一分錢破解“活體指紋識別”

雷鋒網按：本文作者李揚淵，邁瑞微電子創始人。

指紋識別安全嗎？最近有媒體披露了Computex（臺北電腦展）上觸控及指紋識別國際大佬 A 公司和中國大佬 B 公司科技間的一場撕逼事件。

臺北電腦展上，A 公司展示了“只用5分鐘，我們就能偽造你的指紋，解鎖你的手機”，拿華為手機開刀，疑似劍指 B 公司的指紋識別芯片。B 公司工作人員控訴 A 公司因競爭失利就搞技術秀故意黑 B 公司。B 公司工作人員還強調，A 公司破解的是 B 公司上一代產品，更安全的“活體指紋檢測技術”基本不能破解。

兩個大佬多年懟來懟去的口水仗先放一邊，只評價態度的話，恐怕 B 公司工作人員的說法才算得上氣急敗壞。 A 公司做一場技術秀本來就符合科技展的定位，B 公司卻因為競爭對手的技術秀疑似劍指自家產品，就控訴“故意黑”，未免太小題大作。至于用來擋搶的“活體指紋檢測技術”，其實早就被淘寶假指紋膜賣家破解。

早在今年3月，有網友上傳了破解“活體”指紋識別的視頻（http://v.youku.com/v_show/id_XMjUwNTg5MDgxMg==.html）。

在視頻中，某品牌手機搭載的 B 公司“活體指紋”遭“隱形指紋膜破解”：

技術原理

其實所謂“破解”并不神秘，只是基于技術本身的漏洞而已。B 公司展示的原理示意圖指出，用LED發光進入手指，在指內漫射并從指紋出射由PD檢測，結合以電容式指紋圖像采集。只是簡單的多傳感組合而已。無獨有偶，電容指紋傳感器界的老大Authentec在2012年就獲得了該“活體指紋識別”技術的專利授權，專利號US8180120B2。

因Authentec被蘋果公司收購，Authentec的專利技術也歸蘋果公司所有，可是蘋果一直沒有用這個“活體識別”，為什么呢？

首先，假指紋五花八門。不妨來看看微軟公司在二十年前發布的假指紋材料目錄：

B 公司的“活體指紋檢測技術”能防住多少種呢？不幸的是，只有一種不屬于假指紋目錄的東西：

上圖左邊示意了 B 公司使用的黑色假指紋，右邊則是真正的假指紋膜。是否 B 公司的“活體指紋檢測技術”只能檢測其“獨創”的假指紋呢？

不妨來制作一次假指紋，并論證和測試一下 B 公司“活體指紋檢測技術”。首先準備一瓶最普通的材料，液體膠水。

液體膠水的成分是膠質、水、電解質。水提供流動性，使膠水可以充滿表面縫隙；膠質提供固體支架；電解質促進水和膠質相互分散。用作假指紋時，水使膠水易于倒膜，膠質提供透明固體支架，電解質則提供導電性。用液體膠制作的指紋膜隨著其含水量不同能體現從濕皮膚到干皮膚的過渡，在電容式指紋傳感器行業一直被用于制作仿真指紋，用于測試傳感器對干濕指紋的適應性。

制作過程

步驟1、先融化蠟用手指按壓倒模：

步驟2、把膠水倒入蠟模，待其半固化取下：

何一個能看懂 B 公司“活體指紋檢測技術”原理的人都可以預料到：第一、電容對該導電薄膜成像，圖像質量甚至比真指紋清晰；第二、紅外光可以穿透該指紋膜到達真指紋，從真指紋出射的光線也可以穿過該指紋膜到達檢測器。也就是說，B 公司的“活體指紋檢測技術”可以百分百被辦公液體膠水破解掉。果然“得力辦公液體膠，破解活體指紋也得力”。而這只是20年前就遍為人知的假指紋目錄中的一項而已。

那么，這是否意味著指紋識別不靠譜呢？的確，在一定的應用場景下是這樣的。比如上海指付通曾經推出的用手機號和指紋進行支付的模式，支付寶也曾推出過線下指紋支付項目，都消失無跡。在這種使用第三方指紋采集器的線下模式中，第三人可以使用假指紋在千里之外盜用身份竊取金錢，根本防不慎防。但在手機應用中，值得關心的是指紋識別對手機的整體信息安全有沒有提升，而不是指紋識別自身的絕對能力有多強。蘋果公司一句話講得好，“比6位數Pin碼強”。畢竟此應用場景下單一竊取指紋和單一竊取手機都無法進入手機系統，避免了進一步的損失發生，已經實現了對手機的安全增值。在手機上搞活體指紋純粹是個偽需求，正牌從業者根本不會浪費時間做無用功，因為廉價的“活體指紋檢測”方案的破解成本一般遠遠低于方案成本，只有成本較高的技術組合才有機會達到較高的破解成本。而破解成本是安全技術安全程度的唯一度量標準。

看看破解 B 公司所謂“活體指紋檢測技術”成本如何：

模具蠟，零售價1元rmb；

得力液體膠一瓶，零售價0.8元rmb；

可制作破解 B 公司“活體指紋檢測技術”的假指紋膜200只，平均每只0.009rmb。

造假5分鐘”，“花費1分錢”，“破解一輩子”，才是 B 公司“活體指紋檢測技術”的真正效果。

正因為在智能手機領域既是偽需求又沒卵用，連炒作價值都沒有，B公司在手機市場遭遇了滑鐵盧，浪費了不少宣傳費。但據知情人士舉報，B公司把魔爪伸向了涉及公眾安全的門鎖行業，又要全球“首發”活體指紋檢測技術，推出“活體指紋智能門鎖”。

手機行業對于指紋識別技術是比較陌生的，但在安防行業應用已久，“活體”在安防行業也不是一個新概念，市場語言里，活體就是電容，電容就是活體。活體這個稱謂指相對于只需要打印指紋就能欺騙的光學指紋傳感器而言，總是稍稍好一點，并不強調能鑒定出各種假指紋。B公司包裝“活體指紋檢測技術”，以“活體指紋檢測技術”在安防產品的“首發”為噱頭，進行包裝炒作，博取關注，真是干（san）得（xin）漂（bing）亮（kuang）。在當前資本浮華的社會環境下，不沉心做研發，不細心做構思，專心包裝炒作，這種公司的產品如何保證用戶的安全？在明知被一分錢破解的情況下，這無異于知（sha）假（ren）售（fang）假（huo）?？上У氖?，安防行業對“活體”這個詞匯并不陌生，畢竟指紋識別在安防領域是核心技術，這門技術也正是由安防市場孕育，才延伸到手機市場的。

指紋是重要的隱私信息，用戶千萬不可因相信如此荒唐的“假技術”而放松了防止指紋信息泄露的意識，否則后患無窮。

有興趣的讀者可以查看我的往期文章

警惕“黑科技”——聊聊手機“指紋識別”宣傳上的那些陷阱

防不勝防，揭秘指紋識別中的“假技術”

雷峰網特約稿件，未經授權禁止轉載。詳情見轉載須知。