暖心十二月，再送30元優(yōu)惠券：http://www.sosenglish.com.cn/bulletin/details_11644.html；海外現(xiàn)貨樣品隔天送達(dá)：http://www.sosenglish.com.cn/so/DigiKeyProduct.html。

 

指紋、虹膜、人臉、聲紋等生物密碼具有惟一性和不變性，一旦泄露就是終生泄露，不可不察！

互聯(lián)網(wǎng)改變了整個(gè)世界，移動(dòng)互聯(lián)網(wǎng)地改變了我們的生活，手機(jī)的功能正在由通信和社交領(lǐng)域向支付領(lǐng)域延伸，約車(chē)、訂餐、購(gòu)物、轉(zhuǎn)賬......出門(mén)可以忘記帶錢(qián)包，但絕不能忘記帶手機(jī)。手機(jī)越來(lái)越重要，隨之而來(lái)的是安全問(wèn)題也就越來(lái)越突出。

手機(jī)U盾馬上就要推廣了，手機(jī)很快就能進(jìn)行上百萬(wàn)的資金操作，你的手機(jī)是否具有銀行般的安全等級(jí)？會(huì)不會(huì)被騙子冒充身份而取走血汗錢(qián)？這些問(wèn)題你當(dāng)然要做到心中有數(shù)。

安全問(wèn)題很專業(yè)很復(fù)雜，真正搞清楚是很難的，不過(guò)沒(méi)關(guān)系，請(qǐng)聽(tīng)我用通俗的語(yǔ)言從頭說(shuō)起，我保證說(shuō)的對(duì)，而且您還聽(tīng)得懂。

1、為啥“認(rèn)證”不安全？

信息安全可分為“加密”和“認(rèn)證”兩個(gè)方面，加密是把明文變?yōu)槊芪?，非法用戶即使得到了密文，他也無(wú)法解讀出來(lái)。

認(rèn)證就是鑒別真?zhèn)?，其中最重要的就是身份鑒別，即核實(shí)用戶身份的真實(shí)性，這方面的安全性就比加密差得遠(yuǎn)了，現(xiàn)在的安全形勢(shì)是“加密強(qiáng)、認(rèn)證弱”，幾乎所有的網(wǎng)絡(luò)安全問(wèn)題和通訊詐騙都源于認(rèn)證的漏洞。

為什么加密強(qiáng)呢？加密過(guò)程是安全設(shè)計(jì)師與黑客的斗法，為了給黑客增加難度，安全設(shè)計(jì)師采用了“等效數(shù)學(xué)難題”的思路，把某個(gè)世界性的數(shù)學(xué)難題編成密碼，除非黑客能解開(kāi)數(shù)學(xué)難題，否則就破解不了。黑客哪有這個(gè)本事，若有早就去當(dāng)數(shù)學(xué)家了，所以說(shuō)加密強(qiáng)。

為什么認(rèn)證弱？這是因?yàn)樵谡J(rèn)證過(guò)程中增加了用戶因素，與狡猾黑客斗法的不再是安全設(shè)計(jì)師，而變成你這個(gè)用戶了。需要你本人提交一個(gè)能證明自己身份的密碼，而你根本就不懂得啥世界性的數(shù)學(xué)難題啊，更不會(huì)用數(shù)學(xué)難題構(gòu)建密碼了。

安全專家提醒你要設(shè)一個(gè)復(fù)雜的長(zhǎng)密碼啊，但太復(fù)雜了你記不住啊，于是就設(shè)了個(gè)8位的密碼，還很得意的想“這是我生日的倒序，打死他們也猜不到啊~”這就毀了，與生日相關(guān)的密碼是極易破解的，黑客們?cè)缇筒碌搅恕?/p>

現(xiàn)在你看出來(lái)了吧，認(rèn)證弱的核心原因就是用戶自設(shè)的身份鑒別密碼強(qiáng)度太低，在證明你是你的方面出現(xiàn)了漏洞。

2、如何證明你是你？

如何證明你是你？這聽(tīng)起來(lái)很好笑，但在信息化時(shí)代卻是個(gè)很?chē)?yán)肅的問(wèn)題，甚至是一個(gè)困擾我們每個(gè)人的全球性難題。

傳統(tǒng)自證的模式是設(shè)密碼，即設(shè)定一個(gè)只有你自己知道的密碼，并在信息系統(tǒng)中備案，當(dāng)下次有人向信息系統(tǒng)提交了這個(gè)密碼時(shí)，信息系統(tǒng)就據(jù)此認(rèn)定此人是你。

