一项新研究指出，手机和其他电子设备上的指纹安全系统可能比以往认为的更容易受到攻击。
指纹认证系统配备的小型传感器无法采集用户的完整指纹。相反，它们会扫描并存储部分指纹，而且许多手机允许用户在认证系统中使用不同手指。只要用户的指纹与已保存的部分指纹之一匹配，身份就会得到确认。
一项新研究表明，不同人的部分指纹之间可能存在足够多的相似之处，从而形成一种“万能指纹”。
纽约大学坦顿工程学院计算机科学与工程教授纳西尔·梅蒙说，“万能指纹”的概念类似于黑客试图用1234这类常见密码破解基于PIN码的系统。“大约有4%的概率，密码1234会猜对；对于纯粹靠猜测来说，这个概率相当高。”
因此，研究人员着手寻找一种“万能指纹”，看看它是否会造成类似程度的安全漏洞。他们确实发现，人类指纹纹路中的某些特征十分常见，足以引发安全担忧。
这项研究发表于《IEEE信息取证与安全汇刊》研究人员分析了8,200枚部分指纹。他们使用商用指纹验证软件，发现每随机抽取一批800枚部分指纹，平均会有92枚潜在的“万能指纹”。（他们将“万能指纹”定义为至少与该随机抽样批次中4%的其他指纹匹配的指纹。）
然而，在抽取的800枚完整指纹中，他们只发现了一枚完整指纹“万能指纹”。梅蒙说：“并不意外，与完整指纹相比，部分指纹被错误匹配的概率要高得多，而且大多数设备仅依靠部分指纹进行身份识别。”
研究团队分析了从真实指纹图像中提取的“万能指纹”特征，随后构建了一种用于生成合成部分“万能指纹”的算法。
实验表明，合成部分指纹的匹配潜力更大，因此比真实的部分指纹更可能骗过生物识别安全系统。研究团队报告称，使用数字模拟的“万能指纹”，成功匹配的用户比例为26%至65%；具体比例取决于每位用户存储的部分指纹图样数量，并假设每次认证最多尝试五次。特定智能手机为每位用户存储的部分指纹越多，面临的风险就越高。
这项工作是在模拟环境中完成的，但博士后研究员兼论文共同作者阿迪蒂·罗伊强调，合成指纹生成技术的改进，以及将数字“万能指纹”转移到实体物件上以欺骗设备的技术，都带来了重大安全隐患。
“万能指纹”的高匹配能力凸显了设计可信赖的指纹认证系统所面临的挑战，也进一步说明了采用多因素认证方案的必要性。
论文共同作者、密歇根州立大学计算机科学与工程教授阿伦·罗斯说：“随着指纹传感器尺寸不断缩小，必须大幅提高传感器的分辨率，以便采集更多指纹特征。”
“如果分辨率没有提高，用户指纹的独特性就必然会受到损害。这项研究所做的实证分析清楚地证实了这一点。”
梅蒙说，团队的研究结果基于细节点匹配，而具体供应商未必会采用这种方法。尽管如此，只要设备仍使用部分指纹解锁，并且为每根手指存储多个部分指纹图样，找到“万能指纹”的概率就会大幅上升。
