指紋傳感器不是確保設備安全的必殺技

9月11日消息，據(jù)國外媒體報道，蘋果新公布的iPhone 5S中的指紋傳感器可能大幅提高設備的安全性，但它絕非是確保設備安全的必殺技。研究人員稱，iPhone 5S指紋傳感器的效果取決于部署方式，以及是否與其他安全措施聯(lián)用。

蘋果周二公布了兩款iPhone——iPhone 5C和iPhone 5S，后者配置被稱為Touch ID的指紋傳感器。蘋果在新產(chǎn)品發(fā)布會上說，研究表明，多達半數(shù)的手機用戶沒有設置4位數(shù)的PIN，或更復雜的密碼來保護設備的安全。iPhone 5S用戶無需密碼，即可通過Touch ID就可以解鎖手機并在iTunes上購物。目前尚不清楚Touch ID是否會被應用在其他尚未公布的產(chǎn)品中，或第三方應用是否能利用Touch ID驗證用戶身份。

蘋果在新產(chǎn)品發(fā)布會還公布，指紋數(shù)據(jù)以加密格式存儲在iPhone 5S的A7芯片中，而非存儲在蘋果服務器或iCloud中，并且不能被軟件直接訪問。指紋傳感器一直存在容易出現(xiàn)失誤的問題。另外，黑客還可能竊取用戶的指紋，騙過指紋傳感器。據(jù)蘋果稱，Touch ID掃描手指表皮下的皮膚層，分辨率為500ppi（每英寸500個像素），可以識別任何角度的指紋。但是，Touch ID能否經(jīng)過安全研究人員的考驗還有待觀察。

安全公司Rapid7高管德克·西戈德森（Dirk Sigurdson）說，“攻擊指紋傳感器的常見手段包括使用手指照片和利用獲得的指紋創(chuàng)建指紋模型。希望iPhone 5S指紋傳感器不會讓復制的指紋蒙混過關�！彼�還指出，最好的單因子認證方法是存儲在人腦中的高安全性密碼，但是，人要創(chuàng)建和記住高安全性密碼相當困難。因此用戶通常會使用“糟糕的密碼”，這也是優(yōu)秀的指紋傳感器和匹配算法可能提高iOS設備安全性的原因。

移動安全廠商Lookout首席安全研究人員馬克·羅杰斯（Marc Rogers）說，指紋傳感器安全性并不高，這是許多軍事機構利用手掌或視網(wǎng)膜掃描裝置驗證用戶身份的原因。他還表示，許多人甚至沒有設置手機SIM卡PIN（個人識別密碼），因為每次都輸入PIN太不方便了，因此，指紋傳感器只是在一定程度上有助于提高設備的安全性。羅杰斯指出，如果與其他安全技術聯(lián)用，指紋傳感器能極大提高設備的安全性。例如，蘋果應當允許用戶設置一個高安全性的密碼，用于保護文件系統(tǒng)，用戶只需要在開機時輸入一次即可。指紋傳感器可以作為一項中等強度的安全措施，用來解鎖設備。這樣用戶可以安全、方便兼得。

另外，如果蘋果允許第三方應用使用指紋傳感器，第三方應用的安全性將得到大幅提升。例如，銀行應用要求用戶在交易時使用指紋傳感器驗證身份，防止黑客利用竊取的用戶密碼興風作浪。

安全廠商Trustwave旗下SpiderLabs安全研究團隊主管克里斯托弗·波格（Christopher Pogue）在一封電子郵件中說，總體而言，指紋傳感器可能會提高iPhone 5S安全性，但其效果取決于使用方式和用戶是否真正使用它，“消費者能方便地了解如何使用指紋傳感器是問題的關鍵”。

與羅杰斯一樣，波格也認為，被用作雙因子認證系統(tǒng)的一部分，才能發(fā)揮指紋傳感器的最大功效�！芭c移動設備上的其他部件一樣，指紋傳感器與操作系統(tǒng)互相通訊；與其他應用一樣，因受多種因素的影響，指紋傳感器也存在缺陷”。與密碼不同，人們既不會忘記自己的指紋，也不會與他人分享自己的指紋，因此，從這一意義上來說指紋安全性高于密碼。但是，指紋傳感器也需要失效保護機制，防止用戶因受傷導致指紋改變時不能使用設備。這一機制可能會導致無法預期的安全缺陷。

波格還指出，訪問控制應當使用至少兩個因素——“用戶記得的東西”，例如密碼或PIN；“用戶擁有的東西”例如物理令牌，或者“用戶自身的特征”，例如包括指紋在內的生物特征。增添一層安全技術會極大地提高黑客非法訪問設備的難度。