水杯上的指纹被快速克隆屏下指纹识别设备被攻破

（原标题：水杯上的指纹被快速克隆：超声波屏下指纹辨认设备初次被攻破）

汹涌新闻记者 陈宇曦

在手机、电子锁、稳妥箱等产品中广泛运用指纹解锁，真的安全吗？

10月24日，在上海举办的GeekPwn 2019世界安全极客大赛上，在20分钟的应战时刻内，腾讯安全玄武实验室研讨人员完结了指纹辨认破解，经过提取用户在日常日子中留存的指纹，主动化进行克隆恢复，然后经过各种指纹设备的验证。

在观众触摸过一个玻璃水杯后，腾讯安全玄武实验室研讨员陈昱拿出手机摄影观众留存在水杯上的指纹，随后在手机上调试之后“克隆”了一个全新的指纹，运用这个“新指纹”经过了该观众提早录好指纹的3台手机和2台考勤机的指纹辨认，总共破解了运用电容、光学和超声波三种技能类型的指纹验证设备。

陈昱解说项目背面的原理称，这是采用了屏幕图画收集技能以及指纹雕琢技能，首要经过运用特别摄影办法提取手机、门锁、考勤机等物品上的指纹，经过指纹破解APP解析构成有用指纹信息，再凭借雕琢机克隆指模，最终便可运用克隆指模经过各种验证。

据腾讯方面介绍，这次应战也是世界上第一次成功攻破超声波屏下指纹辨认技能。

本钱仅1000多元，但进犯也是有条件的

在演示完毕后承受媒体采访时，陈昱表明，“我这次进犯本钱，硬件本钱加在一起1000多（元），软件仅仅一部手机、一个（指纹破解）App。”指纹破解App项目的前期堆集有半年，做全类型指纹破解项目的时刻则是一个多月，指纹破解App可以在小面积的指纹残影情况下提取复刻有用指纹。

本年早些时候，有报导称，摄影比“剪刀手”可能会走漏指纹信息，假如镜头间隔够近，“剪刀手”相片经过相片扩大技能和人工智能增强技能，就能将相片中人物的指纹信息复原出来。指纹信息经过相片被提取后经过专业资料制作成指纹膜，可被不法分子用于各种经过指纹技能来辨认身份的途径，比方指纹门锁、指纹付出等。

而陈昱不是摄影手指，而是收集手指在玻璃杯等润滑平面上的指纹痕迹，“咱们演示的是难度最高的玻璃杯收集。屏幕上收集指纹难度比玻璃杯低好几倍。”

在收集到指纹后，下一步是凭借雕琢机克隆指模需求的资料，“有必要能导电，电阻率跟皮肤相似。其次，要能破超声，要有3D的信息，资料要易打印易雕琢。”陈昱称，这些资料市面上可以直接购买。

在演示过程中，专家评委点评称，此次应战的难点在于，“要一个指纹把一切的（指纹辨认办法）全部都解锁。”此外，诞生时刻更久的电容和光学指纹辨认均有被攻破过，而更先进的超声波指纹辨认是新应战。

不过，陈昱表明，用户无需过火惊惧，尽管该技能可对多种类型指纹辨认进行主动化破解，但用户只需在日常运用中养成及时擦去指纹的习气，即可大幅提高指纹设备安全。玄武实验室也已与多家指纹验证设备提供商进行交流，推进该问题的处理。

陈昱指出，完结攻破的条件严苛，“一切进犯都是有条件的。咱们今日演示的这个进犯，得拿到指纹，还得拿到进犯者的手机。条件其实也挺严苛的。”

现场专家评委也表明，“现在无论是认证仍是付出，其有用的都是多维度的技能，包含生物特征、环境特、行为特征和你的历史记录。不仅仅指纹特征来做这件工作。”

不止破解指纹解锁，极客还会“骗”过人脸辨认

据腾讯方面介绍，腾讯安全玄武实验室带来本次主动化指纹设备破解研讨之前，曾多次披露了关于生物活体检测的安全研讨。腾讯安全玄武实验室此前发布了关于面部辨认研讨的议题，介绍了经过软件无感知的办法注入生物特征然后绕过根据进犯介质的活体检测，依托Face ID凝视检测在特定场景下的规划缺点，可以在用户闭眼的状态下解锁手机。

在GeekPwn 2019世界安全极客大赛现场，来自长亭科技的参赛部队运用无线投屏设备的缝隙和平板电视的缝隙，完成了对办公设备的长途操控。参赛部队运用不知道安全缝隙，植入了歹意进犯程序，感染了其他衔接投屏设备的电脑，然后长途操控被感染的电脑摄影了用户的相片；而且还运用平板电视的缝隙，获得了平板电视的root shell，截屏并获取了图片。据悉，这两项缝隙可以被应用于针对企业的浸透测验中。

来自清华大学的TSAIL等多个战队，成功运用图片对立样本针对图画分类器建议进犯，导致分类器犯错，骗过AI图画辨认。TSAIL站队在“人脸辨认进犯”顶用图片成功诈骗图画分类器，让AI将黄健翔辨认成了伊万卡。

来自腾讯移动安全实验室的高档研讨员韩紫东、韩景维，现场成功破解三款干流品牌安卓手机。选手运用最新体系手机中的缝隙进行进犯，完成在手机中主动装置、运转APP，获取手机的GPS方位信息等操作。据介绍，赛后，主办方会将相关缝隙提交至手机厂商并帮忙修正，腾讯移动安全实验室韩景维介绍，经过对手机等智能硬件的缝隙研讨及破解，可以进一步协助手机厂商提高设备的安全性，以确保手机等智能设备不被歹意侵略。

这些“极客”所承当的人物，即白帽黑客。“白帽黑客”与“黑帽黑客”相对，一般指的是无进犯歹意的黑客。他们能辨认出计算机或网络体系中的缝隙，将其发布给厂商修正，避免“黑帽黑客”从中盗取信息、牟利。

碁震KEEN公司创始人兼CEO、GeekPwn大赛建议创办人王琦表明，“对极客来讲，消除更多的不安全问题，咱们才有更安全的未来。”

本文来历：汹涌新闻 责任编辑：王凤枝_NT2541