银行的人脸比对系统是如何确保自身安全的？不怕在外网被黑么？

[taobibi]

周边的银行办业务，两年前就有人脸比对了。前几天去办业务，感觉现在机器都升级了，比对速度快了特别多，基本都是刷完身份证秒比对完成。但是很好奇他们这些终端机连着互联网比对照片和身份信息不怕被黑么？银行是如何保障这些互联网终端安全的？

[edgnoz]

不一定连外网了啊。
网银才是真正连外网的，都没被黑。
很多公司都有内外网隔离，银行的安全级别高多了

[xenme]

银行是专网，就像你互联网扫不出取款机一样，完全独立隔离的

[justfindu]

他们没有互联网, 银行都没有外网的. 包括楼上办公室, 全都是隔离的专网对接.

[d5]

分为了外网（互联网）、办公网（ OA 网）、生产网（金融网）。都是物理隔离的，而且接入层都根据 802.1x 协议配了内网准入控制系统。网间数据交换有专门的软件和方法。

[Lefi]

金融、公安都是专线

[d5]

这边的人脸识别都是海康的设备，部署在金融网的。打印机、人脸识别设备、led 屏、食堂饭卡机等哑终端都必须做白名单处理。同时，会根据 mac + ip + 接入的某台交换机的某个口 等因子算出一个唯一识别码，防止伪造身份入网。

[x86]

公安和国家就是第一道防火墙...

[zhensjoke]

@Lefi 外网接 VPN 的吧。

[taobibi]

@xenme 我不太明白的地方是银行的专网如何比对人脸和身份信息，因为比对需要交互过程，而且银行终端机还有他们自己的业务，如果一条线接公安专网，另一个接金融专网，那两个网就不算隔离了吧？难道银行是把公安的人脸比对库托到金融网里比对的？

[Raynard]

网闸，内外物理隔离

[taobibi]

@Lefi 一个终端机分别接着两个专线上？

[taobibi]

@Raynard 网闸只能单向传输，比如比对张三的身份信息，交互的时候，肯定要把张三的信息和照片先上传吧？然后返回比对结果？网闸约等于（虽然我知道原理完全不同，是数据摆渡）只能下载，那么他上传是如何完成的？

[abcbuzhiming]

你不要以为那是互联网，一般来说都是专网，和互联网不联通，少有的联通的都是白名单，你压根连不进去

@taobibi 终端连银行自己的专网，银行专网内部有专线连到公安的系统里，这个过程可以用专线，也可以用白名单。一般来说白名单已经很强了

[shakoon]

银行身份证核查是调用人行的联网核查系统（人行的数据最终来源是公安），是走的专线，和互联网没有关系。
这条专线是接入银行生产机房的，有专门的前置系统进行数据转发，银行的业务系统通过调用前置系统的接口进行身份信息查询。这个过程要经过若干防火墙，被黑的概率极低。

[Raynard]

@taobibi http://www.topsec.com.cn/show-model-197.html

[edgnoz]

@taobibi 人脸数据来自公安，这些都是专网，有啥安全问题

[taobibi]

@shakoon 原来是这样。大概明白了
比如 A 营业网点要比对张三，那么 A 营业网点时间是专网到人行去申请比对，人行再通过专线到公安网把张三的信息下载下来，然后比对是否是张三，再把比对结果告诉 A 营业网点。自己 OUT 了，我一直以为银行终端人脸比对是对接的 BAT 的服务呢