在手機、電子鎖、保險箱等產品中廣泛運用指紋解鎖，真的安全嗎？
10月24日，在上海舉行的GeekPwn 2019國際安全極客大賽上，在20分鐘的挑戰時間內，騰訊安全玄武實驗室研究人員完成了指紋識別破解，通過提取用戶在日常生活中留存的指紋，自動化進行克隆復原，進而通過各種指紋設備的驗證。
在觀眾接觸過一個玻璃水杯後，騰訊安全玄武實驗室研究員陳昱拿出手機拍攝觀眾留存在水杯上的指紋，隨後在手機上調試之後“克隆”了一個全新的指紋，利用這個“新指紋”通過了該觀眾提前錄好指紋的3臺手機和2臺考勤機的指紋識別，一共破解了使用電容、光學和超聲波三種技術類型的指紋驗證設備。
陳昱解釋項目背後的原理稱，這是採用了屏幕圖像採集技術以及指紋雕刻技術，首先通過使用特殊拍照方法提取手機、門鎖、考勤機等物品上的指紋，經過指紋破解APP解析形成有效指紋信息，再借助雕刻機克隆指模，最後便可使用克隆指模通過各種驗證。
據騰訊方面介紹，這次挑戰也是國際上第一次成功攻破超聲波屏下指紋識別技術。
成本僅1000多元，但攻擊也是有條件的
在演示結束後接受媒體採訪時，陳昱表示，“我這次攻擊成本，硬件成本加在一起1000多（元），軟件只是一部手機、一個（指紋破解）App。”指紋破解App項目的前期積累有半年，做全類型指紋破解項目的時間則是一個多月，指紋破解App能夠在小面積的指紋殘影情況下提取復刻有效指紋。
今年早些時候，有報道稱，拍照比“剪刀手”可能會洩露指紋信息，如果鏡頭距離夠近，“剪刀手”照片通過照片放大技術和人工智能增強技術，就能將照片中人物的指紋信息還原出來。指紋信息通過照片被提取後通過專業材料製作成指紋膜，可被不法分子用於各種通過指紋技術來識別身份的渠道，比如指紋門鎖、指紋支付等。
而陳昱不是拍攝手指，而是採集手指在玻璃杯等光滑平面上的指紋痕跡，“我們演示的是難度最高的玻璃杯採集。屏幕上採集指紋難度比玻璃杯低好幾倍。”
在採集到指紋後，下一步是藉助雕刻機克隆指模需要的材料，“必須能導電，電阻率跟皮膚類似。其次，要能破超聲，要有3D的信息，材料要易打印易雕刻。”陳昱稱，這些材料市面上可以直接購買。
在演示過程中，專家評委點評稱，此次挑戰的難點在於，“要一個指紋把所有的（指紋識別方法）全部都解鎖。”此外，誕生時間更久的電容和光學指紋識別均有被攻破過，而更先進的超聲波指紋識別是新挑戰。
不過，陳昱表示，用戶無需過分恐慌，雖然該技術可對多種類型指紋識別進行自動化破解，但用戶只需在日常使用中養成及時擦去指紋的習慣，即可大幅提升指紋設備安全。玄武實驗室也已與多家指紋驗證設備提供商進行溝通，推動該問題的解決。
陳昱指出，完成攻破的條件苛刻，“所有攻擊都是有條件的。我們今天演示的這個攻擊，得拿到指紋，還得拿到攻擊者的手機。條件其實也挺苛刻的。”
現場專家評委也表示，“現在無論是認證還是支付，其實用的都是多維度的技術，包括生物特徵、環境特、行為特徵和你的歷史記錄。不只是指紋特徵來做這件事情。”
不止破解指紋解鎖，極客還會“騙”過人臉識別
據騰訊方面介紹，騰訊安全玄武實驗室帶來本次自動化指紋設備破解研究之前，曾多次披露了關於生物活體檢測的安全研究。騰訊安全玄武實驗室此前發佈了關於面部識別研究的議題，介紹了通過軟件無感知的方法注入生物特徵從而繞過基於攻擊介質的活體檢測，依託Face ID注視檢測在特定場景下的設計缺陷，可以在用戶閉眼的狀態下解鎖手機。
在GeekPwn 2019國際安全極客大賽現場，來自長亭科技的參賽隊伍利用無線投屏設備的漏洞和平板電視的漏洞，實現了對辦公設備的遠程控制。參賽隊伍利用未知安全漏洞，植入了惡意攻擊程序，感染了其他連接投屏設備的電腦，然後遠程控制被感染的電腦拍攝了用戶的照片；並且還利用平板電視的漏洞，獲得了平板電視的root shell，截屏並獲取了圖片。據悉，這兩項漏洞可以被應用於針對企業的滲透測試中。
來自清華大學的TSAIL等多個戰隊，成功利用圖片對抗樣本針對圖像分類器發起攻擊，導致分類器出錯，騙過AI圖像識別。TSAIL站隊在“人臉識別攻擊”中用圖片成功欺騙圖像分類器，讓AI將黃健翔識別成了伊萬卡。
來自騰訊移動安全實驗室的高級研究員韓紫東、韓景維，現場成功破解三款主流品牌安卓手機。選手利用最新系統手機中的漏洞進行攻擊，實現在手機中自動安裝、運行APP，獲取手機的GPS位置信息等操作。據介紹，賽後，主辦方會將相關漏洞提交至手機廠商並協助修復，騰訊移動安全實驗室韓景維介紹，通過對手機等智能硬件的漏洞研究及破解，能夠進一步幫助手機廠商提升設備的安全性，以保證手機等智能設備不被惡意入侵。
這些“極客”所承擔的角色，即白帽黑客。“白帽黑客”與“黑帽黑客”相對，一般指的是無攻擊惡意的黑客。他們能識別出計算機或網絡系統中的漏洞，將其公佈給廠商修復，以免“黑帽黑客”從中盜取信息、牟利。
碁震KEEN公司創始人兼CEO、GeekPwn大賽發起創辦人王琦表示，“對極客來講，消滅更多的不安全問題，我們才有更安全的未來。”
閱讀更多 澎湃新聞 的文章
