刚刚跟朋友聊到手机上的指纹辨识系统， 突然想到 Android 上的指纹辨识系统是否会储存原始资料。 查了一下资料，目前只有看到苹果在 Touch ID 白皮书中提到： Touch ID 安全性 https://support.apple.com/zh-tw/guide/security/sec0f02a0f7f/web 执行向量化以进行分析时，光栅扫描会暂时储存在「安全隔离区」的加密记忆体中，然後 便会遭舍弃。此分析利用皮下指纹纹路角度对应，这是一种有损性的程序，重建使用者实 际指纹所必需的精细资料会在分析完成後删除。最後产生的节点图会以一种只能由「安全 隔离区」读取的加密格式进行储存，其中不含任何身分资讯。此资料绝对不会流出装置， 不会传送给 Apple，也不会纳入装置备份中。 指纹纹路角度对应 从指纹的一部分撷取出，描述纹路走向和宽度的数学表示资料。 同时在其他技术说明网站中也提到： 关於 Touch ID 进阶安全技术 https://support.apple.com/zh-tw/HT204587 Touch ID 可以读取多枚指纹，也能以 360 度方向读取指纹。然後建立指纹的数学表徵， 用来与您登记的指纹资料进行比对，比对成功後即会解锁装置。这只会储存指纹的数学表 徵，绝不会储存手指影像本身。Touch ID 会随着时间逐步更新登记指纹的数学表徵以改 善比对的准确度。 ..... 装置中的晶片采用先进的安全架构，称作 Secure Enclave，用以保护密码和指纹资料。 Touch ID 不会储存您指纹的任何影像，而是单纯依赖其数学表徵。他人无法藉由所储存 的资料，进行真实指纹影像的反向工程。 您的指纹资料会进行加密，存放在装置上，并以一组只有 Secure Enclave 才能存取的金 钥加以保护。您的指纹资料仅供 Secure Enclave 使用，以验证您的指纹与登记指纹资料 是否相符。其无法透过装置的 OS 或装置上所执行的任何应用程式来存取。指纹资料绝不 会存放在 Apple 伺服器上，也不会备份到 iCloud 或其他任何地方，而且无法用来与其 他指纹资料库进行比对。 苹果强调 Secure Enclave 的指纹数学表示式无法逆推真实指纹图样。 而查了一下 Android 在这方面说明只有强调指纹辨识组件是独立且经过加密的： 了解指纹功能的安全性 https://support.google.com/pixelphone/answer/6300638?hl=zh-Hant 使用指纹将手机解锁虽然方便，但相较於复杂的 PIN 码、解锁图案或密码，指纹解锁的 安全性可能较低。 如果有人复制了您的指纹，就能将您的指纹图样用来解锁。您接触过的众多物品 (包括手 机) 都会留有您的指纹。 安全的储存位置 指纹的撷取及辨识程序必须在硬体的安全元件 (可信任执行环境，简称 TEE) 中执行。 硬体存取范围仅限於 TEE，并且受到 SELinux 政策的保护。 指纹资料必须妥善储存在感应器硬体或可信任的记忆体内，让其他人无法存取您的指纹图 样。 安全的储存及移除机制 档案系统只能储存经过加密的指纹资料 (即使档案系统本身已加密也一样)。 移除使用者时，必须同时移除装置上的指纹资料。 启用装置的 Root 权限时，不得泄露指纹资料。 .... 指纹样板的验证标准 Google 规定指纹样板 (经过处理的原始指纹图样) 必须经过加密验证。 指纹样板必须由不公开的装置专用金钥 (例如金钥杂凑讯息验证码 (HMAC)) 进行签署， 且金钥至少必须包含档案系统的绝对路径、群组和手指 ID，藉此确保样板档案无法在其 他装置上使用，而且装置共用对象也无法使用这些档案。举例来说，任何人都无法复制同 一部装置上其他使用者的指纹资料，也无法复制其他装置上的指纹资料。 此外，还必须使用装置专用的加密金钥 (例如进阶加密标准 (AES)) 来处理指纹资料，藉 此确保其他装置无法读取原始指纹图样或指纹样板。 但是没有强调指纹样板是否可以逆推原始指纹图样(或者本身就是指纹图样) 有没有对这方面有了解的人知道各家 Android 手机里面使用的指纹辨识， 是否也像苹果依样采用数学向量表示， 来避免资料被获取之後仍能够被逆向回推原始指纹图样？ 个人感觉是即使是第二代 Touch ID，苹果的辨识度跟成功率都远低於 Android 手机， 估计是验证过程中比对的采样点较少所以成功率高很多(? -- --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 122.118.224.121 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Android/M.1612363220.A.01A.html 另外一篇也是这麽认为 刚刚喂狗一下好像找到我要的答案了 手机厂商如何保证指纹安全的？兼谈供应链(可能为简体中文网页) https://zhuanlan.zhihu.com/p/42527644 用了这麽大篇幅苦口婆心讲了指纹采集不会被骇客截获，那指纹资讯的存储是否安全呢？ 首先，一台新手机拿到之後第一次开机会提示你录入指纹，一般会要求录入15次左右。每 录入一次都会生成一个指纹范本，因此会生成15个指纹范本，作为後续指纹验证的对比范 本。这些指纹范本只是二进位资料，本身不是图像。但的确可以通过指纹晶片厂商的特殊 工具还原成指纹图像。 ※ 编辑: Lyeuiechang (36.233.103.24 台湾), 02/04/2021 10:26:40