国产手机指纹识别技术形同虚设，安全瓶颈如何突破？

国产手机指纹锁形同虚设，安全瓶颈如何突破？（图1）

　　如果要统计过去的几年，哪一项技术在手机中得到最大程度上的普及，我相信这个答案一定非指纹识别技术莫属。随着指纹识别技术技术越来越成熟，几乎所有的国内外智能手机都采用了这一项技术。在个人信息越来越重要的今天，指纹识别技术的使用真的做到安全了吗？

　　上月初，有媒体报道称某国产品牌手机因Home按键摔裂，出现了陌生指纹可解锁的情况。事实上，手机指纹识别技术的安全性问题，是一个老生常谈的话题，早在几年前，便有人仅仅凭一张贴膜，就轻松让指纹锁形同虚设。有业内专业人士分析认为，这一重大安全漏洞不仅仅是个别芯片厂商的规划漏洞，而可能是手机指纹识别技术的行业性问题，出现问题的原因是手机中指纹芯片算法有漏洞。

细思极恐，一张胶带破 解市面主流手机指纹识别技术

　　近日，一段视频引发了智能手机用户一片哗然：操作人员在某个知名品牌国产手机中录入一枚指纹后，在后置指纹解锁处，贴上事先准备好的“膜”，在用已录入指纹的手指解锁几次后，其他未录入指纹的手指都可以实现解锁，即运用支付宝、微信指纹支付也没有任何障碍。这张膜是什么特殊的材料吗？不，它只是普通胶带，并无特别之处。当然必须要按照特定的操作步骤之后才可以。

　　不仅如此，现在市面上在售的品牌手机指纹锁，安全隐忧还存在很多。早在2015年，深圳指芯智能董事长——易海平，便在微博中公开指出，国产手机指纹锁算法现在存在严重漏洞，他指出：现行指纹手机面临8种方式攻击：

国产手机指纹锁形同虚设，安全瓶颈如何突破？（图2）

　　1. 假指纹攻击，比如指纹膜

　　2. 图像重放攻击，采用甲指纹时，把乙（已通过验证）的图像传递给特征提取器

　　3. 特征重放攻击，相似图像重放

　　4. 匹配器攻击，使之不能正确计算比对结果，甚至按照攻击者的要求产生比对结果

　　5. 模板库攻击，即所谓“脱库”攻击，攻击者批量窃取库内用户的指纹特征模板

　　6. 信道攻击，截获或重放指纹特征模板

　　7. 决策攻击，指纹识别技术乃至所有验证识别技术最终都需要给依赖方一个验证结果，便于其作出安全决策，即是否接受当前用户并提供相应服务，篡改或重放验证结果构成决策攻击。

深度思考，国产手机为何遭遇安全瓶颈？

　　为什么如此简单的操作就能pojie手机安全最重要的防线？手机行业的指纹芯片普遍使用的是全图像比对算法，图像识别算法的缺陷在于算法“只识不别”，问题出在判断这一环，不转换算法路线就没法修复这一漏洞，这是图像算法的天然缺陷。除此之外，当前的手机指纹锁还存在着诸多其它问题：

　　一、算法弱，众多国内外手机品牌现在所采用的指纹识别技术技术都是基于指纹图片匹配计算方式，并不是真正搞安全的特征点算法技术，很多SENSOR公司虽然在指纹传感器有多年的沉淀，但在算法上一直都是购买第三方小型图片匹配软件。图片匹配软件的相似度，小型图片匹配软件读出来的实际上的点数只有3-5%，不像特征点算法是高精度的，国际标准8-10%，国家警用标准是13-15%。

　　二、体验差，由于算法受性，造成多数手机登记指纹时过于繁琐，体验极差；指纹图片匹配软件特征，造成只有在指纹SENSOR相对固定的位置识别效能才好，在边角按压体验糟糕；依然在干湿手指和假性指纹上依然存在诸多问题。

　　三、安全性不够，苹果/三星及国产手机指纹部分一直宣称TrustZone技术，其实该技术是实现指纹信息的储存和处理需要SENSOR通过串行外设接口总线即SPI通过处理器AP连接，然后再连接TrustZone的虚拟内存部分进行处理，换句话说指纹SENSOR的成像数据需要AP中转，这就会带来安全隐忧，恶意程序是可以截获指纹SENSOR的数据，就算数据是通过加密处理，也是一种隐忧的存在。但从根本上说TrustZone还是伪硬件技术，依旧是可以pojie的。

从马云刷脸支付，折射生物识别技术隐忧

　　2015年，马云曾在德国秀“刷脸支付”后各种生物识别技术在手机上的使用得到了爆炒；但从现在的智能手机技术水平上看，都存在着很大的安全隐忧硬伤，只搞定了生物识别的认证，并没有搞定生物特征的安全问题。

国产手机指纹锁形同虚设，安全瓶颈如何突破？（图3）

　　首先，马云首秀实际上用的是1：1的人脸识别技术方式，只是本机储存与比对，与支付宝账号进行捆绑，从而打开相关使用，如果把“刷脸”作为唯一的验证手段，那必然是1：N的集中比对，当N很大时（银行有上亿用户），并发和搜索将是N^2次运算，即使计算能力超强，可以实现处理，成本将是巨大；再说“误识率”，即使达到千万分之一的误识率，对上亿用户数据库而言，每次识别也几乎必然出错！搞定的办法是增加某种检索，比如输入手机号或者账号后在刷脸，把1：N比对变成1：1比对，可以做到安全、准确。但是这样一来输入繁琐，其方便性尽失。当然这只是搞定了验证，并没有安全。

　　其次，现在绝大多数手机企业采用的是指纹图片匹配计算方式，大多数都是采用SENSOR企业提供的小型软件，这种计算机制存在极大安全隐忧，只能使用在相对封闭安全的局域网内，而不能在公共网络如互联网运用，更不能完成支付等关键操作！其安全隐忧主要表现在：无论是比对模板还是现场特征在采集、传输/储存过程中都有可能被截获、窃取及重放；更为严重的是生物特征是不可撤销的凭证，一旦泄露，终身受到影响。建议手机企业选择高安全特征点的指纹算法，从指纹体验上搞定了极致，从安全性上做到了不可还原，不可逆转。

　　最后，为了规避上述风险，各种终端验证的“伪生物识别”方案应运而生，比如Fido的UAF，苹果、三星、华为及国产手机企业都采用的Trustzone技术等；其生物识别仅仅用来开启本地终端设备或安全机制来展开之后的验证，依赖方并没有通过生物识别来确定本人，没有达到生物识别可以“人证合一”验证的要求。

　　总之，现有生物识别技术及搞定方案不够以保证在公共网络及互联网上的运用安全。安全的生物识别机制及其模板至少具有以下特点：可撤销（模板或证书可随机多次生成，无关联），不可逆（模板不含可逆推的生物特征值），非对称（依赖方可发起挑战），对传输、储存没有安全要求（如果有，就说明不安全！），希望手机企业建立生物特征芯片独立安全，做到更加专属，更加独立，更加安全。