這種傳統(tǒng)的認(rèn)證模式很不人性化，密碼設(shè)短了不安全，設(shè)長(zhǎng)了記不住。通過(guò)你會(huì)死記硬背一個(gè)較長(zhǎng)的密碼，在QQ、微博、微信、支付寶、郵箱都用這一個(gè)，可一旦有一處泄露了，其它也就都不安全了。

安全專家推薦的做法是：給每一個(gè)應(yīng)用都設(shè)置一個(gè)很長(zhǎng)的隨機(jī)密碼，每隔一段時(shí)間就逐個(gè)更換。但這是很難做到的，很多人的做法是多個(gè)應(yīng)用使用同一個(gè)密碼，只要不出事就不換，可真出了事也就晚了，其實(shí)我本人也是這樣。

生物密碼與傳統(tǒng)密碼很不一樣，它的位數(shù)非常長(zhǎng)，而位數(shù)是安全的關(guān)鍵，這比前面說(shuō)的八位密碼強(qiáng)健多了，黑客靠猜測(cè)試驗(yàn)的方法是破解不了的，所以有專家稱生物密碼是最安全的密碼。 

生物密碼的另一個(gè)好處就是不需要記憶，指紋和虹膜都是隨身攜帶，按一下或看一眼就相當(dāng)于輸入了一個(gè)成千上萬(wàn)位的密碼?，F(xiàn)在已經(jīng)實(shí)用化的生物密碼有四種：指紋、虹膜、人臉、聲紋，未來(lái)還可能有腦電波等等。

但你是否考慮過(guò)這個(gè)問(wèn)題：傳統(tǒng)密碼可以隨意更換，可生物密碼是跟隨您一輩子的啊，萬(wàn)一被壞人盜取了你的指紋和虹膜密碼，難道你還能切了手指頭和自戳雙目？

現(xiàn)在的通訊詐騙非常猖獗，公眾信息泄露是重要原因之一，騙子們能準(zhǔn)確說(shuō)出你的個(gè)人信息，那是因?yàn)槟阍谫?gòu)房購(gòu)車(chē)、孩子入托入學(xué)、訂機(jī)票火車(chē)票時(shí)所提供的個(gè)人信息，早已經(jīng)成為騙子們所收集的詐騙資料，買(mǎi)賣(mài)個(gè)人信息已經(jīng)形成了地下產(chǎn)業(yè)，一條信息值多少錢(qián)都有行情。

傳統(tǒng)的個(gè)人信息保衛(wèi)戰(zhàn)已經(jīng)失守，但下步的生物密碼你一定要堅(jiān)守?。◎_子們下步收集的就會(huì)是指紋，來(lái)源就有可能是公司和單位的指紋打卡機(jī)，而指紋一旦泄露就是終身泄露，很多人完全沒(méi)有意識(shí)到這個(gè)危險(xiǎn)的嚴(yán)重性，甚至制作自己的指模交給同事幫忙打卡，這就是把后半生的固定支付密碼交給了他人。 

3、該把生物密碼交給誰(shuí)？

現(xiàn)在的手機(jī)都實(shí)名認(rèn)證了，但實(shí)名的只是我們這些遵紀(jì)守法的老百姓，騙子們依然藏在暗處，他們通過(guò)馬仔高價(jià)收購(gòu)實(shí)名卡，雖然詐騙成本提高了些，可他們掌握我們的信息還更準(zhǔn)確了呢。

也許你還不知道，誘導(dǎo)貧苦老人實(shí)名辦卡后被騙子的馬仔收購(gòu)，這已經(jīng)成為了地下的違法行當(dāng)。保安在營(yíng)業(yè)廳里對(duì)著排隊(duì)實(shí)名辦卡開(kāi)網(wǎng)銀的老人喊“出售銀行卡是違法行為！”老人才不管這一套，開(kāi)通網(wǎng)銀的銀行卡500塊一張，馬仔就在門(mén)外等著收呢，一上午進(jìn)三家銀行就凈賺1500，再加上配套實(shí)名手機(jī)卡價(jià)格會(huì)更高。 

即使?fàn)I業(yè)員對(duì)此心知肚明，那也不能拒絕辦理，因?yàn)檫@是人家的合法權(quán)利。而將來(lái)的詐騙一旦事敗，公安追到了這些賣(mài)卡人，他家徒四壁根本賠不起，即使判了刑，那又有什么意義？

你當(dāng)然不會(huì)為了蠅頭小利而主動(dòng)出賣(mài)個(gè)人信息，但會(huì)出于對(duì)合法商家的信任而提交個(gè)人隱私。例如你會(huì)在手機(jī)上設(shè)置指紋密碼用于移動(dòng)支付，這是個(gè)很常見(jiàn)的操作，但這個(gè)生物密碼究竟保存在哪里？上傳到了哪個(gè)商家的數(shù)據(jù)庫(kù)里？是否已經(jīng)造成了你的生物密碼的永久性泄露？我估計(jì)你肯定不知道，甚至你可能都沒(méi)有思考過(guò)這件事。

