“人工合成“超级指纹” 可轻易黑掉高端智能手机”

本篇文章1832字，读完约5分钟

在现代社会，指纹识别功能奇迹般地便利了高端智能手机。 一键解锁，可以付款，不需要输入密码。 从网店的小点心，到笔记本电脑，再到100万美元的阿尔斯通电桥跑车，都可以通过指纹支付来处理。 在小银行的APP中，可以通过指纹认证支付账单，也可以转账数万美元等。

通过人工合成超级指纹，可以轻松黑客化高端智能手机

但是，方便的背面始终残留着无法防止的安全漏洞。 一份纽约大学和密歇根国立大学联合发表的最新研究报告指出，高端智能手机之所以容易被假指纹识别欺骗，是因为它有许多与人类指纹根本相似的特征。 在研究实验中，研究人员已经开发出了人工合成的超万能指纹( masterprints )，目前高端智能手机人类指纹识别的65%可以解锁。

研究人员没有将实验结果直接应用于实际手机，安全专家也认为在实际应用环境中远远低于65%的匹配率，但这一研究引起了对指纹识别这种高效生物认证功能安全性的质疑。

加拿大卡尔加里大学系统和计算机工程教授、生物识别安全系统专家andyadler指出，人们的担忧可能有些夸张，但安全隐患绝对存在。 如果10次指纹支付中有1次被攻击，其概率还是很高的。

ieee会员、integralpartners新闻安全门主任kaynemcgladrey告诉第一财经记者，如果理论上能够获得足够高清晰度的指纹扫描样本，就可以制作出一套可以被传感器识别的指纹型，这一点在人们完全不知不觉中发生。

mcgladrey还向记者表示，在时间紧迫的情况下，不法分子和警察都可以利用这种做法迅速解锁手机，甚至不知道该手机是谁。 这个破解方法之所以可行，是因为大部分指纹解锁只采用了部分指纹，大部分客户在安装时输入了2~4个不同的解锁指纹，破解的可能性大大提高了。 mcgladrey说。

理论上，人类的全部指纹不容易解读，但高端智能手机的指纹扫描非常小，所以只能读取指纹新闻的一部分。 在苹果和安卓上进行指纹输入认证扫描时，通常只在高端智能手机上记录8~10张图像，用于将来的指纹比对。

普通人在解锁指纹时，只要与图像中保存的一张一致，就可以解锁手机。 因此，这个系统很容易受到攻击。 就像你有30个密码，攻击者对一个说要开锁一样。 研究报告的三位作者之一，纽约大学工程系tandonschool计算机工程系教授nasirmemon说。

memon还指出，只需要制作万能指纹手套，不到5次的尝试就能解锁40%到50%的iphone。 但是苹果方面表示，这样的概率是五万分之一。 苹果发言人ryanjames表示，苹果通过测试不同情况和引入其他安全性能，防止了手机的假指纹风险。 但是，由于苹果和谷歌的大部分指纹技术是保密的，因此这种风险不太容易被量化。

美国联邦政府信息前沿研究项目odin (计划负责人chrisboehnen博士说，手机制造商可以通过更多复杂的识别技术降低手机被攻击的风险。 但是，要解锁手机需要按两三次指纹等，会给客户带来不适感。 boehnen博士说。

相比之下，硬件升级可能更有效地降低风险。 例如，三星s8高端智能手机采用更大的指纹扫描传感器，使指纹输入更加清晰，难以模仿。

mcgladrey向第一财经记者介绍说，加上监测心率、体温等生物认证特征数据，可以进一步改进现有的解锁方法。 例如，1964年心脏科专家已经发现每个人的心率都是独特的，可以考虑利用pqrst波形心电图的特征解锁装置。 但是，要实现这一点，客户需要佩戴其他佩戴设备。 mcgladrey说。

生物识别技术在各个场合的应用越来越广泛，犯罪者也在开发新的假身份的技术。 安全专家谈剑峰对第一财经记者说:“生物学特征是每个人特有的，具有唯一性，但只要任何技术被大规模采用，特别是在非现场被采用的话，只要一定要通过新闻互联网，无论是哪种技术。

mcgladrey告诉第一财经记者，[/s2/]比较脸部识别的攻击大多是用高分辨率的图像和视频欺骗摄像机传感器，利用facebook上的照片和视频的很多立场合成某人的视频，以区别于2d脸部识别[/S2//

他还表示，最近的windowshello技术通过添加红外线脸部扫描功能来增强安全性能。 这个功能可以给客户制作3d图像，但是3d红外线图像还不能很容易地复制。 mcgladrey说，如同指纹解锁一样，客户可能会被强制使用面部识别解锁设备。 因此，开发生物认证技术的企业，也有必要考虑追加远程删除丢失或被盗设备数据的功能。

来源：UI科技日报