別拿指紋當密碼，沒用！看完你就明白了...

時間：2016-07-18作者：翼家居科技發(fā)展有限公司瀏覽：62

	 


	
		指紋，由于其具有終身不變性、一性和方便性，已幾乎成為生物特征識別的代名詞。目前來看，指紋識別技術應用已經(jīng)相當廣泛，不僅在門禁、考勤系統(tǒng)中可以看到指紋識別技術的身影，市場上還有更多指紋識別的產(chǎn)品：如筆記本電腦、手機、汽車、銀行支付等等。但，指紋識別技術真的安全么？一起來看..
	


	


	


	
		密碼就是一坨翔。沒有人會挑選一個好的密碼，就算他們好不容易選了一個不錯的，也會在所有的網(wǎng)站上都使用這個密碼；就算你用了一個可以信賴的密碼管理軟件，它也會被人破解。不過你知道比密碼較爛的是什么嗎？那就是指紋。指紋的問題多如牛毛，你在任何時候都不應該用它來取代密碼。
	
	
		
	
	
		密碼應該是保密的，就像你小時候養(yǎng)的寵物的名字。相比之下，你帶著手指頭到處晃悠，它們幾乎在任何時候都是暴露在外的。當你的密碼被泄露了，一般很容易就換個新密碼?？赡悴幌霌Q個手指頭吧？最后，也是較為重要的，你希望密碼是經(jīng)過哈希處理的，這樣就算密碼數(shù)據(jù)庫被盜，不法之徒也無法獲取你的密碼。
	
	
		
	
	
		看完本文你就會知道，指紋比用密碼要糟糕得多。
	
	
		
	
	
		
	

	
		指紋并不保密
	

	
		
	
	
		
	
	
		**，使用指紋取代密碼較明顯的問題是：指紋壓根就不是保密的。
	
	
		
	
	
		
	
	
		想想電影、電視劇中的劇情：*在向壞蛋問話的時候，遞給了他一杯飲料，然后再把杯子送到法醫(yī)實驗室，就搞到了指紋。案件輕松偵破！
	
	
		
	
	
		但實際情況會較糟。你的指紋到處都是。可以從杯子、門把手、鍵盤和桌子表面提取到指紋。你不會把你的密碼寫在便簽紙上，然后貼到工位的顯示器上，對吧？可如果你的工作需要使用指紋來進行身份認證，那這個密碼可能已經(jīng)留在你的顯示器上了。
	
	
		
	
	
		歐洲較大的黑客團隊宣稱：他們可以通過少量的指紋照片，利用某些商業(yè)軟件，就能夠侵入采用指紋驗證的系統(tǒng)。 

	
	
		
	
	
		
	
	
		
	
	
		在德國漢堡舉行的*31屆Chaos計算機俱樂部大會上，網(wǎng)名為“Starbug”的簡恩·克里斯勒(Jan Krissler)表示，只要使用“相機拍攝的標準照片”，就可以獲得某人的指紋。
	
	
		
	
	
		
	
	
		
	
	
		別在你的照片中露出指紋！從一張照片中，Starbug復制出了Ursula von der Leyen（德國*部長）的指紋。不管這個指紋是不是真的能控制整個德國的*，反正你應該知道：真有可能會泄露出去。
	
	
		
同樣，去年某團隊聲明，他們發(fā)掘了一種可以繞過iPhone 5s指紋認證Touch ID的方法。較新的進展顯示出一張印有“偷來的”指紋膠片，可以用來讓Touch ID以為這就是手機主人在解鎖自己的手機。


	
	
		
	

	
		如何仿造指紋？
	

	
		
	
	
		
	
	
		Starbug用來仿造指紋的技術**級簡單。他復制了一個指紋，然后把它蝕刻在銅片上（和制作印刷電路板一樣），在蝕刻上噴一層石墨，最后在上面蓋上一層木膠或者乳膠。在銅片被蝕刻掉的地方，膠水加石墨的指模會較深，這用來模擬你手指上紋路。石墨涂層和手指一樣擁有電容的特性。如果再用上和皮膚顏色相同的乳膠，你就做出了一個像碟中諜電影里一樣的東西，成本只有5美元加上一個下午的時間。而你需要的只是從杯子或者書本上提取一張質(zhì)量好點的指紋圖片。
	