2016年7月18日，大麥網(wǎng)的用戶信息被黑客攻破，不法分子冒充客服準(zhǔn)確說(shuō)出用戶真實(shí)信息，騙取信任后實(shí)施詐騙，39名用戶被騙147萬(wàn)元。

此案例給了我們兩個(gè)啟示：第一，即使商家是誠(chéng)信可靠的，也不能放心地把個(gè)人隱私交給它。好比是你把寶貝交給了一個(gè)信得過(guò)的朋友保管，他的確沒(méi)想過(guò)要昧了你的寶貝，但他家的防盜措施不到位，寶貝被強(qiáng)盜入室搶了，你還能咋辦？第二，傳統(tǒng)密碼可以做到每個(gè)商家一個(gè)，一旦泄露只在這一家產(chǎn)生損失，但如果是終身不變的生物密碼被這個(gè)商家泄露，那損失就是一輩子的事。

前段時(shí)間發(fā)生了網(wǎng)易郵箱信息泄露事件，很多用戶發(fā)現(xiàn)自己的常用密碼已經(jīng)被公開(kāi)了，于是紛紛在其它的應(yīng)用中及時(shí)修改。這些暴露出來(lái)的泄露還算好的，起碼你可以亡羊補(bǔ)牢，而那些沒(méi)有暴露出來(lái)的信息泄露呢？

你的個(gè)人信息一定在很多網(wǎng)站登記過(guò)了，現(xiàn)在我問(wèn)您一個(gè)問(wèn)題：你能確保個(gè)人信息沒(méi)有泄露嗎？你當(dāng)然不能確保，很可能你的常用密碼已經(jīng)泄露而您并不知情，而你正處于被騙子實(shí)施詐騙的準(zhǔn)備階段。

所以，我們的原則是：即使對(duì)方是你非常信任的商家，它不會(huì)利用你的信息牟取非法利益，但這并不代表它能保管好這些信息，不要把個(gè)人隱私交給任何商家，特別是具有唯一性和不變性的生物密碼，絕對(duì)不要交給任何商家。

重要的事情說(shuō)三遍：生物密碼一定要掌管在自己手里！生物密碼一定要掌管在自己手里！生物密碼一定要掌管在自己手里！

4、現(xiàn)在的生物密碼安全嗎？

現(xiàn)在的指紋支付已成普遍應(yīng)用，但你知道你的指紋信息到底放在了哪里嗎？這是個(gè)重大而且敏感的問(wèn)題。

開(kāi)辦互聯(lián)網(wǎng)金融業(yè)務(wù)的商家希望自己保存用戶的指紋信息，對(duì)于開(kāi)展后續(xù)的擴(kuò)展應(yīng)用非常有好處，例如這家公司推廣一個(gè)特別能吸金的手游，而麻煩的注冊(cè)過(guò)程擋住了一些沒(méi)耐心的潛在用戶。而如果這家公司掌握了你的指紋密碼，注冊(cè)和支付就是“一觸式”的，開(kāi)展吸金新項(xiàng)目這么方便，替公司想想就感到很興奮呢。

例如有家名為購(gòu)買(mǎi)寶（本文虛構(gòu)的商家，旨在說(shuō)明道理，不指代任何公司）的公司開(kāi)展了指紋支付的網(wǎng)購(gòu)業(yè)務(wù)，然后跟各家手機(jī)商進(jìn)行談判，要求手機(jī)商把用戶的指紋密碼直接給它，由它進(jìn)行備案和后續(xù)支付時(shí)的比對(duì)。

這時(shí)，不同手機(jī)商家的應(yīng)對(duì)方式就不同了，有的手機(jī)廠家圖省事就答應(yīng)了，凡是使用這家手機(jī)的用戶指紋就被送到了購(gòu)買(mǎi)寶那里。有的手機(jī)廠家拒絕向購(gòu)買(mǎi)寶提交用戶指紋，而是把用戶指紋封鎖在手機(jī)芯片中，備案和后續(xù)的比對(duì)都在芯片中進(jìn)行，然后只給購(gòu)買(mǎi)寶傳送一個(gè)比對(duì)后的YES或NO的信息。

當(dāng)然是后一種廠家更有節(jié)操，但你知道你的手機(jī)廠家是咋做的嗎？是屬于沒(méi)節(jié)操還是有節(jié)操的？我估計(jì)你不知道。公眾對(duì)生物密碼的重要性太無(wú)知了，這也正是這篇科普要解決的認(rèn)識(shí)問(wèn)題。

