指纹辨识技术大破解

由于信息安全的逐渐被重视，许多使用生物辨识技术的认证技术也随之兴盛起来，加上美国911事件的推波助澜，不仅是企业，政府机关也逐渐重视起这块领域。生物辨识技术由于采用每个人独一无二的身物特征作为样本，理论上不可能被复制，应用在各种包门禁控管、计算机权限、交易认证等领域，可以获得比过去单纯使用密码更高的安全性。
图说：指纹辨识门禁系统  指纹辨识是生物辨识系统中的显学之一，由于技术门坎较低，目前被普遍应用在各种信息产品中。指纹辨识是生物辨识（Biometrics）的一环。生物辨识系指针对人类独有生理特征进行辨识，确认其真实身份。目前指纹辨识技术是目前应用较为广泛的生物辨识技术，辨识原理是透过指纹机采集指纹的影像，然后利用辨识软件抽取、比对指纹的特征信息，以确定指纹所有人的身份。其它的生物辨识技术还包括了脸部、虹膜辨识、静脉辨识等技术。  指纹辨识为了求得最高的辨识效率，在算法方面格外重要。从技术发展上来看，人类远自17世纪就了解到每人的指纹几乎都是独一无二的，相似的机率低于十亿分之一。而指纹辨识应用在犯罪证据收集上，更是早在19世纪就被采用了。
图说：高阶的商务型笔记型计算机通常也会加入指纹辨识功能  指纹辨识技术是将个人指纹先行采样，并记录其中重要的特征。再利用特征比对达到辨识的目的。在采样的技术方面主要可分为3种，分别是利用光学、电容以及超音波等技术。光学采样利用CCD摄取指纹样本，其质量是目前最受肯定的，但是相对却较昂贵，而且容易受环境，例如污垢、尘土或油污等影响，而造成取样误差大。电容采样则是利用电容侦测指纹所产生的电磁场而取得指纹样本，较不易受到污垢等环境因素影响。利用超音波技术则能得到非常精确的指纹样本，但是目前技术仍未广泛被使用。  指纹特征辨识的样本并不是记录完整的指纹影像，而是仅从中选取重要特征并记录，因此每一个人的指纹样本档案将只有250 bytes到1K bytes。而指纹特征辨识由于独一性非常高，因此适用于拥有广大客户群的应用，例如公司职员、客户管理等等。
图说：指纹的取样方式  因为指纹辨识仅是在手指头纹路中取出样本，并储存进数据库作为身份识别之用，当使用者下次要登入系统或门禁时，藉由手指头辨识并与已储存的样本进行，以取得系统权限或者是得以通过门禁系统。然而此样本辨识系统一般来说并无法做到太复杂的侦测动作，只要是符合数据库指纹特征的对象，即使该特征的拥有者不一定是本人，理论上都可以畅通无阻的通过指纹辨识系统。  为什么指纹辨识如此不安全？这要从其取样编码的技术来看，一般的使用状况下，扫描仪会将指纹处理成1个数字灰阶影像。软件通常会记录指纹上10~40个特征点进行取样，然后计算主要特征点之间的距离和角度，定义出1个「模板」。再利用算法将这些几何关系转换成1组独特的数字，并以之用来识别指纹，进而识别个人。一旦将模板登录在内存内，软件就会消除实际的指纹取样数据，只留下经过计算之后的识别码，以避免遭人复制或盗用。日后，这个人将手指放到扫描仪上的时候，系统只会再次计算他的模板，然后与原先储存的模板进行比对，判断两者是否符合。  但问题来了，由于指纹取样主要只是在特定纹路部分进行抽样，并佐以算法，将之转换储存为特征码，换言之，只要能够取得具有该系统权限的使用者的指纹，基本上便能够通行无碍。取得指纹的方式有很多，而我们就从人体常见留下指纹的型态来看，可以将指纹的印记分为基本的3类：汗潜指纹、可见指纹和立体指纹。

在一般犯罪鉴识方面，最常见的是汗潜指纹，眼睛一般看不出来。它们是由汗液或油脂形成，或者来自于手指，或者是因为手指与脸部、手指和身体有皮脂腺的地方无意识地接触而形成。即使将手彻底地清洁，如果不自觉的将手放到脸上或头发上，他还是很可能在他所接触的地方留下汗潜指纹，特别是容易在玻璃表面或光滑的木头上留下指纹。   撷取汗潜指纹的方法很多，最普通的方法是用灰粉或黑粉。不过在渗透性的材质上所留下的指纹，如纸张、厚硬纸板，较难提取，最好用碘熏法，碘可以和汗液中的油脂反应，或者也使用本三酮来和汗液中的氨基酸进行反应。第二种类型的指纹是最易辨认的那一种。因为手指沾有血迹、墨迹或其它相似方法留下的指纹。第三种指纹是立体指纹，这类型的指纹是在柔软的表面比如奶酪、肥皂或油灰面形成的指纹，要取得这样的指纹就稍微复杂一点。  当取得指纹的影像之后，为了加强系统的辨识度，我们可以先将之放大，并对模糊的地方进行手工描绘补强，接着再缩小为正常尺寸。由于指纹辨识仅是针对纹路的分*与中断部分进行采样，所以在较死板的指纹辨识系统上，甚至只要将处理过的指纹影印出来，就可以成功骗过辨识系统了。虽然部分较先进的指纹辨识系统会加入生物辨识能力，侦测人体的电流或者是温度与湿度，然而这些技术有其局限性，如果太过敏感，哪天可能天气稍微干燥点，或是感冒，便有可能造成指纹拥有者本人辨识失败，因而基本上这些机制都还有些容忍值存在，也因此给了存心不良人士可乘之机。  虽然以方便性而言，指纹辨识算是目前最高，也是最经济的安全机制之一，但是仅依靠指纹来作为控管的手段，其实风险相当高，除了要考虑生物辨识本身所具有的不确定性以外（比如说因为受伤而使得包括指纹、视网膜等生物特征无法被辨识），且指纹样本相对而言非常容易被取得的状况之下，过度信赖指纹并不是件好事。补强指纹辨识功能的技术就目前来说也还不完美，即使能侦测湿度或生物电流，但还是有方法可以加以破解，且过于复杂的设计也会对相关设备的生产与成本造成负面的影响。
图说：虽说噱头大于实际，就连随身碟也开始内建指纹辨识功能   目前指纹辨识技术正风行，越来越多人依赖此技术作为取代传统密码的认证形式，但传统密码视其密码复杂度，可以轻易被破解，也可以坚不可破，然而指纹辨识机制，其破解复杂度相对固定，只要具备一定的技术与知识，便有可能突破现有的指纹辨识机制。除非指纹拥有者可以百分之百确认自己的指纹样本不会外流，或者并没有拥有敏感数据或身份，否则还是至少为自己的指纹辨识系统加上1道可靠的密码认证吧！
本文转自手机设计天下网www.rd3721.com  
原文地址：http://www.rd3721.com/tech/info179.html