指纹认证安全吗？

Question

当使用指纹识别器时，OS身份验证是否比(强)密码更安全？

• 那能很容易被黑吗？
• 顺便问一下，指纹存放在哪里？在硬件芯片上还是文件系统上？
  • 这取决于读者的硬件吗？
  • 这取决于库/OS实现吗？

Answer 1

大多数生物识别系统的问题在于它们固有的“噪音”，这就要求软件在噪音中筛选出真正的信号。密码是精确性需要完善的几个字节。生物特征指纹，虹膜扫描，视网膜扫描，或声音打印，都需要有一个“足够近”的阈值，因为生物识别技术日复一日或一周一周地变化。击败这类系统需要利用生物鉴别技术的“足够近”特性。

因此，在我看来，简单的生物识别比正确选择的密码更不安全。这甚至没有涉及到实现细节，例如扫描仪和验证器之间的信号捕获/重放可能性，或者很容易破坏皮肤电导率传感器(舔纸！)。

当与密码一起使用时，它可以增强安全性。但正如我所说，不应该用它来代替密码。

Answer 2

扫描仪的安全性很大程度上取决于硬件的质量。我猜现在大多数配备笔记本电脑的扫描仪都很便宜，而且不适合高度安全的情况。即使是用于门锁的更高质量的扫描器也不能防止指纹复制。这个神话终结者剪辑也证明了这一点。

不过，正如哈雷所说，多重挑战总是比单一挑战更安全。

Answer 3

• 使用指纹阅读器比使用(强)密码更安全吗？那能很容易被黑吗？

曾经有人认为是这样的。从那时起，已经开发了几种方法来战败这些扫描仪的更便宜的版本。

如果它被用作双因素或多因素认证过程的一部分，那么我相信它将通过增加进入的难度来提高安全性。这里有人讨论这个。

• 顺便问一下，指纹存放在哪里？在硬件芯片上还是文件系统上？

通常是文件系统。许多扫描器只是简单地将印象转换成散列，然后传输到主机PC上。Kronos 触摸ID是一种公司解决方案，用于时间锁定；它将数据存储在Paradox表(！)中。作为一个哈希，所以很清楚他们的利润率是从哪里来的这个设备.

• 这取决于读者的硬件吗？

有很多读者，每个人都有自己的方法。虽然我不能就此与任何权威人士交谈，但“是”似乎是对这个问题的一个很好的回答。

• 这取决于库/OS实现吗？

同样，我认为这取决于读者的类型。有些实际传输的不仅仅是哈希(实际指纹图像)，而另一些则没有。