蔡云剛

Safety analysis of Fingerprint Identification System

Cai Yungang

Abstract:In this paper, the reality is currently widely used fingerprint identification system, in terms of the physical layer, network layer, the development platform of the security threats facing the current fingerprint identification system may be analyzed and put forward a coping strategy.

Key words:Fingerprint；network security;data interception由于指紋具有人人都有的普遍性、每人不同的唯一性以及不隨年齡而變化的穩(wěn)定性等特征，指紋識別系統(tǒng)在現(xiàn)實(shí)生活中被廣泛用于身份認(rèn)證。除公安刑偵部門外，銀行提款、公司考勤、門禁管理、網(wǎng)上購物、機(jī)場海關(guān)等都廣泛應(yīng)用該系統(tǒng)，它是目前性價(jià)比最高的生物識別系統(tǒng)之一。本文針對指紋識別系統(tǒng)在網(wǎng)絡(luò)化管理新趨勢下可能面臨的各種安全威脅做了一個(gè)整體的分析，并針對性地給出了應(yīng)對策略。

1來自物理層的威脅

指紋識別系統(tǒng)主要涉及指紋圖像采集、指紋預(yù)處理、特征提取和匹配四個(gè)方面，其中指紋識別算法最為關(guān)鍵，實(shí)現(xiàn)也極其復(fù)雜，一般攻擊者難以找出漏洞并利用。但是攻擊者往往會通過其他手段加以規(guī)避，比如利用很久以前公布的使用硅膠來制作假指紋進(jìn)行突破，再比如對于一些精準(zhǔn)度不夠的指紋識別設(shè)備，尤其是光學(xué)指紋識別設(shè)備，使用最新的彩色激光打印機(jī)完全能夠打印出分辨率非常擬真的指紋圖片，也能達(dá)到以假亂真的目的。諸如這些就是指紋識別系統(tǒng)面臨的來自物理層的無法繞過的安全威脅。對于一些沒有獲得相關(guān)涉密考核資質(zhì)的廠商生產(chǎn)的光學(xué)指紋加密設(shè)備，比如一些中小型公司里很常見的指紋打卡機(jī)、指紋門禁系統(tǒng)等，不可避免的會受到偽造指紋的影響。面對這種來自物理層的安全威脅，對應(yīng)的策略是提高安全防范意識，保管好指紋和指紋庫。

2來自網(wǎng)絡(luò)層的威脅

2.1 操作系統(tǒng)安全威脅

網(wǎng)絡(luò)型指紋識別設(shè)備一般都提供網(wǎng)絡(luò)訪問及管理功能，攻擊者可以通過專業(yè)的掃描工具，比如Ike-scan、Xscan、Nmap等，對指紋識別系統(tǒng)網(wǎng)絡(luò)進(jìn)行掃描，獲取目標(biāo)設(shè)備產(chǎn)品型號、設(shè)計(jì)廠商、主機(jī)名、操作系統(tǒng)類型、開放端口等信息。拿到這些信息后，攻擊者會更進(jìn)一步地進(jìn)行漏洞探測，從而拿到指紋識別設(shè)備操作系統(tǒng)管理權(quán)。目前，國內(nèi)的指紋識別設(shè)備多采用Linux操作系統(tǒng)，作為開源的一種操作系統(tǒng)存在被溢出、被拒絕服務(wù)等風(fēng)險(xiǎn)。此外，某些網(wǎng)絡(luò)型指紋識別設(shè)備支持Telnet、Web等管理功能，而一般管理人員并不會設(shè)置十分繁瑣的密碼。針對這種管理方式，攻擊者會使用諸如Hydra之類的工具進(jìn)行在線賬戶及密碼暴力猜解。對于這類威脅，對應(yīng)的策略是修改系統(tǒng)banner，及時(shí)升級系統(tǒng)漏洞補(bǔ)丁、設(shè)置帶特殊符號的復(fù)雜密碼等。

