Palm Vein Reconstruction From Electromagnetic Side-Channel Emissions: Public Perceptions of Privacy Risks

想象一下，你的身体里握着一套永不磨损、永不丢失、也无法遗忘的钥匙。这就是生物识别技术的承诺：系统利用指纹或手掌内静脉纹路等独特的生理特征来验证你的身份。与可以被黑客窃取后进行更改的密码不同，你身体的特征是永久性的。如果数字锁被撬开，你可以简单地更改代码；但如果生物识别系统遭到破坏，你无法更换你的手或脸。这种本质的区别使得这些系统的安全性成为一个关乎深刻个人后果的问题。虽然工程师们长期致力于让这些传感器更难被欺骗，但一项新的研究领域发现，设备本身可能会以意想不到的方式泄露信息。就像广播电台发射可以被接收器接收的信号一样，一些生物识别扫描仪会发出微弱的电磁波，在实验室环境下，理论上可以用这些波重建它们本应读取的静脉纹路。

一个研究小组着手了解的不是这种潜在泄露的机械原理，而是如果这种风险被揭露，公众会如何反应。他们并没有制造一个窃取数据的设备，也没有测试任何特定的扫描仪。相反，他们提出了一个不同的问题：公众目前对于隐私、信任和控制感的态度如何？为了找出答案，他们查看了来自二十七个欧洲国家的大规模调查数据，这些数据收集于2al010年。尽管这套数据集较旧，但它清晰地捕捉到了在当前人工智能和社交媒体主导时代到来之前，人们对数字生活的感受。研究人员将“掌静脉泄露”这一概念作为一个测试场景，用来对照这些现有的态度，询问如果人们得知自己的身体数据可以通过看不见的信号被窃取，他们是否会感到安全、有控制感或感到被背叛。

研究首先观察了人们对在网上被监视的担忧程度。结果显示公众意见分歧。百分之四十的受访者表示担心自己的互联网行为正在被记录，而其余的人则表示不太困扰或并不在意。这种担忧并非均匀分布；年轻人以及三十多岁和四十多岁的人比五十五岁以上的人更容易感到担忧。然而，仅仅有担忧并不能说明全部情况。研究人员还调查了人们是否觉得有能力阻止这种记录，或者在信息泄露后管理这些信息。在那些曾在社交或分享网站上分享过个人细节的人中，只有百分之二十六的人觉得自己对该信息拥有完全的控制权。很大一部分人（百分之二十）觉得他们完全没有控制权。这种“感到担忧却感到无力”之间的差距表明，如果出现新的威胁，人们可能会感到焦虑且无助，因为他们无法通过简单的设置更改来解决问题。

信任在其中也起到了至关重要的作用。当被问及信任谁来保护其个人信息时，人们对不同类型的机构划出了清晰的界限。医疗和卫生机构最受信任，百分之七十八的受访者对其保护数据的能力感到放心。银行和公共机构也享有很高的信任度。与之形成鲜明对比的是，只有百分之二十二的人在调查中信任互联网公司。这一发现对于理解生物识别风险将如何被对待至关重要。如果一家医院的扫描仪被发现存在缺陷，考虑到公众对医疗护理的高度信任，人们可能会持有某种程度的理解或耐心。但如果是一家科技公司或在线平台面临同样的问题，反应可能会是深度的怀疑和愤怒，因为公众已经怀疑这些实体守护个人秘密的能力。

研究人员还观察了人们在试图保护自己时实际是如何行动的。大约一半使用社交网站的人曾尝试更改默认的隐私设置，这显示了采取行动的意愿。然而，人们采取的具体行动大多集中在看得见、摸得着的事物上，比如删除 Cookie 或检查网站的安全标识。这些习惯对于管理网络浏览器很有用，但对于从硬件中泄露的隐藏信号来说却是徒劳的。研究发现，人们觉得他们对自己的在线档案有一定的控制权，但他们并不具备检查读取其身体的机器的工具。这造成了一种危险的错位：公众被要求管理那些远超其影响能力的风险。

或许最能说明问题的发现是人们如何看待与身体相关的数据保护。当被问及基因信息（如 DNA）是否应该获得特殊保护时，压倒性的百分之八十八的人表示赞成。这表明人们直觉地理解，与身体相关的资料与用户名或信用卡号是不同的。它被视为一种值得额外关注的事物。研究人员指出，虽然掌静脉并非遗传密码，但公众将身体相关数据视为高度敏感信息的直觉很可能会延伸到这类数据上。如果一家公司试图将掌静脉泄露描述为一个微小的技术故障，公众很可能会拒绝这种解释，认为这种违规是对极其私密事物的侵犯。

研究得出结论，关于生物识别泄露的技术披露不会进入一个中立的环境。它会进入一个大部分公众已经在担心被监视、对互联网公司的信任度较低、且感到缺乏阻止数据收集能力的社会。研究人员认为，告诉人们“要更加小心”或“更改设置”是行不通的，因为问题在于机器的设计和组织的政策，而不是用户的习惯。他们建议，解决方案必须来自机构本身。公司和政府必须承担起保障硬件安全的全部责任，对风险保持透明，并为那些不想使用生物识别系统的人提供真正的替代方案。公众不需要一份关于如何阻止信号的手册；他们需要的是一个保证——即信号根本不会被发送出来。

最后，这项研究强调了安全性不仅仅是工程师通过更好的代码来解决的谜题。它是一种依赖于信任和控制感的社会契约。当一个系统使用你身体的一部分来识别你时，其赌注比任何其他类型的密码都要高。如果那个系统失效了，你无法“重置”你的手。研究表明，为了让这些技术被接受，构建和运行这些技术的人必须通过与人们对自身物理身份的高价值相匹配的行为，来赢得公众的信任。如果没有这种信任，即使是最安全的科技，在服务于人们时也会让人感到一种风险。