越来越多的智能手机正在添加指纹读取硬件，以试图在日益拥挤的市场中增加差异化因素，并试图为用户提供更便捷的安全功能。在摩托罗拉Atrix 4G风头在CES 2011上，作为第一个现代智能手机配备了指纹识别器(有上一代的Windows Mobile设备与指纹识别器，但这些从来没有一般消费产品)。从那时起，三星Galaxy Alpha 4G，iPhone 5s，HTC One Max，Oppo N3和三星Galaxy S5(仅举几例)已经与指纹读取器一起发布。
认证方式
尽管市场上似乎出现了指纹读取器激增的趋势，但它们并不是人们通常宣称的安全灵丹妙药。我们试图实现的基本问题是身份验证-确保用户是应该的身份。我们会不断对服务进行身份验证-通常通过用户名和密码进行。近年来，我们已经看到使用2-Factor身份验证的情况有所增加，要求使用“您知道的东西”以及“您拥有的东西”(智能手机上的令牌生成器)。第三个经典的身份验证因素是“您的身份”，这就是生物识别技术的应用领域。
我们会定期在新闻中看到流行的身份验证系统的局限性–每当网站遭到入侵时，都会提醒其用户更改密码并保持警惕。这样做的原因是，大多数站点都使用所谓的“弱认证”，通过向您公开自己只知道的秘密来向服务人员证明自己是谁。您输入用户名和密码，然后您的计算机或电话将它们发送到服务器，服务器将检查它们是否正确。如果是，则可以访问。如果没有，您就不会。简单!
或者可能不是?弱认证的想法从根本上是有缺陷的(因此得名)–用于认证的秘密(即密码)应该只对您自己知道。为了使服务能够确定您是否正确，您将密码泄露给了服务器。现在有2个参与方知道这个秘密-您和服务器!这意味着如果服务器受到威胁，则可以记录密码。如果用户重复使用密码，则所有帐户都将受到威胁，因为攻击者也知道其密码。
强认证
解决这种弱身份验证问题的方法是所谓的“强身份验证”(正确，正确)。通过强大的身份验证，您无需向服务人员证明自己就是您所说的身份，而不是在识别自己时透露您的秘密，但不会泄露该秘密。这样可以保持其完整性，并防止其受到攻击该服务的人的破坏。通常，这种强身份验证从技术上讲是基于“挑战-响应”身份验证的思想，这只是一个询问过程，每次您想登录时都会向您询问一个新的独特问题。从密码获得知识的问题，该问题不会显示密码本身，但会证明您知道密码。尽管实现这一目标的精确技术不在本文讨论范围之内，Wikipedia页面，并了解有关协议，例如Secure Remote Password。
强大的身份验证具有明显的优势，即如果一项服务遭到破坏，则其他服务上的用户帐户不会因为该破坏而直接受到未经授权的访问。因此，强身份验证对于用户安全性非常好。许多重要的协议都在使用它来保持互联网的运行。
但是你说指纹!
现在我们熟悉了身份验证的概念，下面我们来考虑通过指纹进行身份验证的过程。每次使用指纹时，指纹的全部内容都会向读者公开。它必须将您的指纹转换为数字表示形式，然后可由服务进行处理。这意味着您每次使用时都会公开“秘密”身份验证凭据，从而使指纹成为弱身份验证的一种形式。此外，您每次触摸某物时也会公开身份验证凭据。这类似于在繁忙的公共场所四处走走，无法抗拒将密码泄露给全世界!
但是，这不是打破指纹认证的最简单方法!随着人们越来越习惯于提供指纹来登录，这只会使人们更愿意使用手指对服务进行身份验证。它所需要的只是一台受损的指纹读取器，它可以记录观察到的原始指纹，并且您的指纹不再安全。这正是欺诈者破坏“芯片和PIN” EMV信用卡安全性的方式。如果您不信任所使用的终端，则无法确定指纹没有被盗。就像您在(可能是键盘记录的)网吧计算机上键入密码那样不明智。
“但是，这肯定比密码还差吗?”，但我听到您问。实际上，情况更糟。如果您的密码被盗，则可以使用密码重置过程，恢复您的帐户并更改密码。您的帐户再次安全(或与服务一样安全)。现在，假设您的指纹是否被盗。您不能只是更改它。您可以四处走动，并通知您的银行它已被盗用，他们可以将其记录在案，但事实并没有改变-它已经被盗用。现在，它对于身份验证没有用。当然，您可以使用另一根手指，但这并不是完全可持续的-这些天，每年有十多次重大站点安全漏洞!
未来
将来，指纹认证的用户会更加担心– 31C3会议上发表的最新研究表明，德国政客的指纹是如何能够复制(并产生物理克隆)的，而这仅是常规的高质量文件。他们在会议上讲话时拍摄的照片。此时，您最好将您的密码刺到额头上。
尽管指纹认证看起来很方便，但该概念从根本上来说是有缺陷的。如果有人发现，您可以更改密码或PIN码。您不能对指纹进行同样的操作。每次通过指纹对某种东西进行身份验证(例如学校的无现金餐饮或您自己的智能手机)时，都有冒着被恶意软件破坏的风险。指纹不像密码。您无法选择为银行使用更好，更安全的服务，而为次要服务使用较弱的服务。更重要的是，您必须坚持使用它们。
这个问题没有真正的解决方案。最好的解决方法是不使用基于指纹的身份验证。这可能很困难–许多国家记录其公民的指纹。这样的数据库的存在意味着，如果基于指纹的登录变得越来越流行，这些数据库将成为分子的巨大目标，他们渴望立即访问亿万用户的帐户。而且，就像他们在黑色星期五销售中所说的那样，“一旦他们走了，他们就走了!”