2.2 數(shù)據(jù)鏈路安全威脅

數(shù)據(jù)鏈路安全威脅主要是指紋登入信息、USB便攜式指紋識別設(shè)備數(shù)據(jù)等被網(wǎng)絡(luò)嗅探軟件攔截與分析。由于網(wǎng)絡(luò)型指紋識別設(shè)備與驗(yàn)證設(shè)備要通過網(wǎng)絡(luò)進(jìn)行指紋信息的交互。在交互過程中，就面臨著數(shù)據(jù)鏈路被嗅探分析的威脅。攻擊者通過Cain、Ethereal等工具能夠捕獲指紋錄入數(shù)據(jù)包，并從中分析出當(dāng)前使用的指紋識別設(shè)備廠商及具體型號等信息。而通過對USB接口的數(shù)據(jù)流進(jìn)行攔截分析，也能得到當(dāng)前使用的USB型指紋加密設(shè)備等的相關(guān)信息。面對這種安全威脅，對應(yīng)的策略是使用私有協(xié)議進(jìn)行加解密和完整性校驗(yàn)，修改設(shè)備banner標(biāo)志等。

2.3 無線網(wǎng)絡(luò)安全威脅

談到無線網(wǎng)絡(luò)安全，首先要糾正一些錯(cuò)誤的觀點(diǎn)。比如只要遵循物理安全規(guī)定，把指紋識別系統(tǒng)放置在內(nèi)部安全位置，并且設(shè)定嚴(yán)格的實(shí)名登記制度，就可以確保安全。這些舉措能增強(qiáng)安全性，但面對存在無線接入點(diǎn)的不嚴(yán)謹(jǐn)?shù)木W(wǎng)絡(luò)時(shí)就顯得不夠，攻擊者只要滲透到目標(biāo)內(nèi)網(wǎng)，就可以進(jìn)行截獲分析，進(jìn)而拿到指紋設(shè)備管理權(quán)。盡管實(shí)際攔截時(shí)有難度，但這確實(shí)是潛在的安全隱患。針對無線網(wǎng)絡(luò)安全威脅，對應(yīng)的策略是完善網(wǎng)絡(luò)結(jié)構(gòu)，關(guān)閉不必要的無線熱點(diǎn)，設(shè)置復(fù)雜的無線網(wǎng)絡(luò)密碼，并定期進(jìn)行無線網(wǎng)絡(luò)安全評估等。

3來自開發(fā)平臺的威脅

現(xiàn)在很多的指紋識別廠商都強(qiáng)調(diào)客戶無需附加任何單片機(jī)直接利用EDK主板輕松進(jìn)行量身定制。這些宣傳令人心動，但這些光鮮宣傳的背后則暗藏著容易被人忽略的安全風(fēng)險(xiǎn)?；谥靼宓那度腴_發(fā)系統(tǒng)（EDK）是一個(gè)并行高速處理的嵌入式Linux脫機(jī)指紋產(chǎn)品開發(fā)平臺，該平臺以TCP/IP協(xié)議為標(biāo)準(zhǔn)接口。對于專業(yè)人士，比如單片機(jī)方面經(jīng)驗(yàn)豐富的高手或者嵌入式開發(fā)方面的老手，他們通過自身的經(jīng)驗(yàn)可以對其進(jìn)行再次開發(fā)和編譯，量身定制出此類產(chǎn)品的破解或者配置工具。針對來自開發(fā)平臺的安全威脅，對應(yīng)的策略是使用一般的普通的指紋識別設(shè)備。

[參考文獻(xiàn)]

[1]吳建明,施鵬飛.一種基于方向場和細(xì)節(jié)特征匹配的指紋識別方法[J].計(jì)算機(jī)工程與應(yīng)用，2003，（2）：91~93.

[2]王躍明,潘綱,吳朝暉.三維人臉識別研究綜述[J]．計(jì)算機(jī)輔助設(shè)計(jì)與圖形學(xué)學(xué)報(bào)，2008，20(7)：819．829．

[3]M.Blanton and P.Gasti.Secure and Efcient Protocols for Iris and Fingerprint Identication.Cryptology ePrint Archive,Report 2010/627,2010.http://eprint.iacr.org/.