@
imn1 他不是这个意思
他可能是想说，指纹的唯一性太好了，不像 V2EX 的账号那样，不想用的时候就可以更换一个，甚至可以注册一万个账号，想用哪个就用哪个。
如果他再使用一些基本的技巧，比如 Tor ，比如虚拟机，他在这些账号之间的关系就会很少。
而使用了指纹的时候，留下来的记录是唯一的，下次他再使用指纹的时候，更容易被追踪到。
因此他觉得使用指纹作为验证的时候，有负担。
@
elmander AOSP 是开源的，所以 Android 里涉及指纹的接口有哪些，逻辑上会怎么做都能查得到。
但是在它的背后，它需要通过驱动程序调用硬件的接口(比如映射到某些受保护的内存地址上)，那么这些驱动有没有不为人知的后门，硬件自身有没有后门，我们是不知道的。
上述驱动，如果不是作为内核的一部分，而是作为内核模块(.ko)或用户态驱动的时候，可以是不开源的。
涉及指纹的硬件应当做到：
1 ，拍到的指纹，会经过单向的摘要算法，得到一个 Hash ，指纹本身的图像被丢弃
2 ，这个 Hash 只能储存，不能读取。
3 ，验证指纹的时候，经过 1 ，再由受保护的硬件(指纹芯片自身或者 ARM 的 Trust Zone 等等)比较 Hash ，对外部只暴露这次验证是否成功。
但是 1/2/3 对于最终用户还是不可见的，是通过某些实体背书，然后用户信任它来完成信任链的。