	
		
	
	
		
	
	
		
	
	
		
	

	
		指紋是不可改變的
	

	
		
	
	
		
	
	
		打個比方，你的普通密碼不管因為什么原因泄露了，會有多糟？在理想世界中，被攻破的網(wǎng)站會通知你并提醒你更換密碼。你可以把寵物狗的名字換成寵物貓的名字，或者你出生的年份和你妹妹的出生年份。輕松搞定！
	
	
		
	
	
		不過如果你用指紋當密碼卻不慎泄露的話，不可能去改變它。實際上，在傳統(tǒng)使用指紋的場景中，正是利用了它的一性和不可變性——比如在犯罪現(xiàn)場中用來甄別罪犯。要是能在犯罪之后改變指紋的話，你就不用戴那些礙事的手套了。
	
	
		
	
	
		指紋會伴隨你一生?。?
	
	
		
	
	
		如果我盜取了你的指紋，我就可以解鎖你現(xiàn)有的指紋加密的設備，和你以后購買的所有指紋加密的設備。指紋只是半安全的，它不可修改，這讓它成了相當糟糕的密碼。這一點不用再多說了，反正肯定就是這么回事兒了。
	
	
		
	
	
		
	
	
		
	
	
		舉個例子，敏感的**機構會使用個人身份認證（PIV）卡，上面包括了雇員的指紋。除了需要輸入正確的密碼之外，使用PIV卡的聯(lián)邦雇員還**掃描指紋，并和保存在卡內(nèi)的指紋進行對比。這種使用密碼和指紋匹配的方式構成了雙重認證系統(tǒng)。
	
	
		
	
	
		而在這之后，美國地區(qū)*（OPM）被黑了，560 萬（?。┟?*雇員的指紋被竊取，很可能是外國間諜機構干的。于是現(xiàn)在*安全局可能不得不改為使用“三重認證”，因為其中的一個認證方式已經(jīng)**完蛋了。如果當初**在 PIV 卡中使用了一種可替換的方式，至少這次泄露彌補起來會容易得多。
	
	
		
	
	
		密碼需要定期更換來確保其保密性和安全性。指紋是不可更換的。
	
	
		
	
	
		
	

	
		指紋是不能被哈希處理的
	

	
		
	
	
		
	
	
		指紋的問題在于判定的時候只要近似就夠了，而且應該也是這樣。如果我在指紋識別器上按手指的時候稍微大了點勁兒，或者稍微錯位了一點，又或者手指被劃傷了，我依然希望這個識別器能接受我的指紋。訓練有素的FBI探員在對比指紋時，通常都使用“部分”匹配的方式，只要有合理的**度就夠了。對于血肉之軀的人類和現(xiàn)實世界中的指紋掃描儀來說，近似匹配是合情合理的。不過只要指紋有細微的瑕疵，經(jīng)過哈希處理后就會和參照版本*不同。這也就意味著指紋是不可哈希的。哈希算法讓密碼較加健壯，一旦缺少了哈希算法的保護，指紋就變得脆弱得多。
	
	
		
	
	
		
	
	
		
	
	
		比如一個靠譜點的網(wǎng)站被黑了，就算黑客竊取了網(wǎng)站的密碼數(shù)據(jù)庫，他們也不會因此擁有這些密碼的列表。他們只能得到用戶名以及被單向哈希之后的密碼。
	
	
		
	
	
		
	

	
		指紋和雪崩效應
	

	
		
	
	
		
	
	
		剛才這些東西和指紋到底有啥關系？指紋本身不能經(jīng)過哈希處理，所以上面那些做法（在數(shù)據(jù)中只保存加鹽密碼的哈希值）在安全性上面所帶來的優(yōu)勢，對指紋來說毛用沒有。這是因為除了單向之外，一個好的哈希算法展現(xiàn)了所謂的雪崩效應：密碼中一個輕微的改變會導致哈希結果較大的區(qū)別。
	
	
		

	
	
		

	
	
		
	
