delphij's Chaos

选择chaos这个词是因为~~实在很难找到一个更合适的词来形容这儿了……

26 Feb 2009

基于生物特征识别的计算机登录安全吗?

许多新的笔记本计算机系统配备了基于指纹的身份识别系统。与通常人们的认知不同,这类系统的安全性往往仅仅与使用口令相当,甚至要比基于口令的身份认证系统来的更差;这类系统的价值在于,它们简化了用户的身份验证过程,而不是其改善了系统的安全性。

指纹识别,以及目前采用的其他生物特征识别技术,其共同特点是需要使用某种加密存储来保存特征数据 以及 用户用于验证身份的信息,这类信息可能是口令,也可能是私钥等等。

不可避免地,由于生物特征只能以基于概率的方法来进行验证(例如,指纹验证通常是取几十个数据点,如果符合的比例超过一个阈值则认为匹配),而不是通过采样得到数据直接来进行计算(话说回来,即使是这样也有问题,因为那样的话,便没有办法任意修改这些数据来获得与更换密钥同样的效果),因此,这些加密存储也就不得不要求验证系统本身持有解密的密钥。换言之,如果负责身份验证的芯片存在后门或漏洞的话,是否持有带生物特征的信任状,并不会改变能否拿到机密数据这个结果。又比如,身份认证芯片本身如果完成的是取解密密钥,而不是解密这样的操作(从减少成本的角度说,很有理由这样做),那么一旦软件系统存在的漏洞所导致的风险就大大提高;而由硬件直接完成解密操作的问题则是,硬件事实上没有办法验证软件是否仍然在一个"理性"的状态运行,或者说,硬件并没有办法来验证访问它的软件是不是它期待的那一份。

不过,从积极的方面看,基于生物特征识别技术的身份验证方案尽管并不能消除系统中的任何薄弱环节(如果不是增加薄弱环节的话),但是对于缺乏安全知识的用户还是有一些积极意义的,例如:

  • 由于不需要每次都输入很长的口令,这些用户会更乐意接受不容易被穷举的、复杂的长口令。当然,任何理性的远程验证系统都应该有适当的密码重试锁定策略,这种做法只是减少或消除了偶然猜中密码的可能性。

  • 减少了使用长口令的用户登录的时间。

  • 看起來很"酷"。

不过很遗憾,这个列表并不包含直接地改善系统的安全性。


Archived: 8 Comments

d4m* | February 26, 2009 12:36 PM

碟中谍?
Captcha: h7g3wk

later | February 26, 2009 5:10 PM

delphij老大总是这么理性!

antijp | February 26, 2009 6:38 PM

指纹识别实际上比较耗时,这个我觉得是潜在的危险。

有一次我就在某人锁定的 T4x(2 还是 3 来着)上死命刷指纹,指纹识别的程序吃掉了大部分的 CPU 时间,导致他锁定的帐号内跑的程序严重受影响。

这样算不算个潜在的 DoS 漏洞呢?

whisper | March 1, 2009 2:10 AM

怎么能说不安全呢,那是极度安全
安全到我自己的指纹每次都认不出来

Xin LI replied to comment from antijp | March 3, 2009 2:20 AM

我认为不算。举例来说仅仅因为一个OS能运行带 for (;;); 的程序,并不能认为这个OS有DoS漏洞,除非它会让控制陷在这个程序里面再也无法出来。

antijp | March 3, 2009 6:45 PM

实际上还有个问题要考虑。在没有指纹识别的情况下,光是死命敲键盘,基本上是很难大量占用 CPU 的,而且在尝试登录达到一定次数后,还会被锁定无法输入密码一小会儿,但是刷指纹就没有这个限制……

这就好比是本来一个 OS 可以在某程序 cputime 超了之后干掉它,但是在装了一个小程序之后,这个限制就失效了……

Xin LI replied to comment from antijp | March 5, 2009 3:23 AM

login锁定并不是一个抗DoS功能,而是一个防止穷举口令的措施。对于指纹来说,穷举的意义不太大,因为 (1) 匹配指纹需要的时间比判断口令是否正确需要的时间长 (2) 指纹通常会采样至少80个左右的点,从应用角度来看,穷举需要的时间太长。

还有一个关键问题是,刷指纹这样的操作,一旦停止,其效果就很快消失了。这类本地物理攻击我不认为可以被归类为 DoS 问题,例如,水也可以让计算机停止工作(甚至破坏数据),但是一般不会认为这是一个 DoS 问题。

kang | March 15, 2009 10:45 PM

我就在用带指纹识别的笔记本,而且公司对密码格式的要求几乎达到我忍耐的极限,还强制定期更换。所以就像delphij说的,生物特征识别技术还是很必要的…… 再说了,密码文件又是用特殊的软件进行了额外的保护的,即使别人拿走了我的密码文件,再要求我去拿手指验证那也没用……