刷掌支付要来了！效率和隐私如何平衡？

　　作者丨冯恋阁，郭美婷
　　编辑丨吴立洋
　　近日，有消息称亚马逊公司的掌纹识别系统AmazonOne将向65个新的商店推广，这项服务可以让店内顾客通过刷掌进行支付。这将是迄今为止规模最大的一次推广。然而，此举引发了公众对个人生物识别信息安全的担忧，亚马逊因此收到过参议员的公开质疑。无独有偶，在国内，移动支付服务主要提供商阿里、腾讯等在掌纹识别领域亦有布局和尝试。
　　刷掌支付的背后，是两种生物识别信息掌纹、掌静脉信息的采集和应用。有观点认为，新冠肺炎疫情下，刷掌是不摘口罩、不碰设备的高效识别服务，但也有声音认为刷掌是不必要地出让更多的个人信息。
　　受访专家告诉21世纪经济报道记者，掌纹、掌静脉识别技术在近几年已经逐渐成熟，在安防、智能家居领域都有实际运用。而新冠肺炎疫情下，掌纹和掌静脉识别技术由于其高精度、便于非接触式采集的特性，可以作为现有技术方案（如人脸、指纹识别）的有益补充。在实际应用中，服务提供商需评估其安全风险并采取相应的措施；在数据采集、存储、删除等全流程中严格遵守相关法律法规要求；同时，制定应急预案，在发生安全事件时，及时采取应对措施降低损失，并依法通知个人信息主体和有关监管部门。
　　亚马逊宣布将推广掌纹支付业务
　　日前，亚马逊宣布将向65家新的商店推广掌纹识别系统AmazonOne，这是迄今为止规模最大的一次推广。AmazonOne官网显示，目前美国境内已有70家门店支持这项服务，包括公司旗下的无人商店AmazonGo、连锁超市全食超市（WholeFoods）以及第三方商户星巴克等。除全食超市等外，2021年，该公司还宣布与数字票务公司AXS合作，使用AmazonOne作为活动参与者的验票设备。
　　AmazonOne是亚马逊公司推出的掌纹识别系统，旨在基于手掌扫描，为用户提供一系列非接触式的支付、输入或识别身份服务。顾客可以在亚马逊指定的销售网点或服务终端进行AmazonOne服务的注册，需提供支付方式（储蓄卡、信用卡等）、手机号码和手掌的照片等信息。
　　通过扫描用户手掌的特征信息（包括表面细节，如掌纹；以及皮下特征，如静脉），AmazonOne的专用设备会创建可识别的手掌签名（palmsignature）。完成注册后，这些特殊的用户签名会被保存在云端。服务器对这些数据的保存是长期的，除非用户主动删除，或在两年内不使用刷掌支付的服务。顾客在相应门店中结账时，只需要将手掌悬停在识别设备上扫描，就可以完成支付。
　　三位美国参议院议员曾在给亚马逊首席执行官的公开信中表达了对用户信息安全的强烈担忧。他们指出，掌纹是和面部特征一样的生物识别信息，不能像账户、密码等信息一样被随意改变，和用户个人是唯一对应的，如果泄漏很可能影响到用户；其次，AmazonOne将这些数据长期存储在云端，意味着生物特征信息会被提供给不同地点的设备，有更大的泄漏风险。负责该项目的亚马逊副总裁表示，掌纹识别相对于面部识别有更强的抗泄露风险能力：一个人不会因为暴露了手掌就被识别出身份。亚马逊官方也表示，这些信息将被视作高度敏感的个人信息，被给予一流的安全保护。
　　事实上，在亚马逊之前，美国的掌纹识别技术公司RedrockBiometrics对掌纹识别就有诸多尝试，根据公司官网，其旗下的产品PalmID是首个基于掌纹和掌静脉对手掌进行非接触性识别的平台。公司成立于2015年，截至目前，合作伙伴已经包括了万事达卡、富国银行和爱普生公司等。
　　观韬中茂律师事务所合伙人、律师吴丹君告诉21世纪经济报道记者，美国暂时没有专门针对掌纹和掌静脉信息的规范，但这些信息可以纳入生物识别信息的范围，被相关法律规制。
　　美国伊利诺伊州在2008年颁布了第一部规制生物标识和生物识别信息收集、使用、保护、处理、存储和销毁的法律《生物信息隐私法案》（BIPA），要求主体在获取生物信息前获得信息主体的书面同意，并禁止售卖此类信息获利。其后，加利福尼亚州颁布了《2018年加州消费者隐私法案》（CCPA）将生物识别信息纳入个人信息，并提出了保护要求。去年至今，在美多家互联网企业都曾因被怀疑非法收集生物识别信息被起诉。
　　迈向刷掌的尝试
　　近两年来，新冠肺炎疫情让人们倾向于选择更加方便和高效的非接触式的移动支付方式，掌纹识别支付就是众多尝试的一种。在我国，刷掌支付虽暂未有大规模地投入使用，但在这方面的探索依然在不断推进中。
　　8月初，腾讯注册了包括微信刷掌微信刷掌支付WEPALM等多枚商标，商标国际分类涉及广告销售、金融物管等，引发关注。据报道，目前腾讯已在部分地区推广非接触式刷掌支付，在授权场景中，可以通过手掌识别快速完成付款或者身份验证。