	
		字符串“!password123”在使用 MD5 哈希處理之后，得到的值是 b3a2efccbe10c39f2119979a6f9a3ab2，而“!Password123”對應的值是 d2583f9c75fbc22890d39e7241927511。這兩個字符串只有一個字母不同，那個大寫的“P”，但是兩個哈希結果的差異卻相當**。這防止了那些暴力破解者去判斷他們嘗試的密碼和實際密碼之間的近似程度。如果密碼中每出現(xiàn)一個正確字母就和目標哈希值接近一分的話，他們毫不費力地就能猜到你的密碼了。雪崩效應意味著猜到“相似”的密碼是毫無意義的。
	
	
		
	
	
		正如之前提到的，指紋技術需要能判斷出“足夠相似”。如果把它進行哈希處理的話，就會差之毫厘、謬以千里。這也就是說，指紋只能被明文存儲，或者加密存儲，但是哈希算法一點用也沒有，因為一個好的哈希算法會導致雪崩效應。指紋數(shù)據(jù)庫不可避免地會成為薄弱環(huán)節(jié)，只要你的指紋被保存下來，不管是在你的 iPhone 上、在 IPV 卡上還是在電子護照上，只要知道了主密碼，這里面存儲的指紋都可以被破解。
	
	
		
	
	
		
	

	
		電子護照
	

	
		
	
	
		
	
	
		哈希方法對比加密方法的一個很好的例子，就是電子護照。其中加密保存了你的指紋和虹膜照片的數(shù)據(jù)，因為這些都是敏感信息。不過這些數(shù)據(jù)也只能加密（而不能哈希處理），因為護照讀取器需要能夠解密這些信息，才能和你的手指和眼睛進行比對。（譯注：中國的電子護照在芯片內(nèi)也包含指紋和照片，也是加密保存的）
	
	
		
	
	
		
	
	
		
	
	
		在這上面，所有你的非敏感信息和加密之后的數(shù)據(jù)包會一起進行哈希計算，這個哈希值會使得篡改其中任何信息都變得很困難。你可能想在這些數(shù)據(jù)里面改變一個比特，然后在別的地方改變另一個比特“找補”回來，然而雪崩效應讓這一切成為不可能。
	
	
		
	
	
		即使這樣，到目前為止，這也僅僅意味著你的指紋只能通過加密的方式進行保護，而不是哈希處理的方式。這對于海關來說無所謂，因為他們只關心你的指紋是不是被篡改過了。對他們來說，你的指紋只是用來證明你就是你；以及通過跟在你的信息后面的一個哈希值，來確保你的數(shù)據(jù)不會被篡改。
	
	
		
	
	
		而另一方面，對于考慮到隱私問題的個人而言，只是把你的指紋進行加密不免讓人有些擔憂。一個擁有你的護照和正確密碼的壞蛋，可以把數(shù)據(jù)進行解密從而獲得你的指紋。雖然從護照封皮上提取你的指紋可能要容易得多，因為指紋不是保密的，還記得吧？
	
	
		
	
	
		
	

	
		結論
	

	
		
	
	
		
	
	
		別把你的指紋當密碼用。指紋是*不變的、容易校驗的并可以輕松獲取的，這對于犯罪調(diào)查和確認你的身份來說非常有幫助。不過它們并不是密碼，因為它們不是保密的、是無法改變的、而且也很難安全地保存。
	
	
		密碼就是一坨翔。沒有人會挑選一個好的密碼，就算他們好不容易選了一個不錯的，也會在所有的網(wǎng)站上都使用這個密碼；就算你用了一個可以信賴的密碼管理軟件，它也會被人破解。不過你知道比密碼較爛的是什么嗎？那就是指紋。指紋的問題多如牛毛，你在任何時候都不應該用它來取代密碼。
	
	
		
	
	
		密碼應該是保密的，就像你小時候養(yǎng)的寵物的名字。相比之下，你帶著手指頭到處晃悠，它們幾乎在任何時候都是暴露在外的。當你的密碼被泄露了，一般很容易就換個新密碼?？赡悴幌霌Q個手指頭吧？最后，也是較為重要的，你希望密碼是經(jīng)過哈希處理的，這樣就算密碼數(shù)據(jù)庫被盜，不法之徒也無法獲取你的密碼。
	
