只用20分钟，伪造指纹就能解锁手机

人们已经自然而然地认为指纹是独一无二的，而且远比密码安全。从很多方面来说，确实是这样的。但不为人熟知的是，笔记本厂商选择的指纹传感器，可能会导致用户的指纹图像被盗取，让黑客可以拿着一把“万能钥匙”，使用所有设备，访问公司的资料。

安全公司Synaptics做了一个实验，仅仅五分钟，黑客就可以偷走用户的指纹，然后获得笔记本电脑和公司网络的所有访问权限；在不到20分钟内，就能偷走用户的指纹，然后制作假体去解锁大多数主流手机，去查看手机中的文本、图片和数据。

目前笔记本市场上有两种类型的指纹传感器：一种是加密、安全的；另一种是没有加密、不安全的。如果用户不幸买了指纹传感器不具备加密功能的电脑，那就是将指纹图像和“万能钥匙”开放给了黑客。和密码不一样的是，当指纹被偷之后，是不能修改指纹的。

黑客盗走没有加密的指纹图像能做什么呢？他们可以制作假体，或者用一款不超过200美金的喷墨打印机打印出用户的指纹图像。有了假指纹，不仅可以解锁那部指纹被盗走的电脑，而且还能解锁用户的手机，偷走所有的私人信息和照片。如果电脑还连着公司网络，相当于也把公司的商业机密以及其他保密信息都交给了黑客。这是BYOD（携带自己的设备办公）时代，IT安全人员应该格外注意的问题。

比制作出一个实体假指纹更危险的是，黑客可以通过一个叫做Replay Attack的东西，随时黑进用户的电脑。黑客可以拥有电脑主人拥有的所有权限。比如，如果一个IT管理员账户被盗用，那么黑客就将拥有广泛的公司服务器权限。当盗走一个指纹图像，黑客可以把图像植入或回放进电脑里来实现解锁。电脑将无法区分真实指纹和被植入回来的假指纹之间的区别。一旦黑客可以植入指纹图像，他们就可以远程解锁电脑，获得用户的数据以及企业网络服务的访问权限。这种攻击方法也可以应用在电源控制电路上，黑客可以随意远程启动系统或关闭系统不被任何人发现。

黑客电脑现在可以执行两种不同的操作：它既可以将获取的指纹数据重新发送回被盗电脑，然后远程解锁电脑；也可以将指纹图像发送到打印机，通过使用打印机和导电墨水，创建一个“万能钥匙”并且访问被盗电脑，甚至还能无需触碰就访问被盗者的手机。

那么该如何去预防这种现象呢？答案是使用加密的指纹传感器。一些安全企业已经开始出货加密指纹传感器，并推出了相应的安全套件，为指纹识别传感器提供全面安全保护。然而，并不是所有的加密都是一样的，因此，从传感器到主机的全方位加密是非常重要的。之所以会产生这个问题，是因为一些笔记本电脑制造商选择使用廉价的未加密的手机指纹传感器，并通过一个微控制器将传感器和笔记本电脑相连接。这种情况下，即使从微控制器到主机的链路是加密的也不安全，因为加密的安全性将取决于链路最薄弱的环节。任何未经加密的线路都是极其脆弱的，加密指纹传感器和微控制器之间的链接是很脆弱的，很容易受到攻击。

然而，为什么一些笔记本电脑制造商会使用未经加密的手机指纹传感器，让用户隐私及公司信息存有潜在安全隐患呢？因为那些传感器便宜，它们仅为手机使用而设计。如今的手机，都是防水的，而且很难被拆开。与电脑不同，手机几乎在任何时候都是不离身的。手机可以依靠物理上的安全来确保传感器的安全。但笔记本电脑却不同，它通常都会被放在家里的桌子上、汽车里、办公室里或者是公共咖啡厅的桌子上，可以在短短几分钟内就轻松访问电脑内的文件。正由于安全和使用模式的不同，手机的安全组件不应该被用于笔记本电脑上。

黑客往往把注意力集中在小概率事件上，因为显而易见的安全隐患已受到严密的监控。英特尔和微软都在努力保护主机中的数据，固态硬盘是经过加密的，甚至BIOS也是受保护的，这就让没有加密的传感器很容易成为被攻击的目标。这包括任何一个传输未加密图像的生物传感器，而指纹传感器则是首当其冲。因此需要各方共同努力，加密所有生物传感器来确保安全。除此之外，还需要其他技术，比如“假体指纹”区别技术，通过更高安全可靠性的加密技术和Match-in-Sensor传感器匹配技术和防伪造技术，帮助防御假体指纹。