基于离线人脸识别的PC身份认证<br/>——从静态到活体

基于离线人脸识别的PC身份认证
——从静态到活体

2023-09-23刘廷峰李江鑫朱源

科技资讯 2023年18期

刘廷峰李江鑫朱源

(四川中电启明星信息技术有限公司四川成都 610000)

随着企业信息化程度越来越高，PC终端成为工作场景中最不可或缺的办公工具，尤其大型企业业务规模庞大，PC终端系统类型繁多，对于系统使用者来说，登录不同的系统办公是每天重复多次的日常工作。随着国家对于大型企业的信息化安全有越来越严格的要求，员工在多系统的账户密码管理和使用上，受到越来越大的挑战，存在的安全威胁和隐患也越来越大。基于企业IAM 的统一认证登录，能够通过统一的规则保证员工的账号密码管理符合信息安全的标准，但是，通过密码认证的方式，在日常工作的使用中，也存在着明显的短板。员工必须承担保护密码的责任，一旦密码泄漏，对企业应用的业务和信誉都将造成巨大打击。然而实际工作场景中，经常有特殊原因，员工为了工作方便，私下分享了账号密码。特别是在多员工共享办公电脑场景下，员工都有共享账号密码方便工作的习惯。除此之外，因为PC 上操作系统本地账号与企业IAM 账号分离管理，也给员工在共享PC 的办公场景上，带来了额外的信息安全风险[1]。

因此，企业需要寻求新的技术解决方案：通过降低账号密码的使用频率来减少密码泄漏和故意分享的风险；采用用户体验更好、安全性更高的认证方式来提高系统认证的安全性；消除办公共享PC的操作系统账号与企业应用系统账号之间的技术鸿沟。

基于以上问题，本文提出了一种在PC终端上通过离线人脸识别方式直接登录业务系统的关键技术。通过采用认证方式，降低了频繁使用账号密码的泄漏风险，通过基于人脸的生物识别方式，改进了业务系统的安全性和用户体验感。特别是在多员工共用PC上，通过将操作系统登录与业务人脸登录流程打通，实现了员工信息安全管控和用户体验的和谐统一[2]。

1 传统登录方式分析

目前比较传统的登录方式有账号密码登录方式和App扫描二维码登录这两种方式。

1.1 账号密码登录方式

账号密码登录方式是最传统的系统登录方式。员工需要对密码的保密负责，而且根据信息安全要求，密码在长度、格式和更新周期上都有规定，这都为账号密码的使用埋下了安全隐患。特别是在员工共用PC 的办公场景下，员工为了工作方便，私下分享账号密码的行为屡见不鲜。

1.2 App扫描二维码登录方式

App扫描二维码登录是目前比较流行的一种代替账号密码登录的免密登录方式。

1.2.1 App扫描二维码登录优点

（1）用户体验无须教育成本。很多互联网应用都把二维码扫描登录PC端应用作为首选的登录方式；无密码登录方式，比账户密码登录方式更友好。（2）安全性更高。通过手机扫描二维码登录，类似双因子校验，通过登录PC和使用者手机的双重认证，提高了认证的安全性。

1.2.2 App扫描二维码登录的缺点

（1）依赖手机App 应用。必须依靠手机中的App扫码，在一些特殊场景下，如果网络受限，或者使用者没有办法使用手机就无法使用此种方式认证登录。（2）登录过程繁琐。相比其他登录方式，扫码登录的方式多出了手机上打开App 扫描二维码的动作，登录过程花费时间更长。另外，在账号密码泄露的条件下，扫码认证也并不安全。获取别人账号密码的用户，完全可以在手机App上冒用别人的账号。

1.3 问题分析

无论传统的账号密码登录方式，还是扫码登录的无密码登录方式，都无法在认证安全和用户认证体验上，达到一个很好的平衡。特别是在多人共享PC登录的场景下，也无法解决潜在的安全风险，更无法很好地解决操作系统与业务系统的双重认证登录的技术屏障。

1.4 新方案技术分析

本文提出的技术方案是通过在PC 操作系统上实现离线人脸认证，将离线人脸认证方式作为登录业务系统的认证方式之一。将离线人脸服务集成为Windows操作系统默认登录方式，解决PC操作系统与业务系统之间的技术鸿沟[3]。

2 关键技术点

2.1 离线人脸认证

在企业内部应用人脸认证技术，虽然不像金融行业，存在来自外部大量的呈现式甚至注入式攻击的风险，但是也存在企业内办公场景的特点。因此，研发了离线人脸认证技术[4]。

离线人脸认证是不依赖中心化的人脸认证服务，降低服务可靠性和安全性的挑战[5]。

在端点进行基于人脸特征值数据的人脸识别认证，规避了人脸图像传输造成的隐私安全风险，也能符合设备先登录后联网的网络安全要求，保证在可靠性作业环境中的高可用性。

由于离线人脸识别计算资源有限，离线人脸认证面向双目和3D结构光等图像采集设备优化，通过软硬一体的方式提升对人脸攻击的防护水平。

2.2 活体检测

虽然企业内的办公场景不存在大量的人脸攻击的机会，但是，通过引入用户体验好的人脸活体验证方式，可以提高员工作弊的成本，提高人脸比对的正向通过率。

参考互联网金融在人脸识别认证方面的实践经验，眨眼活体是普遍采用的最高效的活体认证方式之一。例如：支付宝和腾讯都在自己的人脸识别能力上，首选眨眼活体。在PC端的人脸识别组件中，引入了眨眼活体的识别模型。让员工通过简单地眨眼就可以迅速完成人脸比对，具体情况见图1。

图1 活体检测图

2.3 多人脸选择比对

多人脸选择比对：企业办公场景，PC 前经常会同时出现多名员工。采用精准的多人脸选择技术，能够提高人脸认证技术的精准度，提供更好的用户体验[6]。

在多人出现在摄像头的场合下，通过人脸识别的大小模型和远近模型，以及综合眨眼活体的认证结果，对多个人脸进行智能的选择，将多人脸的识别准确率达到99.9%[7]，具体情况如图2所示。

图2 多人脸选择图

2.4 实现OIDC认证协议与业务服务集成

OIDC作为OAuth2.0的扩展，实现了认证能力提供者OP与认证使用者RP之间的身份认证协议。OIDC已经在互联网和企业应用内被大量采用，如图3所示。

图3 OIDC认证流程图

PC离线刷脸认证服务与传统的认证服务的区别，就是由PC刷脸客户端完成刷脸的认证，由服务端鉴别结果，发行token，如图4所示。

图4 PC刷脸登录流程图

所以，PC 连线刷脸客户端与服务器共同组成了OIDC的OP，对业务系统提供认证服务，对既有业务系统认证能力集成非常友好[8]。

2.5 注册离线人脸为Windows登录默认认证方式

Windows系统的账户管理和认证方式是独立在业务系统之外的一套体系。通过将PC离线刷脸客户端注册为Windows 平台的CredentialProvider，将WindowsOS的认证体系和业务系统统一。在用户首次绑定自己在PC上时，首先要验证Windows账户密码。验证通过后，注册离线人脸认证，将业务账号、Windows账号和人脸绑定，具体见图5。