	
		
	
	
		看完本文你就會知道，指紋比用密碼要糟糕得多。
	
	
		
	
	
		
	

	
		指紋并不保密
	

	
		
	
	
		
	
	
		**，使用指紋取代密碼較明顯的問題是：指紋壓根就不是保密的。
	
	
		
	
	
		
	
	
		想想電影、電視劇中的劇情：*在向壞蛋問話的時候，遞給了他一杯飲料，然后再把杯子送到法醫(yī)實驗室，就搞到了指紋。案件輕松偵破！
	
	
		
	
	
		但實際情況會較糟。你的指紋到處都是?？梢詮谋印㈤T把手、鍵盤和桌子表面提取到指紋。你不會把你的密碼寫在便簽紙上，然后貼到工位的顯示器上，對吧？可如果你的工作需要使用指紋來進行身份認證，那這個密碼可能已經(jīng)留在你的顯示器上了。
	
	
		
	
	
		歐洲較大的黑客團隊宣稱：他們可以通過少量的指紋照片，利用某些商業(yè)軟件，就能夠侵入采用指紋驗證的系統(tǒng)。 

	
	
		
	
	
		
	
	
		
	
	
		在德國漢堡舉行的*31屆Chaos計算機俱樂部大會上，網(wǎng)名為“Starbug”的簡恩·克里斯勒(Jan Krissler)表示，只要使用“相機拍攝的標準照片”，就可以獲得某人的指紋。
	
	
		
	
	
		
	
	
		
	
	
		別在你的照片中露出指紋！從一張照片中，Starbug復制出了Ursula von der Leyen（德國*部長）的指紋。不管這個指紋是不是真的能控制整個德國的*，反正你應該知道：真有可能會泄露出去。
	
	
		
同樣，去年某團隊聲明，他們發(fā)掘了一種可以繞過iPhone 5s指紋認證Touch ID的方法。較新的進展顯示出一張印有“偷來的”指紋膠片，可以用來讓Touch ID以為這就是手機主人在解鎖自己的手機。


	
	
		
	

	
		如何仿造指紋？
	

	
		
	
	
		
	
	
		Starbug用來仿造指紋的技術**級簡單。他復制了一個指紋，然后把它蝕刻在銅片上（和制作印刷電路板一樣），在蝕刻上噴一層石墨，最后在上面蓋上一層木膠或者乳膠。在銅片被蝕刻掉的地方，膠水加石墨的指模會較深，這用來模擬你手指上紋路。石墨涂層和手指一樣擁有電容的特性。如果再用上和皮膚顏色相同的乳膠，你就做出了一個像碟中諜電影里一樣的東西，成本只有5美元加上一個下午的時間。而你需要的只是從杯子或者書本上提取一張質(zhì)量好點的指紋圖片。
	
	
		
	
	
		
	
	
		
	
	
		
	

	
		指紋是不可改變的
	

	
		
	
	
		
	
	
		打個比方，你的普通密碼不管因為什么原因泄露了，會有多糟？在理想世界中，被攻破的網(wǎng)站會通知你并提醒你更換密碼。你可以把寵物狗的名字換成寵物貓的名字，或者你出生的年份和你妹妹的出生年份。輕松搞定！
	
	
		
	
	
		不過如果你用指紋當密碼卻不慎泄露的話，不可能去改變它。實際上，在傳統(tǒng)使用指紋的場景中，正是利用了它的一性和不可變性——比如在犯罪現(xiàn)場中用來甄別罪犯。要是能在犯罪之后改變指紋的話，你就不用戴那些礙事的手套了。
	
	
		
	
	
		指紋會伴隨你一生?。?
	
