指紋識(shí)別也玩破解？萬能指紋背后的秘密

技術(shù)宅

現(xiàn)在指紋驗(yàn)證已經(jīng)成為各大主流手機(jī)的標(biāo)配功能，很多朋友無論是手機(jī)登錄還是在線支付都在使用指紋驗(yàn)證，指紋驗(yàn)證也是各大廠商標(biāo)榜的極為安全的生物驗(yàn)證手段之一（圖1）。不過最近研究人員發(fā)現(xiàn)，他們開發(fā)了一種名為“萬能指紋”的模擬人類指紋，可以輕松騙過指紋傳感器，實(shí)現(xiàn)萬能指紋解鎖。

指紋驗(yàn)證 背后你不知道的秘密

大家知道，指紋驗(yàn)證的使用流程是“采集指紋→手機(jī)存儲(chǔ)指紋數(shù)據(jù)→用戶再次按壓指紋→比對(duì)指紋數(shù)據(jù)→完成驗(yàn)證”。以目前主流的電容式指紋識(shí)別技術(shù)為例，它是通過給手指皮膚帶電之后，檢測出指紋的紋路（指紋的谷和脊的距離差導(dǎo)致陣列中的不同電容上出現(xiàn)差異），然后通過一定的算法，這樣就可以獲得指紋的采樣數(shù)據(jù)。而根據(jù)科學(xué)家的統(tǒng)計(jì)，目前世界上指紋數(shù)據(jù)完全相同的概率是10億分之一，也就是在現(xiàn)實(shí)生活中我們幾乎找不到指紋數(shù)據(jù)完全相同的兩個(gè)人。因此從理論上來說，指紋驗(yàn)證幾乎是不可破解的。那么為什么科研人員開發(fā)的萬能指紋可以輕松突破這個(gè)看似不可能完成的任務(wù)？

問題的硬傷主要出現(xiàn)在手機(jī)自帶的傳感器上。大家知道指紋數(shù)據(jù)的采集主要是借助傳感器實(shí)現(xiàn)的，由于現(xiàn)在的手機(jī)設(shè)計(jì)得非常緊湊，內(nèi)部空間也非常小，因此它的傳感器也較為小巧。以 iPhone 7 Plus指紋識(shí)別為例，它的傳感器和Home鍵整合在一起，通過拆解圖片可以看到，即使算上整個(gè)Home鍵，傳感器體積也是非常小巧（圖2）。

由于傳感器很小巧，這樣它在獲取用戶指紋數(shù)據(jù)的時(shí)候就不可避免地?zé)o法采集到用戶完整的指紋數(shù)據(jù)。上述基本無法找到完全相同的指紋數(shù)據(jù)的前提是用戶完整的指紋數(shù)據(jù)，而手機(jī)傳感器的限制正是這類“萬能指紋”模擬器可以突破指紋驗(yàn)證的關(guān)鍵原因。

萬能指紋 它是這樣解鎖的

如上所述，由于手機(jī)傳感器只能采集到用戶的部分指紋數(shù)據(jù)，這樣就為看似安全的指紋識(shí)別帶來安全隱患。

首先受制于傳感器面積的限制，同時(shí)為了提升識(shí)別時(shí)的準(zhǔn)確率，在使用指紋識(shí)別登錄過程中一般手機(jī)會(huì)要求多次輸入不同角度的指紋片段資料，以便判斷使用者在不同角度時(shí)指紋識(shí)別是否吻合。指紋識(shí)別引擎是用復(fù)雜的圖像比對(duì)算法進(jìn)行識(shí)別，它并不是比對(duì)完整的指紋表面細(xì)節(jié)，而是以尋找比對(duì)相同指紋特征，借此判斷使用者的身份是否正確。

其次為了方便使用指紋識(shí)別，很多用戶會(huì)主動(dòng)設(shè)置多個(gè)指紋數(shù)據(jù)，比如iPhone可以保存5個(gè)指紋數(shù)據(jù)（圖3）。一方面是手機(jī)指紋傳感器只能采集到用戶的部分指紋數(shù)據(jù)，另一方面則是可以被許可的指紋數(shù)據(jù)有多個(gè)，這樣不可避免的這些碎片化指紋出現(xiàn)匹配錯(cuò)誤的幾率就大大提高了。萬能指紋正是利用這種匹配錯(cuò)誤的幾率來實(shí)現(xiàn)指紋驗(yàn)證的破解。

如上所述，手機(jī)指紋識(shí)別主要是通過對(duì)相同指紋特征進(jìn)行分析識(shí)別，因此一些研究者通過對(duì)指紋識(shí)別技術(shù)的學(xué)習(xí)（借助電腦強(qiáng)大的計(jì)算能力和人工智能學(xué)習(xí)），并通過多數(shù)指紋資料比對(duì)就可以找出指紋的相同特征，然后制作一組具有這種特征的萬能指紋。這些指紋由于有著和指紋識(shí)別的用戶指紋高度相似的特征，從而很容易騙過手機(jī)指紋識(shí)別引擎實(shí)現(xiàn)解鎖。由于手機(jī)在多次識(shí)別指紋不成功后才需要輸入密碼，研究人員使用五個(gè)指頭套上“萬能指紋”的特殊手套，通過這種手套，在使用5個(gè)萬能指紋進(jìn)行測試后，據(jù)說幾乎可以解鎖多達(dá)40%至50%比例的iPhone（圖4）！

當(dāng)然廠商們也意識(shí)到目前手機(jī)指紋識(shí)別技術(shù)不足，因此很多廠商也正在引入更為先進(jìn)的手機(jī)指紋識(shí)別技術(shù)。比如超聲波指紋識(shí)別技術(shù)、日立推出了全新指紋靜脈傳感器VeinID，公司宣稱這套系統(tǒng)的出錯(cuò)率在0.0001%左右。這些新型、更為先進(jìn)的指紋識(shí)別技術(shù)可以讓指紋驗(yàn)證有更強(qiáng)的安全性（圖5）。

手機(jī)安全 任重道遠(yuǎn)

加密與反加密始終是一對(duì)同步發(fā)展的競爭對(duì)手，每當(dāng)廠商研發(fā)出一款新的加密驗(yàn)證技術(shù)，市場上就會(huì)同步出現(xiàn)相應(yīng)的破解技術(shù)。比如之前曝光的人臉識(shí)別，以及現(xiàn)在研發(fā)的萬能指紋，讓這些看似安全的生物驗(yàn)證技術(shù)受到前所未有的挑戰(zhàn)。

那么作為用戶應(yīng)該怎樣更好地保護(hù)自己手機(jī)的安全？一方面，作為終端用戶，我們不應(yīng)該迷信單一的技術(shù)保護(hù)手段，對(duì)于涉及到個(gè)人隱私、財(cái)產(chǎn)的重要操作，盡量增加多種驗(yàn)證手段。比如對(duì)于在線支付，在開啟指紋驗(yàn)證的同時(shí)，建議再加上短信驗(yàn)證保護(hù)。另一方面，作為手機(jī)廠商，我們希望他們能夠推出更加安全的身份驗(yàn)證技術(shù)，比如三星已經(jīng)認(rèn)為指紋識(shí)別并非絕對(duì)安全，因此在Galaxy Note 7到Galaxy S8均開始導(dǎo)入虹膜識(shí)別系統(tǒng)，并且讓使用者能以此配合移動(dòng)支付使用，從而可以更好地保護(hù)手機(jī)的安全（圖6）。