指紋解鎖有風險？科學家繪制出“萬能指紋” 匹配度是普通指紋30倍

多年來，研究人員已經證明，用于保護智能手機的常用指紋傳感器有時會被蒙騙，而欺騙者使用的是打印出來的指紋或個人的數字化指紋數據。

但紐約大學坦頓工程學院的計算機科學家們的新發現可能會大大增加這一可能性。

該組織已經開發出了一種機器學習方法，可以生成偽造的指紋，即所謂的“DeepMasterPrints”，這種方法不僅可以欺騙智能手機傳感器，還可以成功地偽裝成來自許多不同人的指紋。

可以把它看作指紋保護設備的“萬能鑰匙”。

這項工作建立在結合了共同指紋特征的“主指紋”概念的研究之上。

在去年的最初測試中，紐約大學的研究人員通過手工識別各種特征和特質，來探索主指紋，這些特征和特質可以結合起來，形成一個可以識別多個人的指紋。

不過，這項新工作通過開發機器學習模型，可以大量制造出主指紋，極大地擴展了這種可能性。

“即使生物識別系統對真實指紋的錯誤錄取率非常低，它們現在也必須進行微調，以考慮到人工指紋，”參與這項研究的紐約大學(NYU)博士生菲利普?邦特拉格(Philip Bontrager)說。

“大多數系統都沒有經受住人工指紋攻擊的考驗，因此這是設計傳感器的人們現在必須要注意的算法方面的問題。”

這項研究利用了移動設備掃描用戶指紋時的快捷方式。

這些傳感器足夠小，在任何時候都只能“看到”你手指的一部分。

因此，他們基于一個片段做出一些假設，這也意味著假指紋可能只需滿足更少的變量來欺騙他們。

研究人員在真實指紋圖像上訓練神經網絡，這樣系統就可以開始輸出各種真實的片段。

然后，他們使用一種被稱為“進化優化”的技術來評估怎樣的指紋才能成為一種成功的主指紋——每一種特征都盡可能熟悉和具有可信度——并引導神經網絡的輸出。

然后，研究人員將他們的合成指紋與流行的VeriFinger match.com(世界上許多消費者和政府指紋認證方案都采用了這種方法)和另外兩個商業配對平臺進行測試，看看他們的合成指紋與多少身份匹配。

指紋比對器可以設定不同的安全級別。

一個高度機密的武器設施希望被欺騙的可能性最小。

一款普通的消費類智能手機應該避免明顯的欺詐行為，但不要過于敏感以至于經常拒絕實際用戶。

在適度嚴格的設置下，研究小組的主指紋與不同商業平臺上的2% - 3%的記錄匹配到20%，這取決于他們測試的是哪種指紋。

總體而言，主指紋的匹配度是普通指紋的30倍——即使在最高安全設置下，主指紋的表現也不是特別好。

想想主指紋攻擊，就像密碼詞典攻擊一樣，黑客不需要一次就把它搞定，而是系統地嘗試常見的組合方式來入侵一個賬戶。

研究人員提到，他們并沒有對自己的機器學習生成的主指紋進行電容打印或其他復制，這意味著他們并沒有試圖解鎖真正的智能手機。

密歇根州立大學(Michigan State University)的生物識別研究員安尼爾?杰恩(Anil Jain)沒有參與這項研究，他認為這是一個真正的缺點：很難將研究推斷為實際的用例。

但他表示，這項工作的優勢在于它所開發的機器學習技術。

Jain說:“這種方法比以前的方法有效得多。”

紐約大學的研究人員計劃繼續改進他們的方法。他們希望提高生物識別技術行業對防范合成指紋的重要性的認識。

他們建議開發人員應該開始測試他們的設備，以確保專有系統能夠識別假冒偽劣產品。