4月1日就要实施的新规，这可不是愚人节的玩笑

如今，“扫码支付”已经从一种时尚，变成了一种常用的支付方式，一种生活习惯！大街小巷的商户中，收款码俨然已经成为了和“商品”同样重要的存在。扫码支付现在更是已经走出国际，成为了中国极具代表性的另一张名片。可就在二维码支付发展如日中天的背景下，明天，央行却将实施“史上最严”规范的使用限制

去年年底，央行发布了《中国人民银行关于印发〈条码支付业务规范（试行）〉的通知》，配套印发了《条码支付安全技术规范（试行）》和《条码支付受理终端技术规范（试行）》，自2018年4月1日起实施。

规定里面的条款比较复杂，我们只说重点的：“使用静态条码进行支付的，风险防范能力为D级，无论何种交易验证方式，同一客户单个银行账户或所有支付账户、快捷支付单日累计交易金额应不超过500元。”这里所说的静态条码，通俗的讲就是我们在生活中经常见的微信收款码和支付宝收款码。

为什么央行会出台这样的新规呢？

第一，是为了规范移动支付市场乱象；

第二，是为了减少移动支付存在的一些盗刷现象；

第三，防范安全隐患，避免因为二维码“带毒”（内藏木马，蠕虫病毒等）给用户造成的财产损失。

但央行的新规是否能真的可以帮助大家保护好各自的钱袋子，把恶意盗刷的风险减低到500元以内呢？其实还是很难的。

瞬间克隆手机应用 花你的钱不用商量

“抢红包”在当下可以说是一件喜闻乐见的事儿了，可你有没有想过，哪天当你点开一个红包链接，自己的支付宝信息瞬间在另一个手机上被“克隆”了，而别人也可以像你一样使用该账号进行扫码支付，随意花你的钱，这是多么可怕的事情啊！

今年年初，一种针对安卓手机操作系统的新型攻击方式被公布，这种“攻击”能瞬间把你手机里的应用，克隆到攻击者的手机上，并克隆你的支付二维码，进行隐蔽式盗刷。不信？看看央视财经频道报道的案例您就知道了！

首先，攻击者向用户发送一条“伪红包”

打开链接后，显示在手机上看的是一个真实的抢红包网页

这时，其实用户的支付宝账户，账户名用户头像便已被攻击者1:1成功克隆。同时被一同克隆的还有用户手机应用中的数据。更让人惊讶的是，此时两台手机的支付宝帐户页面看上去都是一模一样的。

随后，攻击者通过克隆来的二维码，在商场轻松地进行了扫码付费（小额消费不需要密码），与此同时，这笔消费已经悄悄出现在被盗刷者的支付宝账单中。

网络安全工程师介绍，和过去的攻击手段相比，克隆攻击的隐蔽性更强，更不容易被发现。因为攻击者不会多次入侵你的手机，而是直接把你的手机应用里的内容搬出去，在其他地方操作。

通过以上案例和我们生活中层出不穷的“密码”被盗案件，我们会发现：生活中扮演重要角色的手机支付应用，正被花样层出的恶意软件盯上，那我们该用什么方法保护我们的信息和钱包呢？

首先想到的自然是保护好我们的“密码”！

“密码”≠密码

其实，我们经常使用到的所谓“密码”（如：银行卡“密码”、邮箱“密码”等），特别是固定字符类“密码”，与安全领域中“密码”的概念是有着本质性差别的！即此“密码”非彼“密码”。

安全领域中，对“密码”本身有着严格的定义，从密码学的角度，对“密码”的唯一性和安全性，有着绝对化的要求，我们可以简单的理解为不可破解性。

而我们大多情况下所使用的所谓“密码”，应该准确的称之为“PIN码”，即机器（如：计算机）能够识别的语言。其对“密码”本身的安全性和唯一性，没有特殊要求。就如同“窗户纸”，一攻即破，毫无安全性可言。

这时，一种安全的“身份认证”密码保护便显得尤为重要。

这里说的身份认证，其实就是我们（用户）与网络世界交互的窗口与媒介，我们将其称之为“防盗门”。“防盗门”的安全与否不仅取决于其“生产厂家”，更需要“第三方”——“密码”的客观测评与保证。

“密码”的安全性，决定了我们在网络世界中所处的状态。如果没有安全可靠的、切实可行的密码保护，我们在网络世界中的一切行为，就如同“皇帝的新装”一样，看似安全，实在“裸奔”！