	
		
	
	
		如果我盜取了你的指紋，我就可以解鎖你現(xiàn)有的指紋加密的設備，和你以后購買的所有指紋加密的設備。指紋只是半安全的，它不可修改，這讓它成了相當糟糕的密碼。這一點不用再多說了，反正肯定就是這么回事兒了。
	
	
		
	
	
		
	
	
		
	
	
		舉個例子，敏感的**機構會使用個人身份認證（PIV）卡，上面包括了雇員的指紋。除了需要輸入正確的密碼之外，使用PIV卡的聯(lián)邦雇員還**掃描指紋，并和保存在卡內(nèi)的指紋進行對比。這種使用密碼和指紋匹配的方式構成了雙重認證系統(tǒng)。
	
	
		
	
	
		而在這之后，美國地區(qū)*（OPM）被黑了，560 萬（?。┟?*雇員的指紋被竊取，很可能是外國間諜機構干的。于是現(xiàn)在*安全局可能不得不改為使用“三重認證”，因為其中的一個認證方式已經(jīng)**完蛋了。如果當初**在 PIV 卡中使用了一種可替換的方式，至少這次泄露彌補起來會容易得多。
	
	
		
	
	
		密碼需要定期更換來確保其保密性和安全性。指紋是不可更換的。
	
	
		
	
	
		
	

	
		指紋是不能被哈希處理的
	

	
		
	
	
		
	
	
		指紋的問題在于判定的時候只要近似就夠了，而且應該也是這樣。如果我在指紋識別器上按手指的時候稍微大了點勁兒，或者稍微錯位了一點，又或者手指被劃傷了，我依然希望這個識別器能接受我的指紋。訓練有素的FBI探員在對比指紋時，通常都使用“部分”匹配的方式，只要有合理的**度就夠了。對于血肉之軀的人類和現(xiàn)實世界中的指紋掃描儀來說，近似匹配是合情合理的。不過只要指紋有細微的瑕疵，經(jīng)過哈希處理后就會和參照版本*不同。這也就意味著指紋是不可哈希的。哈希算法讓密碼較加健壯，一旦缺少了哈希算法的保護，指紋就變得脆弱得多。
	
	
		
	
	
		
	
	
		
	
	
		比如一個靠譜點的網(wǎng)站被黑了，就算黑客竊取了網(wǎng)站的密碼數(shù)據(jù)庫，他們也不會因此擁有這些密碼的列表。他們只能得到用戶名以及被單向哈希之后的密碼。
	
	
		
	
	
		
	

	
		指紋和雪崩效應
	

	
		
	
	
		
	
	
		剛才這些東西和指紋到底有啥關系？指紋本身不能經(jīng)過哈希處理，所以上面那些做法（在數(shù)據(jù)中只保存加鹽密碼的哈希值）在安全性上面所帶來的優(yōu)勢，對指紋來說毛用沒有。這是因為除了單向之外，一個好的哈希算法展現(xiàn)了所謂的雪崩效應：密碼中一個輕微的改變會導致哈希結果較大的區(qū)別。
	
	
		

	
	
		

	
	
		
	
	
		字符串“!password123”在使用 MD5 哈希處理之后，得到的值是 b3a2efccbe10c39f2119979a6f9a3ab2，而“!Password123”對應的值是 d2583f9c75fbc22890d39e7241927511。這兩個字符串只有一個字母不同，那個大寫的“P”，但是兩個哈希結果的差異卻相當**。這防止了那些暴力破解者去判斷他們嘗試的密碼和實際密碼之間的近似程度。如果密碼中每出現(xiàn)一個正確字母就和目標哈希值接近一分的話，他們毫不費力地就能猜到你的密碼了。雪崩效應意味著猜到“相似”的密碼是毫無意義的。
	
	
		
	
	
		正如之前提到的，指紋技術需要能判斷出“足夠相似”。如果把它進行哈希處理的話，就會差之毫厘、謬以千里。這也就是說，指紋只能被明文存儲，或者加密存儲，但是哈希算法一點用也沒有，因為一個好的哈希算法會導致雪崩效應。指紋數(shù)據(jù)庫不可避免地會成為薄弱環(huán)節(jié)，只要你的指紋被保存下來，不管是在你的 iPhone 上、在 IPV 卡上還是在電子護照上，只要知道了主密碼，這里面存儲的指紋都可以被破解。
	
	
		
	
	
		
	

	
		電子護照
	

	
		
	
	
		
	
