现在的安卓手机指纹识别是否涉及泄露指纹信息?

2015-12-28 17:07:18 +08:00
 yanyuechuixue

比如,支付宝是否会偷偷采集所有用户的指纹信息建立数据库用来卖?

24063 次点击
所在节点    Android
77 条回复
honeycomb
2015-12-29 08:44:55 +08:00
使用 android6+的指纹 api 的可以保证不泄漏指纹信息,且记录的是摘要(这是 cdd 的要求)
processzzp
2015-12-29 08:53:59 +08:00
@yanyuechuixue 对,应用是根本获取不到的。原始的指纹数据在芯片的一个特殊区域,就连系统自己也是拿不到的。
不管是应用也好还是系统也好,都只能知道:这个指纹和预先录进去的指纹数据是 or 不是一样的。其他的一概不知

以上是标准的实现方法, iOS 和 Android 6.0+都是这样实现的。不用担心指纹隐私泄露

但是,部分国产手机在 Android 6.0 问世之前就实现了指纹识别。它们有可能不规范地使用了指纹数据,比如原始图案可以导出等等。这也就是上面的很多人所说的,有风险
honeycomb
2015-12-29 09:33:12 +08:00
@yanyuechuixue

按照你的意见,有一个问题
Nexus6p 是华为造的

@processzzp
搭载 GMS 的 Android 设备相对靠谱一些,因为要搭载 GMS 则需要符合 CDD ,并通过 CTS 测试。


@zpole

苹果有没有给开后门,有两个事情:
1 ,开后门是正常的,不开后门是不正常的
2 ,它有透明度报告,会报告很具体的执法机构的数据请求数量,还有大概数量的国家安全信函数量,后者就是涉及国家安全的(反)间谍机构的明面动作了。至于 NSA/CIA 在苹果埋的钉子,这么大的高科技公司肯定有。
3 ,但是苹果为它的消费者产品(特别是在终端自身)的安全做出的努力,是有目共睹的
yanyuechuixue
2015-12-29 09:46:42 +08:00
@honeycomb 但不能保证每个应用都用 API 是吧?也可以直接操作硬件吧?
iwj
2015-12-29 09:56:27 +08:00
@processzzp 这位同学讲得非常中肯。 nice
Halry
2015-12-29 09:59:38 +08:00
@youling 除非华为在 google 开发完后改了 tz 或 fpc 驱动,那我就没办法了.
tghgffdgd
2015-12-29 10:00:14 +08:00
Nexus Imprint 的有相关介绍
https://support.google.com/nexus/answer/6300638?hl=zh-Hans


系统只会在您的设备上妥善存储您的指纹数据,您的数据不会分享给 Google 或您设备上的任何应用。
不过,使用 Nexus Imprint 时需要注意以下事项:
使用安全系数较高的密码、 PIN 码或图案来解锁设备,会比使用指纹解锁设备的安全性更高。
只要使用实体的指纹副本即可解锁您的手机,而您的指纹会留在自己触摸过的许多东西上,包括手机。

系统会妥善存储 Nexus Imprint 数据
关于指纹数据在设备上的存储方式, Google 为设备制造商制定了一套严禁的准则:
采集和识别指纹的操作必须在设备硬件的安全区域(称为“ Trusted Execution Environment ”(TEE))内进行。硬件访问权限仅限于 TEE ,且受 SELinux 政策保护。
指纹数据必须妥善地存储在传感器硬件或可信任的内存中,这样任何人都无法查看您的指纹图片。
只有加密的指纹数据才能存储在文件系统中(即使文件系统本身已加密)。
移除用户时,必须同时移除设备中的指纹数据。
对设备执行 Root 操作时,不得损毁指纹数据。
此外,还有一些准则要求指纹模板(经过处理的原始指纹图片)必须经过加密身份验证。
指纹模板必须使用设备专用的私有密钥(例如 HMAC )签名,且密钥中应至少包含文件系统的绝对路径、群组和手指 ID ,这样模板文件便无法在其他设备中使用,或者在同一设备上注册模板文件的其他人(用户除外)便无法使用相应文件。例如,复制同一设备上其他用户的指纹数据,或从其他设备复制指纹数据的操作都无效。
设备专用加密密钥(例如 AES )必须用于指纹数据,以确保其他设备无法读取原始图片或指纹模板。

Nexus Imprint 数据不会泄露
您的指纹数据会以安全妥善的方式存储,绝不会泄露:
您的指纹数据只会存储在您的设备中,不会备份到您的计算机或其他设备上。
系统不会与 Google 分享您的指纹数据,也不会将数据备份到 Google 服务器。
您的指纹数据不会分享给应用,而应用也无权访问指纹数据或硬件。系统只会通知应用您的指纹是否已经过验证。
PublicID
2015-12-29 10:00:47 +08:00
我这辈子不会用任何 "指纹识别" 相关技术,无论是本国的、美国的,还是安卓的、苹果的。

无他,因为太不容易被伪造了。所以我不用
ahtsiu
2015-12-29 10:01:38 +08:00
还真是啥都能扯到国内国外啊
honeycomb
2015-12-29 10:16:25 +08:00
@yanyuechuixue
可以保证,因为涉及指纹的操作只有指纹 API ,而指纹 API 无法读出指纹,只能用于验证是否吻合系统中已经存入的某个指纹


@PublicID
有道理!

但是你做不到的,因为:
1 ,你的下一张身份证不可以不录入指纹。
2 ,去某些国家时办理签证 /入境的时候不可以不录入指纹

而 1 的最差结果是,办理银行业务需要验证储存在身份证里的指纹,以证明你是该身份证的合法持有人。因为你拒绝在身份证里录入指纹,所以你没有合法的身份证,因此你无法办理银行业务,而你工作的单位只通过银行账户向你发工资 /你控制的企业账号必须固定在某个银行,于是.......
imn1
2015-12-29 10:23:48 +08:00
@PublicID
因为太不容易被伪造了?
有点糊涂,是不是我看错了?
RockyLee
2015-12-29 10:40:41 +08:00
我都是用奇怪的位置解锁(手指侧面的纹路)
testisitok
2015-12-29 10:51:26 +08:00
@Halry 傻叉
annielong
2015-12-29 10:58:02 +08:00
社区在 2011 年都开始采集指纹了,本地派出所拿个指纹采集机直接到公司一个人一个人按
jwenwang
2015-12-29 11:48:17 +08:00
然而 Android 版本的支付宝并不支持指纹启动和支付!
49
2015-12-29 11:56:11 +08:00
好重的戾气,
君子和而不同。
pljhonglu
2015-12-29 12:00:00 +08:00
@Sequencer 还有嘴唇~
elmander
2015-12-29 12:00:27 +08:00
代码是死的,都不会反编译么?
honeycomb
2015-12-29 12:04:02 +08:00
@imn1 你没有看错,他认为指纹有很好的唯一性,又很容易公开采集,有泄漏隐私之虞
honeycomb
2015-12-29 12:04:48 +08:00
@elmander 这功能是写在固件和芯片里的,所以没有源代码

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/246712

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX