手 机 测 评
小米、华为未将面部数据列入隐私政策内
测评员共对5款带有人脸解锁功能的智能手机进行了实际测试。在本次测试中，测评员尝试使用提前拍摄的照片或视频解开手机锁屏，5款被测手机均提醒未检测到人脸，无法解锁。但测评员发现部分手机品牌的隐私政策并未将人脸数据列为用户个人信息，对相关数据的去向也未有明确告知。
苹果自iPhone X开始使用原深感摄像头系统为用户提供人脸识别解锁以及手机支付授权。在实际测试中，苹果手机仅提供5次的人脸识别尝试机会，如果连续5次识别均未能成功解开手机锁屏，则会要求使用者输入密码，降低手机锁屏被恶意破解的可能性。虽然本次测试中照片和视频未能解开苹果的人脸识别，但自苹果推出该项服务以来，国内外都曾报道过有双胞胎或外貌相似的两人可解锁对方手机。其面容ID的安全性似乎仍有提升空间。
而在苹果的面容ID隐私说明中，苹果则承诺会对用户的面部特征数据作加密处理，并且只保存在设备的本地空间内，不会共享给第三方。
另外4款测评手机的品牌分别是华为、小米、锤子科技和摩托罗拉。由于这几款手机都只是采用普通的前置摄像头完成人脸识别，所以设置页面中都有对用户作出提示：人脸识别的安全性较指纹识别及密码低，有可能被他人利用照片等方式骗过识别系统，解锁手机。但在本次测试中，测评员多次尝试都未能使用照片或视频通过这几款手机的人脸识别。
值得注意的是，在《华为消费者业务隐私声明》和《小米隐私政策》中，测评员均未能找到关于人脸数据采集的说明条款。华为手机仅在开通人脸解锁功能时展示一份《免责声明》，表示相关数据仅存储在设备的本地空间内；而小米手机则仅展示一段简单的风险提示，说明人脸识别的安全性较低，但并未提及人脸数据的去向。
相较之下，锤子科技和摩托罗拉的隐私政策内均有提及人脸数据的采集。其中，摩托罗拉更明确告知相机、相册等部分应用也会使用脸部检测功能，但其相关数据仅保留在手机中，不会上传给摩托罗拉或其他第三方。
APP 测 评
支付宝、京东可刷脸登录和刷脸支付
测评员本次共对10款提供人脸识别服务的手机APP进行了测评。同样地，这些APP都拒绝使用提前拍摄的照片或视频来完成人脸识别验证。测评员在测试过程中还发现，目前不少APP会选择使用身份证件照片作为人脸识别的比对基准，确保用户身份的真实性。也有部分企业在隐私政策中承诺建立信息安全部门，保障用户信息安全。
其中，支付宝目前允许用户使用人脸识别方式进行账户登录、刷脸支付等操作。在测评员实际测试过程中，支付宝的人脸识别速度非常快，没有要求用户作出眨眼、摇头、读数等动作来配合活体识别，一瞬间就完成了识别验证。
作为国民级的支付工具，支付宝在隐私政策中承诺在内部建立个人信息保护责任部门以及相关内控制度，保障用户的个人信息安全。
但值得注意的是，测评员查阅支付宝的隐私政策以及自助客服说明后，发现目前支付宝并不允许用户自行变更身份实名认证，相关人脸数据也不允许进行修改。也就是说，虽然人脸识别服务可以由用户自行选择是否开启，但当用户初次绑定个人身份信息，并录入人脸数据后，除非彻底注销支付宝账号，否则相关资料将一直保留且无法修改。
同样地，京东APP内也提供刷脸登录和刷脸支付服务，但两项功能有单独的入口和数据上传方式。其中，刷脸登录需要用户使用手机摄像头拍摄人脸数据。在测评员实际测试过程中，如果尝试使用提前录制的视频来登录，APP会识别到视频画面中的眨眼动作，但随后仍会拒绝登录请求，似乎是APP的活体识别机制发挥了作用。而在刷脸支付功能中，用户则可以选择直接使用手机自拍，或上传手机相册中的照片提供人脸数据，而且，用户还可以随时在APP中更换作为人脸比对基准的照片。
而在京东的隐私政策中，测评员看到，京东也承诺建立信息安全委员会，由专人负责个人信息安全事务，并定期举办相关培训课程，加强员工对保护个人信息重要性的认识。此外，京东还承诺，用户的个人信息仅保存至账号注销之日后的一个月。
银 行 类 应 用
微众银行人脸识别标准十分严格
本次测评的APP中，包括微众银行、中国工商银行、招商银行3款银行类应用。3家银行的人脸识别应用场景均有所区别。
其中，微众银行APP在开设账户或绑定其它银行账户时，需要用户进行人脸识别完成身份验证。该APP的人脸识别标准十分严格，用户需要在APP内采用屏幕反光进行识别，然后把录制下来的视频上传，进行审核。测评员在第一次识别的过程中还由于角度及光线问题被告知审核失败。如果尝试使用照片或视频进行识别，APP更会停留在头像识别的步骤，无法开始下一步的视频录制。
而在中国工商银行（工银融e行）中，云保管和设备保护两项功能均涉及人脸识别认证。在实际测试中，用户需要正对手机屏幕并眨眼完成活体识别，照片及视频均无法通过该识别环节。由于银行业务的特殊性，其只能通过注销电子银行账户的方式删除用户的所有个人信息。
招商银行APP则允许用户自行开通刷脸支付功能。测评员在使用过程中发现，开通这一功能只需输入支付密码，APP并未重新录入用户人脸数据。但用户可以点击上传辅助验证照片，再次拍摄一张个人照片，以免证件照比对不通过，影响支付体验。值得注意的是，在招商银行的刷脸支付协议中，测评员并未看到银行对人脸数据的使用范围、共享范围以及存储方式作出承诺。虽然用户可以自行关闭刷脸支付功能，但APP中并未提及会否一并删除用户自行上传的辅助验证照片。
提 示
广州地铁官方APP未发现人脸数据删除方式
目前，广州地铁已在APM线广州塔站正式启用刷脸过闸设备。市民如果想体验刷脸过闸，需要提前在广州地铁官方APP中录入人脸数据。测评员在实际操作过程中发现，用户在开通刷脸过闸功能前，需要先登录APP账户，并且通过微警认证模块完成相关的实名认证以及活体认证。身份识别通过后，APP还会要求用户提供一张个人正面头像照作为刷脸过闸的比对基准照片。
但在广州地铁的《人脸业务开通服务协议》中，仅提及广州地铁会按照公安部规范获取相关资料，而未提及用户提交的个人照片会存储于何处以及有何数据保护措施。而且，测评员在APP内也找不到自行删除相关人脸数据以及关闭该服务的方式。
百度APP未说明人脸数据会否删除
百度APP目前为用户提供刷脸登录的功能。但测评员在百度的隐私政策等协议中均未找到与人脸数据相关的说明条款，只在APP的登录设置中看到了一段简单的《刷脸登录规则说明》，提醒用户的人脸数据可能会提交给法律法规允许或政府机关授权的机构进行比对核验。
在实际测试过程中，测评员尝试使用照片和视频进行登录，都被APP拒绝了请求。虽然在关闭刷脸登录后，需要再次录入面部数据方可重新使用这一功能，但整个过程中都未说明关闭刷脸登录是否意味着此前提交的人脸数据一并作删除处理。
小区门禁系统：照片存储在管家电脑内
在广州大道中某写字楼，人脸识别技术已经应用在了门禁系统上。员工需要提交个人照片作为识别系统的比对基准照片。在实际测试过程中，测评员使用其中一位男员工的照片顺利通过了该写字楼的门禁系统，但当再尝试使用其他员工的照片时，门禁系统却又能正确判断出该照片并非真人。尽管不是任意照片都能通过人脸识别，但已经说明该系统存在一定的安全漏洞。
项目出品：南都民调中心 策划统筹：谢斌 张纯
项目执行：南都研究员 文轶然 李伟锋 麦仝历 实习生 麦见柔 彭淑茵
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至123456@qq.com 举报，一经查实，本站将立刻删除。
