杂志封面，十多年后，为了寻找当年的那个神秘少女，通过提取比对当时照片中阿富汗少女的虹膜信息，麦凯瑞竟成功找到了当事人。北京理工大学光电学院副教授何玉青说，那是30多年前的相机拍摄的照片，以现在摄影器材的能力，想要获取某个人的虹膜信息并非难事。

无独有偶，近日，一则“小学生发现刷脸取件漏洞”的消息引发网民热议。有媒体报道，多位小学生通过打印取件人照片的方式，用照片“刷脸”就轻而易举地打开快递柜取件。

奇安信行业安全研究中心主任裴智勇说，仅就技术本身而言，生物识别具有防伪性能好、私密性强、随身“携带”等优点，是一种更安全的技术。但是所有的生物识别技术本质上与数字密码一样，具有可复制的特性，因此生物密码不适合单独使用。目前生物识别和身份认证商用产品方案不仅仅依赖于静态的指纹信息、人脸图像，还应附加活体检测技术、多因子认证技术或基于风控的隐式认证技术，来保证“我就是我”。

推进立法，为个人信息穿上“安全服”

来自国家相关监管部门的专家说，要加强宣传教育和个人信息保护，切实维护公民在网络空间的合法权益。组织开展多种形式的宣传、教育和培训，提升全民网络安全意识和防护技能。同时规范企业和机构采集利用个人信息的行为，依法严厉打击利用个人信息进行违法犯罪活动，切实保障个人信息安全。此外，媒体、学校或专业人士可以通过列举大量实例进行讲解，对日常生活中可能发生的信息泄露问题进行剖析，提醒大家做好个人信息保护。用户也有必要逐步提高自身安全意识。就提升App个人信息保护水平而言，专家建议，用户要选择正规渠道下载App，并重视手机隐私权限管理，及时关闭不必要的App权限。

中央网信办网络安全协调局的专家也表示，将从加强行业自律、推进标准先行等几个方面，继续推进相关工作的展开。在此基础上，专家表示，应做到技术手段与行政监管并重。个人信息泄露背后，是我国个人数据保护立法尚不完善。公安部第三研究所相关专家认为，2017年个人信息保护虽已写入《网络安全法》，个人数据保护力度大大提升，但仍存在立法分散、可操作性不强等问题。专家建议，需尽快推进专门的个人信息保护法规的制定和出台，为个人信息提供系统性、体系化的保护。