原理型揭秘：你手機上的指紋傳感器可能并不安全

自iPhone5s發布之后，指紋識別技術開始被人們所關注，那時這項科技給人的感覺是十分高大上，我們只需要用自己的手指便可以設定專屬于自己的指紋密碼。這種科技迅速走俏，新品發布會上無論是高端機還是入門機，你隨處可見廠商拿著指紋技術當作手機的最大賣點來說事兒。一時間，指紋識別也逐漸成為了智能手機的標配功能。

然而，指紋識別也帶來了巨大的安全漏洞。對指紋識別安全性提出疑問的是紐約大學和密歇根州立大學的研究人員，他們開發的“萬能指紋”解鎖成功率高達65%。利用“萬能指紋”，研究人員還可以輕松解鎖，進入應用完成支付。研究人員并未在真實手機中測試這種攻擊方式。另一些信息安全專家表示，在實際情況下，匹配率可能會大幅降低。不過，這項研究結果仍給智能手機指紋識別的可靠性提出了疑問。

手機上的指紋識別傳感器好騙也是有原因的，研究人員認為此類傳感器面積較小，它們只能掃描人手指的一部分指紋，但為了解鎖準確率，手機需要存儲手指多個部分的指紋。此外，許多用戶為了解鎖方便存了多個手指的指紋。這樣一來，這些碎片化指紋出現匹配錯誤的幾率就大大提高了。加拿大卡爾頓大學系統和計算機工程教授安迪·阿德勒（Andy Adler）表示：“情況并非如此令人擔憂，但確實很不妙。

如果我想做的是拿你的手機，使用你的 Apple Pay 去買東西，如果我能破解10個手機中的1個，那么情況就很嚴重。”完整的人類指紋很難偽造，但手機上的指紋傳感器尺寸很小，只會讀取部分指紋。當用戶在 iPhone 或 Android 手機上啟用指紋識別，那么手機通常會獲取 8 到 10 幅指紋圖像，從而更方便地進行匹配。此外，許多用戶還會記錄不止一個指紋，例如，每只手的拇指和食指。研究的作者之一的紐約大學計算機科學和工程教授Nasir Memon表示：“這就像是你使用 30 個密碼，而攻擊者只需匹配其中一個即可。”Memon表示，這項研究表明，如果可以利用“主指紋”制造“魔術手套”，那么只需5次嘗試就可以解鎖40%至50%的iPhone，而iPhone 此時仍不會要求用戶輸入密碼。

蘋果回應稱，不正確指紋與 iPhone 指紋系統的匹配成功率只有1/50000。蘋果發言人Ryan James表示，在開發Touch ID已經對各種攻擊進行了測試，并且還引入了其他安全功能，以防止發生虛假的匹配。谷歌則拒絕發表評論。實際風險難以量化。蘋果和谷歌對于指紋識別技術的許多細節嚴格保密了，數十家制作Android手機的公司可以通過降低安全級別的方式適應Google的標準設計。

美國聯邦政府 Odin計劃負責人Chris Boehnen認為，該團隊的發現非常有意義。該項目的研究主要集中于如何應對針對生物識別技術的攻擊。他表示：“令人不安的是，對于隨機找到的一部手機，展開攻擊的門檻非常低。”不過，一些廠商已經意識到了問題的嚴重性，虹膜識別開始成為新的手機保護神，未來相信這項技術也會逐漸在智能手機上得到普及。（科技新發現康斯坦丁/文）