iPhone 5s 的指紋辨識真的可以成為密碼終結者嗎？

本文作者Mark Burnett是一名安全顧問，原文載於其部落格Xato.net。雖然很多媒體認為，指紋將會成為密碼的終結者。然而在這一點上，還是存在很多異議的。在此我希望能將指紋與密碼的對比羅列出來，供那些並不是非常清楚其含義的人參考。

Apple已經宣佈，iPhone 5s 將會包含指紋掃描功能。大部分人認為這一創舉將是安全方面的一大革新，但是，很多來自安全社群的專業人士對此都抱有高度懷疑。雖然很多媒體認為，指紋將會成為密碼的終結者。然而在這一點上，還是存在很多異議的。在此我希望能將指紋與密碼的對比羅列出來，供那些並不是非常清楚其含義的人參考。

生物識別技術就如同我們日常熟悉的使用者名稱、密碼的概念一樣，是一種系統用來識別和驗證使用者身份的方法。我們都熟知的一點是，密碼的安全性很弱，並且不方便管理。這就是為什麼人們總是期望誕生新的認證產品，進而終結密碼的使用。儘管密碼存在這樣那樣的缺點，但目前而言，它仍然在各種身份驗證系統中扮演著不可或缺的角色。

事實上，密碼確實有很多缺點，然而瑕不掩瑜。同理，對於生物識別技術也是一樣。你無法簡單的用指紋識別來取代密碼，進而得到一個完美的解決方案。即便一些舊有問題會因此得到解決，一些新的問題也會隨之引入。

為了理清這些概念，如下的表格將對生物識別技術與密碼認證在各方面作逐一對比。

●打鉤的條目表示該技術在此方面遠勝過對方。兩邊都打鉤則表示各有優缺點。

以上對比說明了什麼？

如你所見，顯然生物識別技術並非密碼的完美替代方案。這也是為什麼每次生物識別技術公司在其發佈會上宣稱自己是密碼終結者時，其安全專家們只能表現的唯唯諾諾。生物識別技術確實在某些方面明顯優於密碼，但是他們也有很多劣勢。甚至在某些方面，他們二者都很脆弱，或是根據具體情境各有優點。目前而言，上面的列表並未考慮到每個條目的權重。但是一個基本的觀點在於，無法通過簡單的比較，得到二者孰優孰劣。

不過有一點可以指出的是，通過同時使用二者來獲得更好的安全性，是遠勝於僅使用其中一項的。因為你能夠享受二者各自的優勢，而減少缺點。舉例而言，我們都知道一旦你的指紋資訊被盜用後，指紋自身是無法改變的。但是通過密碼與指紋的配對就能夠解決這個問題。同時採取二者的方式被稱為二元認證。

就目前披露的資訊而言，還不知道Apple手機是否允許同時使用密碼與指紋。

如果把焦點放回 iPhone 的指紋掃描感應器上，一些有趣的地方就值得注意了。首先，將指紋識別裝置附加到手機上，彌補了很多單純生物識別技術的缺陷，例如登入困難，需要特殊的硬體支援以及隱私等問題。因為指紋只是儲存在自己的手機上，所以這些問題都會迎刃而解。另一點有趣的事實是，手機本身成為了驗證身份的第三重因素：它只屬於你。當這一點結合另外二元認證在一起之後，使得這一身份認證系統變得很可靠。試想一次盜用行為需要首先取得你的手機，然後還要擁有你的指紋，最後還要知道你的密碼。這幾乎很難同時做到。

總之，指紋掃描裝置的安全性主要取決於它是如何設計運作的。但是即便它不盡完美，也比無數缺乏保護的手機要強得多。

這裡還有一些很多人提到的安全問題：比如這會否是一個美國國家安全局用來構建指紋資料庫的大陰謀呢？就目前所知，Apple是透過加密指紋，然後進一步將其儲存在自己的手機中，並不會上傳網路。這種做法是否安全還有待觀察。但是值得留意的一點是，你的指紋其實並沒有想像中的那麼私密：事實上它會留在每一樣你碰過的東西上。(xato.net)

延伸閱讀:

iPhone 5s 正式發表，指紋辨識加金裝

蘋果的指紋識別技術存在安全隱患嗎？等 JB 之後我們就知道了