	
		哈希方法對比加密方法的一個很好的例子，就是電子護照。其中加密保存了你的指紋和虹膜照片的數(shù)據(jù)，因為這些都是敏感信息。不過這些數(shù)據(jù)也只能加密（而不能哈希處理），因為護照讀取器需要能夠解密這些信息，才能和你的手指和眼睛進行比對。（譯注：中國的電子護照在芯片內(nèi)也包含指紋和照片，也是加密保存的）
	
	
		
	
	
		
	
	
		
	
	
		在這上面，所有你的非敏感信息和加密之后的數(shù)據(jù)包會一起進行哈希計算，這個哈希值會使得篡改其中任何信息都變得很困難。你可能想在這些數(shù)據(jù)里面改變一個比特，然后在別的地方改變另一個比特“找補”回來，然而雪崩效應讓這一切成為不可能。
	
	
		
	
	
		即使這樣，到目前為止，這也僅僅意味著你的指紋只能通過加密的方式進行保護，而不是哈希處理的方式。這對于海關來說無所謂，因為他們只關心你的指紋是不是被篡改過了。對他們來說，你的指紋只是用來證明你就是你；以及通過跟在你的信息后面的一個哈希值，來確保你的數(shù)據(jù)不會被篡改。
	
	
		
	
	
		而另一方面，對于考慮到隱私問題的個人而言，只是把你的指紋進行加密不免讓人有些擔憂。一個擁有你的護照和正確密碼的壞蛋，可以把數(shù)據(jù)進行解密從而獲得你的指紋。雖然從護照封皮上提取你的指紋可能要容易得多，因為指紋不是保密的，還記得吧？
	
	
		
	
	
		
	

	
		結論
	

	
		
	
	
		
	
	
		別把你的指紋當密碼用。指紋是*不變的、容易校驗的并可以輕松獲取的，這對于犯罪調(diào)查和確認你的身份來說非常有幫助。不過它們并不是密碼，因為它們不是保密的、是無法改變的、而且也很難安全地保存。
	


翼家居科技發(fā)展有限公司專注于無鎖孔,無鎖孔智能門,無鎖孔智能防盜門,寧智,寧智無鎖孔,寧智智能無鎖孔防盜門等

• 詞條

  詞條說明

• 恭賀寧智無鎖孔智能防盜門與央視網(wǎng)合作成功！

  安徽寧智智能無鎖孔防盜門2016年3月28號和央視網(wǎng)簽約成功，與黃金時段播出！

• 寧智無鎖孔智能門臨泉活動圓滿成功！ 18298003893

  恭賀寧智無鎖孔智能門臨泉代理商6月6活動成功銷售18樘 臨泉縣隸屬安徽省阜陽市下屬縣城，此場活動聯(lián)盟的商家有：歐派木門，瑞麗宜家移門，格萊斯陶瓷，飛利浦照明，洛基地板，德萊寶家居**，寧智無鎖孔智能門，活動與2016年6月6日12：30正式開始，在前期名品匯平臺的大力推廣下，6月6日12：30分到達活動現(xiàn)場有300人，公司總部兩位業(yè)務經(jīng)理的**講解產(chǎn)品，吸引來了大批次圍觀者，活動持續(xù)至下午6：00，

• 安徽寧智智能無鎖孔防盜門在青島*招商！18298003893

  寧智無鎖孔優(yōu)勢 1、對抗**鑰匙 針對當**些不法分子利用技術手段制造**鑰匙開啟門鎖，錫紙開門和一些住戶的鎖眼經(jīng)常被惡意注入膠水，導致房門無法打開的弊端，寧智無鎖孔智能防盜門經(jīng)創(chuàng)意性的設計了表面無鎖孔，只有鋼板一塊的門體，開關門全部由微電腦控制，讓不法分子無從下手。 2、手機app開門 用安裝好app的手機通過藍牙連接智能門，再用自己設置好的圖案解鎖，智能門就會自動開啟。優(yōu)勢：方便、安全、屬于自

• 寧智無鎖孔智能防盜門與6月18號召開新品發(fā)布會

  安徽翼家居科技發(fā)展有限公司旗下寧智無鎖孔智能防盜門于6月18號召開互聯(lián)網(wǎng)+智能家居安全防盜解決方案及新品發(fā)布會，屆時歡迎您的到來。