保护你的隐私，多种网络身份认证安全技术哪家强？

1.指纹识别应用，生活中无处不在

每个人的指纹，理论上都是唯一而且恒定不变的（不受外界破坏的情况下），所以现代生活的诸多领域都在广泛的应用指纹认证技术，如考勤打卡、移动支付、手机解锁、门禁解锁、公安系统身份识别等。这种身份认证方式非常的便捷，如果在专业人员的监管操作下，识别率非常高。

从技术上来讲，目前包括苹果在内的智能手机厂商所采用的指纹认证方式都是对指纹的表皮层进行算法识别而非真皮层指纹识别，亦无法判定被识别的指纹信息是否为活体信息，因其技术含量较低，国内有相当一部分企业从事于指纹识别认证技术。

但其劣势是用户的指纹信息可以轻松的被采集、被提取。某宝上几十块钱就能买到指纹膜制作套装，橘子皮轻松解锁“苹果”手机等事件也时常发生。所以，人们在大额钱款转帐和消费时，都不敢单纯的只使用一个指纹密码来做为身份的认证。指纹认证也逐渐变成一种低安全性的身份认证方式。当前从事指纹识别技术的研发及应用的厂商有几十家，主要有AuthenTec(2012年被苹果收购)、FPC、Synaptics等几个国际大厂，台湾地区的神盾、义隆、敦泰、茂丞等，还有中国大陆地区的汇顶科技、迈瑞微、费恩格尔、信炜、芯启航、贝特莱、思立微、集创北方、比亚迪等几十家企业。

2.电影中让我们惊艳的虹膜身份认证成为现实

虹膜识别，也称瞳孔识别，是基于眼睛中的虹膜信息进行身份识别的技术。因为其安全性与不可复制 性远高于指纹识别技术，所以被应用于多种安防设备，以及有高度保密需求的场所。

随着科技的发展，虹膜识别技术也不再是好莱坞大片里的黑科技，随着虹膜识别技术的升级和应用的拓展，国内从事于虹膜技术生产的企业也越来越多，代表性较强的有聚虹光电、中科虹霸、释码大华等。

虹膜识别技术可靠性高，采集成本越来越低，也便于用户的使用，还特别的高大上。但一项最新的试验证明：采用现有技术，用红外传感器可以在1-2米的距离上通过迅速扫描你的眼睛，不到一秒的时间就可以记录下目标的虹膜信息，信息泄露也变成了“看一眼”的事情，这其实在一定程度上给信息安全带来了极大的隐患。

3.人脸识别技术，已在交通安全领域开始应用

人脸识别，是基于人的脸部特征信息进行身份识别的一种生物识别技术。用摄像机或摄像头采集含有人脸的图像或视频流，并自动在图像中检测和跟踪人脸，进而对检测到的人脸进行脸部识别的一系列相关技术，通常也叫做人像识别、面部识别。

现在这种技术已广泛的被运用，比如某些城市的交通管理系统。

目前 ,百度、平安科技、云从科技等公司也因用户基础数量足够大而成为了国内人脸识别技术领域的三巨头，其中平安科技更是以其强大的实力成为了国际人脸实别标准的制定者。

人脸识别技术这种身份认证方式的特点是：在被测时，不容易被被测个体察觉。对于利用人脸进行定位是有利的，但是对于利用人脸区分人类个体是不利的。这是因为目前人脸识别中普遍采用的OCR技术，是一种平面图像识别技术，受其技术本身的限制，人脸识别认证方式很难准确的辨别真人还是照片，准确的区分双胞胎。再加上人脸的面部信息也极易受到外部（如：外伤，化妆）和内部（如：年龄）等因素的影响，所以人脸识别技术的识别精度很难达到97%以上。”因此人脸识别也被认为是生物特征识别领域甚至人工智能领域最困难的研究课题之一。

印度10亿生命体征认证信息泄露，我还如何相信你！

在身份认证领域，除了以上几种生命体征认证方式外，其实还有相对而言安全性更高的生命体征认证方式：比如静脉认证、DNA认证等。但因使用成本较高，所以目前还是很难大范围的进行使用。何况，现在对于生命体征认证更大威胁的事件，其实已经出现了。

2009年印度政府启动了一个“Aadhaar”项目，这是全球第一大生物识别数据库项目，该项目收集了印度国内超过10亿人口的姓名、地址、手机号以及更为重要的指纹、相片和虹膜扫描信息。目前，Aadhaar渗透到了印度人们日常生活的几乎每一个方面，从到学校上学到去医院看病，再到去银行获得金融服务。它可谓打开了规模前所未见的数据收集的路径

