除了315晚会上展示的，破解人脸识别其实有至少5种方法(2)

当他掏出自己用于测试的3D打印模型时，不得不承认这个模型有些惨不忍睹，确实如同高小厨所说，缺乏面部细节、颜色单一，比例似乎也不太对。

【用于测试的3D打印模型】

高小厨发现，部分APP在使用上传人脸图像时，没有对图像数据进行签名，导致图片可以被工具截获然后篡改，而有的则是在数据报文没有加入时间戳，可以通过重放数据报文的方式来实施破解。

在测试某一款应用时，他发现人脸识别的成功与否，是通过返回报文中的一个阈值来决定的，相当于考试中的“及格分数”，如果人脸匹配度超过该阈值就可以通过，不幸的是，该APP 没有对这个返回报文加签名，导致该报文可以被篡改，最终高小厨通过调低该阈值的方式破解了它的人脸识别。

高小厨在现场展示了自己进行的APP风险调研的结果，他发现除了一般的考勤、账号安全APP之外，大量的银行、P2P 金融企业的 APP 已经介入使用了人脸识别技术，其中：

• 金融行业在使用人脸识别技术时安全性明显高于一般应用；
• 当人脸识别技术涉及关键业务时，安全防护水准往往更高
  

比如他在测试国内某P2P金融的客户端时，尝试人脸识别解锁失败数次后，该APP 就检测出了可能存在恶意破解的情况，强制使用银行卡信息、手机短信等其他方式来完成认证。

高小厨在现场强调了一点，除了人脸识别技术在手机上本身的应用缺陷之外，许多问题导致的原因都是开发者在调用第三方的人脸识别服务时，没有严格按照一个安全的规范来做，接入流程不够严谨，甚至经常出现为了提高用户体验而舍弃安全性的做法，这样的做法在技术实力不强的小公司十分常见，最终导致的结果就是，让用户把密码写在了自己的脸上。

，。

（编辑：ASP站长网）