指紋、虹膜、人臉、聲紋這些生物信息難以復(fù)制，例如刻意模仿一個(gè)人的話音，外人聽(tīng)起來(lái)已經(jīng)很像了，但精細(xì)的頻譜分析也可以找出明顯的差別。但是，無(wú)論這些生物信息如何難以模仿，但一旦經(jīng)過(guò)采樣數(shù)字化后，就變成了一長(zhǎng)串“1”“0”序列，而這串序列是極易復(fù)制的。

因?yàn)椤吧锾卣麟y模仿易復(fù)制”這個(gè)特點(diǎn)，手機(jī)通過(guò)傳感器采集生物特征并編碼成生物密碼，這種過(guò)程應(yīng)該在一個(gè)黑盒子中封閉處理，以防止被木馬程序劫持。這就是對(duì)生物密碼處理的 “雙系統(tǒng)原則”。即生物密碼信息的采集處理與存儲(chǔ)都不通過(guò)安卓系統(tǒng)，而是在一個(gè)獨(dú)立的SE芯片中進(jìn)行，這就是蘋(píng)果和高通芯片的常規(guī)做法。

所有的密碼處理都在SE芯片中處理，這雖然滿足了一般性的安全要求，但其實(shí)還存在著重大隱患。為什么這樣說(shuō)呢？不妨設(shè)想一個(gè)場(chǎng)景，你把現(xiàn)金和珠寶都放在了家里的保險(xiǎn)柜時(shí)，自以為這樣就安全了。而當(dāng)賊入室盜竊時(shí)，他一眼就能看到保險(xiǎn)柜，這等于告訴賊財(cái)產(chǎn)就在這里，能不能拿走就看你的本事了。 

獨(dú)立SE芯片也是同理，秘密都在這個(gè)顯眼的黑盒子里，等于給了黑客一個(gè)明確的指示，直接對(duì)它下手就有可能破解成功。這種架構(gòu)違反了一條重要的信息安全理論，那就是秘密信息的載體沒(méi)有隱藏。

你可能會(huì)覺(jué)得破解芯片太難了，哪個(gè)笨賊會(huì)花費(fèi)這么大的成本？奧老師你危言聳聽(tīng)了吧？我并沒(méi)有危言聳聽(tīng)，而是你不了解技術(shù)現(xiàn)狀。例如在無(wú)所不能的深圳華強(qiáng)北，拆卸處理手機(jī)芯片早已經(jīng)是個(gè)低科技含量的灰色業(yè)務(wù)。

同樣是iPhone6手機(jī)，內(nèi)存128G的高配版比16G的低配版貴1000多塊，你拿16G的低配版手機(jī)找到店鋪老板，他幾分鐘就能給你換個(gè)128G的內(nèi)存，這項(xiàng)服務(wù)只需要300塊錢(qián)，而且老板會(huì)很貼心地把舊內(nèi)存還給你，囑咐你這里有隱私，請(qǐng)自行銷毀。 

當(dāng)前多數(shù)手機(jī)都采用類似的獨(dú)立SE芯片，對(duì)密碼進(jìn)行封閉性黑盒處理是對(duì)的，但獨(dú)立結(jié)構(gòu)卻是個(gè)安全漏洞，給不法分子下手破解提供了可能。

即使不盜取其中的密碼信息，只是把它拆下來(lái)，再換上個(gè)空的SE芯片，就相當(dāng)于你取消了指紋或虹膜密碼，不法分子就可以進(jìn)入到你的手機(jī)系統(tǒng)。這就好比是防盜門(mén)廠家宣傳自家的高級(jí)鎖根本無(wú)法盜配鑰匙，但人家小偷不走盜配鑰匙的路子，而是咔嚓一下把鎖芯換了，你的鑰匙再精密復(fù)雜也根本沒(méi)起到作用。

7、結(jié)束語(yǔ)

現(xiàn)在已經(jīng)得到應(yīng)用的生物密碼有四種，分別是指紋、虹膜、人臉和聲紋。生物密碼的加密強(qiáng)度大且不必記憶，已經(jīng)得到了廣泛地應(yīng)用，甚至?xí)蔀槲磥?lái)移動(dòng)支付的主要認(rèn)證模式。

生物密碼具有唯一性和不可變更性，要堅(jiān)持“生物密碼必須掌握在自己手里”的原則，不能出于對(duì)商家的信任就假手于人，因?yàn)橐坏┬孤毒褪墙K身泄露，后果會(huì)非常嚴(yán)重。