但是，在今年1月，“维基解密”网站公布了一个爆炸性的内容：美国中央情报局（CIA）掌握了印度10亿人的虹膜体征信息。该消息一经纰漏，在全球范围内引起巨大震动！

该事件是即去年“雅虎”公司承认其泄露全球近30亿用户的敏感信息（如：用户名和密码）之后，全球范围内最大规模的客户信息泄露事件之一！

这些基于生命体征身份认证方式的“密码”，都有其共同的特质，即一成不变的“唯一性”，其实就是一种变相的“静态密码”，也正是因为这种“唯一性”，导致了其在泄露后，无法更改和撤销的后果。

所以如果单从技术本身的成熟度的角度来看：在移动终端上使用的“指纹”、“瞳孔/虹膜”、“人脸识别”等生命体征认证，是无法与安全部门（如：公安、海关等）所使用的专业设备的认证精度与安全强度同日而语的。也就是说如果无法确保其在采集、使用、保存和销毁全流程的安全时，其反倒会对信息安全构成极为重大的安全隐患，其所造成的严重后果和社会危害也不可估量。

更需要引起广泛关注的是，以人脸识别认证为例，虽然这一技术目前在我国的使用可谓如火如荼，也日渐被广大用户所接受和使用，但从密码安全性的维度来看，截止到今天，在我国基于生命体征认证的“密码”产品，还有没任何一个厂家或产品，通过了我国最权威的密码安全和算法安全鉴定机构--国家密码管理局的权威安全认证，可为用户提供有安全保障的、可信可靠的安全认证。

数字密码和图形密码认证方式 ，想说爱你不容易！

传统的数字密码即纯数字或者数字加字符的密码，或通过远程设备发送随机密码到你的硬件设备上，将输入的密码与你在各系统平台上预置的密码进行比对，通过比对结果来判断该用户是否可进入某平台系统。

图形密码的应用原理与数字密码认证方式类似，即用户通过输入的图形与系统平台上预置储存的图形进行比对，来判断该用户是否可进入某系统平台，目前多应用于安卓系统图形解锁上。

这两种方式可以说是最常见也最原始的密码解锁方式，但也正是由于其“固定性”，破解速度是以秒计算的，因而轻松的被“拖库”、“撞库”等黑客攻击等技术手段轻易攻陷，最终造成信息安全问题高发、频发。类似案件如2017年10月雅虎公司发布消息称雅虎公司有30亿个用户账号信息被盗，这一数字是此前公布被盗账号数量的三倍,而雅虎也在事发后向用户发送提示，请其更改登录密码以及相关登录信息。

因此，对于用户来说，数字密码相比生命体征认证的密码而言，还有时间去修改密码以保证帐户安全的机会，但也无法保证新修改的数字密码不会被平台再次泄露或被黑客盗取。

创新型的身份认证方式初露端倪

除了传统的数字密码和图形密码认证方式外，现在还有一种新型的非生命体征身份认证方式，即将高安全强度的“一次性密码（OTP）”与便于记忆的“图形密码”相结合，用“不变的图形”对应“变化的数字”，在不依赖于其他任何外部加密设备的情况下，实现了极高的安全性与极强的便捷性的完美统一。

这种身份认证方式，用户只需记住自已预设置的“图形”（真实密码），如图所示。在输入密码时，将“图形”映射到数字阵列表中， “图形”所对应的数字，就是当次认证时所使用的一次性密码(形式密码)。每一次认证时，数字阵列表中的数字都会发生变化，从而登录系统或账户。

该认证系统让用户摆脱了要牢记数字密码的记忆模式，提升了密码的安全度，防范拖库、撞库及DDos攻击。

目前这种身份认证方式在国外已有普遍使用，在我国刚进入一些金融机构、科研院所和高科技企业的内部系统进行应用。目前从事这种身份认证技术研发和产品生产的公司，在国内只有大连秘阵科技一家。如果这种技术和产品未来能广泛的应用于网络支付领域，将会大幅提升个人用户在支付时的安全性，减少记忆困难，同时也将大大减少如银行、在线支付等金融机构因为“忘记密码”，“盗用密码”，“恶意入侵”，“恶性盗刷”等行为而引发的赔付损失。

综合以上各种身份安全认证方式来看，在我们普通用户目前使用并关注的移动终端上，现在我国还没有技术成熟并已广泛应用、自主可控的安全身份认证“密码”产品。在物联网、互联网时代，除了我们自己把密码设置的更复杂、弃用单一身份认证方式之外，我们更期待有在身份认证领域从事产品和技术研发的企业，通过国家密码管理局的权威安全认证的高科技身份认证产品提供给金融、互联网和物联网等行业，切实改善广大互联网用户“密码”安全这一最大的用户痛点，最终实现大众化。