从当前刷脸支付的发展来看，基于人脸识别的线下支付终端主要面临三个方面的安全风险：                                                                                                    

一是针对人脸识别活体检测算法和相关流程，市面上现有支付终端不足以保护算法的安全执行及结果完整性；                                                     

二是用户人脸图像数据在支付终端普通系统环境中可能被泄露、篡改或伪造；                                                                                                  

三是由于人脸识别技术具有一定的不确定性，简单地将人脸特征作为唯一交易验证因素，难以满足人脸支付交易的安全要求。                               

方案借助现有支付终端主控芯片上集成的TEE能力，实现了保护人脸识别活体检测算法的代码安全执行和相关数据信息（如活体检测输入数据和输出结果）免

受恶意攻击者的篡改、窃取或破坏，并能实现对其完整性、认证性和机密性的保护，能够有效预防攻击者通过干扰终端活体检测算法及结果进而实施的人脸假

体攻击。                                                                                                                                                                                                                

方案利用具有高安全等级的SE为人脸支付终端提供核心密钥存储与密码学算法服务。对于支付终端向后台验证服务器发送的活体检测结果和人脸图像等敏感信

息，方案将其在SE中进行一系列基于密码算法的安全处理，再发送至服务器，这一过程能够有效保障这些敏感信息的完整性、机密性和认证性，防止敏感信息

在终端外部传输过程中被窃取、篡改或伪造。                                                                                                                                                             

方案添加配置了金融级专用密码键盘及执行流程，为终端提供了人脸交易口令输入功能。这一功能使得终端具备了除人脸特征外另一可用于用户身份认证的关

键因素，这也是满足当前相关监管部门要求的重要内容。密码键盘中内置安全芯片，能够安全的将用户输入的口令加密后传至后台服务器，极大减少了口令泄

露的风险。                                                                                                                                                                                                             

银联刷脸支付过闸场景

方案在设计上保证人脸识别摄像头直连TEE，生成的人脸图像原始数据将直接传入TEE中进行处理，不再将图像以明文或不安全的形式暴漏在易受攻击的终端环

境中，从图像的产生、处理和传输等各阶段保障用户人脸图像数据的安全性，减少用户隐私泄露的风险。                                                                           

方案中设计了支付终端与可信服务管理平台（TSM）及可信认证管理平台（TAM）的交互方法和协议内容，配合这些成熟的机制，方案具有高效的安全可扩展

性，能够有效实现支付终端的密钥生命周期管理与认证、TEE与可信应用（活体检测算法）的生命周期管理与认证，使支付终端快速融入现有的可信管理与认证

系统环境，从而进一步提升人脸识别支付交易底层的安全管理能力。                                                                                                                               

除了上述5个安全特点外，基于TEE和SE的人脸识别支付终端安全解决方案还具有可灵活适配不同类型人脸摄像头、可集成非接与扫码支付模块、适用场景丰富

等优点。采用该方案实现的人脸支付终端既可以部署于普通商户，单独面向消费者通过人脸识别完成商品或服务的支付交易，也可以搭配现有支付MIS（管理信

息系统）收银机具、自助贩售机具和POS终端，快速改造原有设备使其具备安全的人脸识别支付功能。