16
| 本文作者： dragondevil | 2016-03-23 21:18 |
iPhone SE發布了，沒有提到“活體指紋識別”的什么鳥事。
在今年的MWC展會上，有廠商利用自制假指紋破解包括iPhone在內的指紋鎖，將“活體指紋識別”的概念用洗地板的架勢覆蓋了各大媒體，成為一時熱點。根據其在展會上對外宣傳的信息顯示，這是將電容指紋傳感器、光學檢測傳感器集成到一顆傳感器中，從而通過指紋、手指皮膚顏色以及心率信號來驗證用戶的真實身份，識別并拒絕假指紋的一項“全新技術”。
（圖1，Goodix在MWC 2016展示的“活體指紋識別”的原理示意圖）
其實多年以來，電容指紋傳感識別技術的別名就是“活體指紋識別”，銀行業更是硬性規定不可使用光學指紋識別技術，必須使用電容式指紋識別技術以保證一定安全等級的活體檢測能力。
如今居然有電容式指紋識別技術公司自爆電容式沒有活體檢測能力（而不是活體檢測能力不夠），把業內人士都驚呆掉了！
作為電容指紋識別界的老大，蘋果公司擁有大量的技術發明，其中于2012年授權的美國發明專利US 8180120 B2，也披露了一種技術方案，將指紋傳感器和光學檢測傳感器集成。
（圖2，蘋果公司擁有的US8180120B2授權發明專利的原理示意圖）
這腫么和MWC上展出的方案原理圖一模一樣？
這到底怎么回事？難道蘋果公司有先進的技術發明不率先使用？在解答問題之前，先來扒一扒“活體指紋識別”的前世今生。
活體指紋識別是“活體檢測”和“指紋識別”兩個概念的組合。讀者們對“指紋識別”應該沒什么異議，就解釋一下“活體檢測”的概念。
“活體檢測”是什么？
2014年6月，國家知識產權局專利局專利審查協作北京中心的王馨寧審查員發表了《生物特征識別中的“活體檢測”概念及分析》，作為專利審查工作中遵循的科技名詞定義規范。感興趣的朋友可以在這里下載原文。
（圖3，國家知識產權局對“活體檢測”的官方解釋）
在這篇官方名詞解釋里，活體檢測是這樣被定義的：
“為了防止惡意者將偽造的他人生物特征用于身份認證，在生物特征識別過程中，針對待認證樣本的是否具有生命特征進行檢測的技術，稱為活體檢測。活體檢測是將具有生命特征的人的樣本，與仿制的人造樣本進行區分的過程，是欺騙檢測中的一種。”
活體檢測會用到什么技術類型呢？該科技名詞定義規范里還有進一步的解釋：
活體檢測過程中常用的信息有以下幾種類型——
第一類是生理特征信號，例如體溫、皮膚表面的電阻特性、排汗過程、表情的變化、眼部動作、瞳孔大小變化等；
第二類是光譜學信息，該項技術主要針對打印圖像形成的規律的紙質紋理特性，利用頻譜特征進行檢測；
第三類是通過人機互動的形式，通過檢測預期的運動來對生物特征的活體特性進行驗證；
第四類是多模態的生物特征識別，在認證系統中采用兩種以上的生物特征識別技術方式，提高偽造樣本的難度。
在其中還強調：
目前市場上已有的生物特征識別系統產品，已經在不同程度上采用了活體檢測技術。活體檢測雖然能夠提高生物識別認證系統的安全性，但是檢測的算法復雜度直接關系到產品成本，以及用戶在使用產品時的時效性和方便度。因此活體檢測技術僅僅是在一定程度上防止偽造的樣本對識別系統進行攻擊，并不能夠提供百分之百的安全。生物的活體檢測技術或者任何安全技術所能做到的，就是對于那些潛在的敵人“提高門檻”。
從這段比較直白的文字可以看出，活體檢測既不是新鮮技術，也不是馬靈丹妙藥，而是個大雜燴。不同的活體檢測方法之間沒有準確的誰高誰低的必然區別，而要看其給攻擊者制造了多高的“門檻”，來量化一種活體檢測技術組合的安全性。
如何進行“活體檢測”的安全性量化？
我們再來看一下該怎么進行“活體檢測”的安全性的量化工作。2012年由全國安全防范報警系統標準化技術委員會提出并歸口，由中科院自動化所、中國物聯網研究發展中心、公安部安全防范產品質量監督檢驗測試中心、公安部第一研究所、國防科技大學、清華大學以及6家著名生物識別企業共同起草的行業標準《安防生物特征活體檢測技術要求》的征求意見稿。豆丁網提供該標準原文的免費下載。
（圖4，中國公共安全行業標準封面截圖）
該標準對活體檢測技術的測試流程進行了規定，包括6個步驟：
1、確定待測技術類別；
2、確定待測假體類型；
3、測試影響因素控制；
4、測試樣本選擇；
5、測試過程；
6、性能評測。
在第2步驟“確定待測假體類型”里，該標準指出：根據檢測的嚴酷等級，可以將待測假體類型分為輕度、中度和重度三個級別——
輕度攻擊性假體指以簡單的技術手段為工藝獲得的、具有低攻擊能力的假體。
中度攻擊性假體是指以復雜的技術手段為工藝獲得的、具有一定攻擊能力的假體。
