科技日報記者 崔爽
指紋解鎖，方便快捷，智能手機離不開。科技改變生活啊！人人感歎。
但最近的一項研究給大家澆了盆冷水，指紋解鎖似乎不像我們想的那樣安全。
來自美國紐約大學和密歇根州立大學的研究人員早些時候成功做出了新的“萬能指紋”，他們叫它“DeepMasterPrints”。
看名字就不一般。相關報導稱，這種指紋可以解鎖三分之一的手機，在某些情況下（比如手機安全性不高或者單純出於偶然），解鎖成功率超過70%。它是通過大量機器學習得到的“主密鑰”，算是一把解鎖手機的“萬能鑰匙”。
看到這裡，是不是不禁握緊了抓手機的手？感覺照片微信支付寶啊，通通危險了起來……
是聳人聽聞嗎？畢竟標題黨太多了，這個聽起來也是“震驚了！你的手機指紋被偷了”的翻版。
還真不是，科技日報急您之所急，請教了相關專家，得出這個令人遺憾的結論：指紋解鎖手機確實沒那麽安全。現有條件限制下，它先天不足。
中科視拓（北京）科技有限公司CEO劉昕從專業角度出發，解釋了DeepMasterPrints是怎麽來的。
簡單地說，團隊的技術方案是用一個神經網絡去生成指紋影像，這些指紋影像能夠和現有的人類指紋最大程度上地匹配。
“萬能指紋”其實不新鮮，DeepMasterPrints之所以這麽秀，是因為團隊通過一個神經網絡和進化優化技術，找到了這樣的萬能指紋片段。
可是人的指紋不是千差萬別的嗎？
沒錯，但由於目前應用的指紋提取器的分辨率不夠，手機在指紋解鎖時其實並不看整枚指紋，而是采集和識別指紋的局部（如下圖所示，矩形框表示的是采樣的指紋片段）。
這就給了萬能指紋“可乘之機”。
通過學習大量指紋，DeepMasterPrints成功找到一些萬能的片段，和盡量多人的指紋相像。當然萬能只是相對的，攻擊不是100%成功。
“可以這樣理解，世界上沒有兩張一樣的臉，但是可以有相似的鼻子、相似的嘴唇，因此總可以找到一些帶有普遍性的模式。”劉昕說。
研究人員發表的論文中也提到，對抗這類攻擊的辦法就是提高指紋影像的分辨率，如果可以采集全尺寸的指紋影像，萬能指紋就不好下手了。
是不是坐不住了？想立刻刪除指紋解鎖，回去輸密碼？
不必恐慌，專家表示，這個技術需要在FMR（錯誤匹配率）比較高的時候，才能有比較高的攻擊成功概率。
FMR是用來評估指紋識別算法性能的最重要參數。可以理解成“把不該匹配的指紋當成匹配的指紋的概率”。
指紋識別算法如果想要考慮便利性，就得放一些長得差不多的指紋過去，比如指紋只有八成相像，手機也會放行，這樣萬能指紋就很容易攻擊成功。但是如果太強調安全性，用戶使用起來就不便利，可能本人也解鎖不了。等於說“你好開的鎖小偷也好開”。
這也解釋了為什麽DeepMasterPrints在不同設定中的成功率相差很大，這和FMR高低直接相關。
報告顯示，Single DeepMasterPrints在0.01%FMR時，攻擊成功率只有1.11%，1%FMR時，攻擊成功率能到77%。
相反，在極高的安全級別下，在某些指紋數據庫上，攻擊成功率是0。
這說明，一定程度上，萬能指紋能否得手是隨機的。除了手機的FMR，我們也並不知道攻擊者用來學習萬能指紋的人類指紋庫的水準，如果規模很小，那實際采樣不完全，如果規模非常大，那危險性大大提高。
再說如果誰的指紋天生很像萬能指紋，中獎率高高的……
所以，專家表示，論文結果很隨機，大家無需恐慌，但這項研究的確揭示了現有的指紋識別機制存在安全風險。
怎麽辦？指紋識別還能用嗎？
答案是肯定的。
安全行業專家、北京志翔科技股份有限公司聯合創始人、產品副總裁伍海桑博士介紹了學術界的看法：由於生物資訊本身的獨特性，是很可靠的用於身份識別的來源。但是識別過程的複雜度和識別儀器的能力，決定了識別的安全性。發達國家，以及我國的軍事機構和邊境保護，都引入指紋、虹膜等識別，這足夠證明。但人家精度強度夠高、不計成本。
手機不一樣，它應用的指紋識別設備比較弱，本身能力的局限（體積要小，功耗不能大，成本不能高）給了萬能指紋可能性。
並且普通用戶確實沒什麽辦法。還得要靠硬體迭代、算法迭代，提高精確度和分辨率，提升指紋識別的安全性。
輸入“萬能指紋”，“如何破解老公/老婆的指紋密碼”立刻跳出來，這說明人民群眾確實有這個需求……希望技術人員不斷努力，保衛大家的手機（和婚姻）。
開玩笑的，但在人人離不開手機的今天，我們的吃住行遊購娛確實和手機深度綁定，財務和隱私也都上交給它。手機的硬體安全無論怎樣強調都不過分。
總結來看，目前這種萬能指紋還不需要擔憂，但它確實提醒我們指紋識別存在的安全隱患，也敦促硬體廠商研發分辨率更高的指紋識別和存儲機制，或者過渡到區別度更高、更安全的生物識別方式，讓手機更安全。
圖片由本文作者提供
香港九龍灣馬來街興發大廈15樓D室