　　事实上，早在去年7月，腾讯的多个实用新型专利刷掌设备就已获得授权。同年8月，有消息透露微信支付内测了一项名为刷掌支付的全新支付功能。腾讯当时对此回应称，刷掌支付仅为微信内部技术预研，未开启测试，目前也无应用计划。
　　向刷掌迈步的不止腾讯。2015年，支付宝在中国国际数码互动娱乐展览会（又名ChinaJoy）上首次展示了掌纹扫描识别技术，用户将掌纹录入手机并绑定支付宝账号后便可以刷掌进入会场和购买商品。今年2月，国家知识产权局公开了一份阿里的发明专利，专利名称为身份识别方法、装置、终端以及存储介质，申请保护一种掌静脉识别的方法和运用这种方法的设备。
　　此外，2018年，北京北科慧识科技股份有限公司（下称北科慧识）与厦门益东智能科技有限公司达成合作，在后者所有的线下无人值守便利商店接入了掌纹掌静脉识别系统用以支付。2021年年底通车的深圳市地铁的科技示范线20号线也采用了刷掌支付的方式。深圳地铁与广州麦仑信息科技有限公司合作，后者为20号线提供了非接触掌静脉识别系统仙人掌。
　　在当下，掌纹和掌静脉识别技术可以作为现有生物特征识别技术方案的有益补充。西安交通大学自动化学院副教授钟德星向21世纪经济报道记者表示。一方面，掌纹、掌静脉同样是生物识别信息，具有和个人高度绑定的特性，精准性可以得到保证；另一方面，这些信息的非接触式采集在技术上更适合现在的社会需求。疫情之下，人们对公共场合的卫生安全十分敏感，指纹识别需要接触传感器，面部识别的准确率又受到口罩佩戴的影响。
　　此前，掌纹识别技术未被大规模推广，既是由于生物识别信息本身难以改变，消费者心理上仍抱有对信息暴露的担忧；同时，也与技术成熟度以及落地成本相关。
　　钟德星解释，从技术角度看，2017年以前，与掌纹识别密切相关的技术问题，如复杂背景下掌纹感兴趣区域提取、特征提取与匹配等，都没有很好的解决方案，达不到大面积落地推广的条件。从成本上看，目前掌纹识别技术专用的零部件设备（如芯片）尚未规模化生产，如果使用通用的设备，成本将会难以控制。但近两三年来技术逐渐成熟，掌纹掌静脉识别的应用案例已经开始在各类科技展会出现，在安防、智能家居领域也已经有了应用。
　　刷掌支付如何成为现实？
　　正如亚马逊推广刷掌支付遭到质疑，对于我国用户而言，使用掌纹、掌静脉这类生物信息识别支付服务的担忧仍是数据安全问题。
　　中国支付清算协会今年4月发布的《2021年移动支付用户问卷调查报告》显示，我国移动支付用户普遍认为，当前移动支付存在生物识别信息的验证流程不严密、数据存储渠道不安全等问题。
　　此前，在2019年德国莱比锡召开的黑客组织ChaosComputerClub年度大会上，来自德国的两位安全研究员就演示了如何利用照片制成手模绕过基于用户静脉的身份验证。
　　吴丹君认为，个人生物识别信息可以单独或与其他信息结合以识别用户个人的身份。虽然掌纹、掌静脉信息相对于脸部特征信息更不容易被采集，但仍然存在被泄露、伪造或滥用的风险。而除保障储存掌纹的数据库不遭受黑客攻击及其他数据泄露外，如何防止掌纹支付服务提供者超出个人同意的范围和权限应用其掌握的大型生物识别信息数据库，也是刷掌支付值得注意的安全问题。
　　目前，我国尚未专门针对掌纹和掌静脉信息的管理规范。然而，去年11月正式施行的《个人信息保护法》对敏感个人信息设专节保护，而根据国家标准《信息安全技术个人信息安全规范》，掌纹、掌静脉信息是个人生物识别信息，正属于敏感信息的范畴。此外，全国信息技术标准化技术委员会生物特征识别分技术委员会官方公众号5月26日发布消息称，掌纹、掌静脉通用规范正在制定中。
　　钟德星表示，掌纹和掌静脉技术在投入实际使用时需做好相应的准备，比如在技术上，需要保障掌纹、掌静脉信息的数据库的存储安全。这有赖于隐私计算、联邦学习和区块链技术的进一步发展。
　　吴丹君则认为，掌纹、掌静脉识别支付服务提供商的责任贯穿支付服务提供的全流程。首先，需要评估提供该服务对于个人信息主体权益的侵害风险，并采取相匹配的安全措施。其次，支付服务提供者需严格遵守《个人信息保护法》等法律规范要求，比如在收集掌纹或掌静脉信息前落实获取个人信息主体单独同意的要求；在存储时，将掌纹、掌静脉信息与个人身份信息分开存储，且原则上只存储摘要信息，及时删除可提取掌纹、掌静脉信息的原始图像。再次，服务提供者还需考虑如何应对用户退出服务，当用户不再同意使用掌纹或掌静脉信息时，其有权要求删除相应信息。最后，应制定应急预案，在发生安全事件时，及时采取应对措施降低损失，并依法通知个人信息主体和有关监管部门。
　　随着亚马逊和国内微信刷掌支付方案的推广提上日程，相信掌纹识别技术的普及应用也会呈现后发动力，很快会被公众熟悉。钟德星说。
　　END
　　本期编辑刘雪莹实习生吴梓楹