重度攻擊性假體是指以非常復雜的技術手段為工藝手段制造的、具有極高攻擊能力、十分逼真的假體。
在第4步驟“測試樣本選擇”里，該標準指出：
如果該活體檢測技術針對特定應用場景而設計，則測試報告中同時應給出該特定應用場景的真實人群的分布、可能遇到的虛假生物特征攻擊評估，以及與本測試中所采用的測試樣本的分布的差異性。
我來解釋一下，因為這是非常、非常、非常重要的技術常識。
活體檢測是多種技術手段的組合，根據應用場景中可能遭遇的假體類型進行正確的選擇和組合；
通過采用與應用場景匹配的活體檢測組合手段，迫使攻擊者必須花非常大的代價才能實施攻擊，是提高活體檢測安全性的唯一途徑；
所以沒有最好的活體檢測，只有最適合的活體檢測。
在本文一開始舉出的例子里，廠商用超出應用場景的定制假體來攻擊Touch ID，同時在自己的活體檢測方案里加入對應用場景沒有意義但能夠阻擋該定制假體的活體檢測手段。
在這次破解中，廠商用的指紋假體是黑色的，而且看起來很厚實，所以光學方法當然能阻擋下來。可是，又有誰見過黑漆漆的假指紋？自1971年的007電影首次出現假指紋以來，所有的假指紋都是透明或半透明得。
（圖5，Goodix公司定制版本的假指紋，和真實存在的假指紋）
我們來仔細討論：
為什么智能手機應用場景不需要考慮這個黑乎乎的假指紋？
在iPhone沒有丟失的情況下，即使被旁人借用，也在主人的視線以內。誰能當著主人的面拿出一坨黑乎乎的東西往Touch ID上擼，把iPhone給擼開，還不被主人發現呢？再說，這黑乎乎的一坨也不是誰都造得了，必須基于真指紋二次倒模才能做出來，所以需要“iPhone的主人親自做了一坨黑乎乎的假指紋，送給想竊取手機內信息的人，并看著他當面把Touch ID破解掉”。如果有這樣又眼拙又主動配合攻擊者制造假指紋的iPhone用戶，恐怕已經不是安全技術所能解決的范疇，而進入精神病醫生的業務范圍。這樣假定攻擊場景根本沒有意義。
從攻擊者的角度來講，由于太容易被他人發現，這坨黑東西根本不實用。這就是為什么我們從未見過如此假指紋的原因。如果G公司換用一個真實存在的假指紋，去掉黑色這個特性，光傳感器自然就失去效用，那么G公司的“活體指紋識別”的表現就跟Touch ID一樣啦。這就回答了蘋果明明擁有結合指紋傳感器和光傳感器的發明專利卻不使用，因為這在應用場景中沒有導致任何的攻擊成本上升。
這么說可能說服力不夠，我們換個角度繼續談。
手機丟失后迅速鎖定和擦除是王道。活體識別不是唯一的安全技術，安全技術也不是解決安全問題的唯一辦法。安全技術一般不會嘗試解決這樣的問題：熟人在主人不知情的情況下先竊取指紋，再竊取手機，然后破解指紋作案，因為熟人經過長期準備來作案，其暴露風險已經導致了很高的攻擊成本。而攻擊成本是安全等級的唯一度量，只有高于該攻擊成本級別的安全系統才會處理這類問題，例如公安局。而一部智能手機，被蘋果做到連FBI都束手無策的地步，憑什么還要強求對根本不存在的攻擊場景作出應對呢？（《讓 FBI 證明產品的安全性，蘋果做到了》）
本文的線索來自我們的法國朋友Jean-Fran?ois對G公司在MWC 2016展示的吐槽。Jean建立了全球最全面最優秀的指紋識別技術資料站，是我成長學習中主要知識來源之一，可以點擊這里進入。
Jean自己就是研究假體攻擊和活體檢測的技術大拿，對廠商跑到MWC炒陳年米飯大為不滿，吐槽其用了Authentec（就是蘋果的電容指紋技術研發部門）的原理圖，還提到專利侵權和Samsung（眾所周知，三星電子因為專利侵權賠了蘋果公司一大筆錢）。在他的提示下，我找出了蘋果的發明專利，進而揭開了這個謎題。須知，Jean的資料站年訪問量近百萬，這些吐槽讓全世界的專業讀者都看到了。
Cheers Jean!
設計公司的價值觀不應該是技術高超，而是完好地解決需求
在Jean的槽點以外，平心而論，搞這種不考慮應用場景的破解（iPhone在內的指紋鎖）是沒什么意義的——既然破解者連應用場景都沒搞清楚過，豈不是正好說明了破解者自己根本不知道會面臨怎樣的攻擊，怎能做到成功的防御呢？成為優秀的設計公司應該是以產品為中心，為了解決產品的需求才采用或研究高超的技術。就像蘋果為保iPhone的顏值，促進電容指紋技術的行業性提升，這才是值得我們稱道的。
而一切不以滿足產品需求為目的的秀技術，就跟不以結婚為目的的談戀愛一樣，都是在耍流氓。
推薦閱讀：
Touch ID變大！iPhone 6s的Home鍵下面隱藏著什么秘密？
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
