原理型揭秘：你手机上的指纹传感器可能并不安全

自iPhone5s发布之后，指纹识别技术开始被人们所关注，那时这项科技给人的感觉是十分高大上，我们只需要用自己的手指便可以设定专属于自己的指纹密码。这种科技迅速走俏，新品发布会上无论是高端机还是入门机，你随处可见厂商拿着指纹技术当作手机的最大卖点来说事儿。一时间，指纹识别也逐渐成为了智能手机的标配功能。

然而，指纹识别也带来了巨大的安全漏洞。对指纹识别安全性提出疑问的是纽约大学和密歇根州立大学的研究人员，他们开发的“万能指纹”解锁成功率高达65%。利用“万能指纹”，研究人员还可以轻松解锁，进入应用完成支付。研究人员并未在真实手机中测试这种攻击方式。另一些信息安全专家表示，在实际情况下，匹配率可能会大幅降低。不过，这项研究结果仍给智能手机指纹识别的可靠性提出了疑问。

手机上的指纹识别传感器好骗也是有原因的，研究人员认为此类传感器面积较小，它们只能扫描人手指的一部分指纹，但为了解锁准确率，手机需要存储手指多个部分的指纹。此外，许多用户为了解锁方便存了多个手指的指纹。这样一来，这些碎片化指纹出现匹配错误的几率就大大提高了。加拿大卡尔顿大学系统和计算机工程教授安迪·阿德勒（Andy Adler）表示：“情况并非如此令人担忧，但确实很不妙。

如果我想做的是拿你的手机，使用你的 Apple Pay 去买东西，如果我能破解10个手机中的1个，那么情况就很严重。”完整的人类指纹很难伪造，但手机上的指纹传感器尺寸很小，只会读取部分指纹。当用户在 iPhone 或 Android 手机上启用指纹识别，那么手机通常会获取 8 到 10 幅指纹图像，从而更方便地进行匹配。此外，许多用户还会记录不止一个指纹，例如，每只手的拇指和食指。研究的作者之一的纽约大学计算机科学和工程教授Nasir Memon表示：“这就像是你使用 30 个密码，而攻击者只需匹配其中一个即可。”Memon表示，这项研究表明，如果可以利用“主指纹”制造“魔术手套”，那么只需5次尝试就可以解锁40%至50%的iPhone，而iPhone 此时仍不会要求用户输入密码。

苹果回应称，不正确指纹与 iPhone 指纹系统的匹配成功率只有1/50000。苹果发言人Ryan James表示，在开发Touch ID已经对各种攻击进行了测试，并且还引入了其他安全功能，以防止发生虚假的匹配。谷歌则拒绝发表评论。实际风险难以量化。苹果和谷歌对于指纹识别技术的许多细节严格保密了，数十家制作Android手机的公司可以通过降低安全级别的方式适应Google的标准设计。

美国联邦政府 Odin计划负责人Chris Boehnen认为，该团队的发现非常有意义。该项目的研究主要集中于如何应对针对生物识别技术的攻击。他表示：“令人不安的是，对于随机找到的一部手机，展开攻击的门槛非常低。”不过，一些厂商已经意识到了问题的严重性，虹膜识别开始成为新的手机保护神，未来相信这项技术也会逐渐在智能手机上得到普及。（科技新发现康斯坦丁/文）