防不胜防，揭秘指纹识别中的“假技术”：澳门威尼克斯人网站(MACAU)

(公众号：)按：本文作者为迈瑞微电子创始人李扬渊。除了给手机关卡，指纹识别早已沦为安全性缴纳的适当技术，以及家居安防的最重要技术。但在动荡不安的市场中，有多少假技术在忽悠着你，威胁着你的手机、帐户、隐私，甚至家人的安全性？假技术之一，“活体指纹”危险性指数★★★★在契约纸上按下指印是Finger “Print”这个词的来源。

为把手指上的指纹与纸上的指印做到区别，就不会再加Alive这个后缀。这就是Aliveness，中文译名“活体”本来的意思。在英语语境里，Aliveness是证明某个Fingerprint来自生物体；但在汉语语境里，经过一些人别有用心的提倡，竟成了回避非生物体指纹的安全性技术。

这被迫说道汉语真为精妙。再行来看对“活体”技术的最近一次官方打脸：央视2017年315晚会曝光了所谓的“活体”人脸识别，某人脸识别APP居然被非人类质感的粗劣制备图片密码。再行来看点高端水平，这胖墩顺利扮演着了前美国总统，要是白宫用于如此“活体”人脸识别，岂不免费一日游？返回“活体”指纹识别，某种程度是央视，这次却车站在了对立面：直说，这黑乎乎的一坨，究竟要证明其不是“活体”，还是无法证明其是“活体”呢？果然，打脸远比比315还慢，在2017年315晚会之前就有视频公布，如下：该视频中用于的是右图右图的半透明假指纹。

不吃瓜群众们恍然大悟，原本是这“活体”就是“鉴黄”啊，只回避白的。“活体”指纹虽然是骗技术，但要是你信的话，把身家放到被这“活体”指纹技术维护的手机里，那么就“信则穷”了。清为“活体”实乃“鉴黄”，对安全性展开编造和高估，误导用户冒更大的风险，危险性指数4星。假技术之二，“通过率”危险性指数★★★从字面意思看，“通过率”指用于中的顺利概率。

这对用于体验平等主义的消费电子可不得了，“通过率”测试就是指纹识别的尚方宝剑，不足以一票否决。惜道高一尺魔高一丈，有一种病态就不会有一百种不实等着你。再行看右图：这是同一手指在干、长时间、滑三种情况下收集到的图像，基于图像匹配很难解决问题这种差异性。

而消费者确实的用于体验，是在给定时间给定身体状况下用于的“通过率”，特别是在在遭到拒绝接受后主动因应摆正姿势时依然被拒绝接受是十分恼怒的。iPhone 5S曾多次就曝露经过一段时间后无法用于，必需新的登记的缺失，随后通过版本改版避免了这一缺失。但意外的是在Android手机里随着厂商对“通过率”拒绝更加严苛，这种指纹无法用的责怪却更加多。

大体有以下几个原因：为了降低成本，指纹传感器需要获取的指纹图像面积更加小；指纹识别和图像识别是有本质区别的，图像识别不考虑到指纹挤压变形、皮肤含水含油变化、起皱脱皮等生理变化；图像面积严重不足又要通过严苛的“通过率”测试，使一些指纹识别供应商面向“测试方法”，非常简单说道就是不实。再行来谈谈背后的故事，指纹识别的基本测试依据是 FAR / FRR 对比图如下：对每次给定得出一个评分，有所不同手指的指纹图像匹配分数多达阈值的比率叫作误将通过率（False Accept Rate, FAR），完全相同手指的指纹图像匹配分数高于阈值的比率叫作误将拒绝接受亲率（False Reject Rate, FRR）。FAR 和 FRR 是此消彼长的关系。

但受限于测试的数据规模，FAR / FRR 测试基于离线图像数据库展开。在学术界的测试中用于完全相同的数据库，是比较公平的；但在商业测试中由于传感器差异，图像数据库实质上由受测方获取。这就留给了不实的空间。

要想要“通过率”低，无非让指纹图像十分平稳，且总是在同一个区域。多数获取商业检验的指纹图像数据库收集只包括在极短时间内倒数收集小区域的指纹图像，以回避指纹的变化。这就是在实际用于体验低落的条件下大幅提高“测试通过率”的灵丹妙药。

随着“大数据”测试方法的蓬勃发展，“通过率”不实乱象未来将会解决问题。以50人总计多达30000次的日常用于作为统计资料依据，总能比5人1小时内测试结论有意义。但考虑到iPhone 5S传出无法用于的周期小于一个月，目前的“大数据”测试仍过于。

市场呼唤第三方标准化测试的创建，还市场一个公平的环境。欺诈的“通过率”，使消费者退出用于指纹识别，返回不安全性的Pin码，危险性指数3星。假技术之三，“误识率”危险性指数★★★★★指纹识别技术并未创建定量安全性评估，以“误识率”来替代安全性。

但“误识率”仅有是天然指纹随机撞击被算法判断为完全相同的概率，不是对主动攻击的抵抗能力。即便如此，在“误识率”上的不实手段也层出不穷。从误识率的定义“有所不同手指的指纹图像匹配分数多达阈值的比率”可衍生出有3种不实手段：1.定义不实智能手机行业的测试方法以“指 * 次”为分母，例如登记5指，给他人用于1次就产生了5个“指 * 次”；1/50,000误识率意味著登记5指后，被他人随机尝试10,000次为被找出的期望值。

但由于传感器面积较小，误识总是再次发生在A指纹某个局部和B指纹某个局部之间；从安全性考虑到我们关心的是多少人当中不存在一个人的一个指纹的一个局部需要和我的5所指的某一个局部给定上。对10,000次展开分解成，一人10指，每指视传感器尺寸有所不同可分解为10-50个独立国家局部。在传感器大于的情况下，1/50,000的误识率居然意味著每20个人里有一个能关上我的手机？！纳尼？！2.测试方法不实和通过率有所不同，误识率的分母往往约百万级，不能倚赖数据库测试。

这又返回检验数据库不实了。还包括如下几种手法：剔图法，把造成误识的图移除；子集法，调整图像在登记子集和给定子集的分配，使误识图像不展开给定；排序法，调整登记给定的顺序，使误识图像不展开给定。

3.掩饰缺失众所周知指纹识别要展开动态改版，一旦再次发生误识，且分数给的很高，被自学改版进来，是不是在以后不会确保再次发生误识？回应展开掩饰有两种作法：在同指给定和异指给定中，使用有所不同的阈值或使用有所不同的裁决逻辑；异指给定中无论分数多低，都不容许自学改版。这一节无法附图说明，读者不妨只注目结论：由供应商研发测试软件是一种极端领先的作法，不存在不实空间。

在多年前公安部对安防产品的测试中就出局了这一领先的作法，交由供应商获取AP以统一调用避免流程不实，图像的收集也由第三方独立国家展开避免造库不实。惜的是至今没产生为智能手机行业服务的第三方指纹测试，谈何指纹安全性？误识率不实，完全破坏指纹识别技术的安全性属性，危险性程度5星。特约稿件，予以许可禁令刊登。

下文闻刊登须知。

本文来源：澳门威尼克斯人网站(MACAU)-www.nb-jt.com