由一个电子指纹锁想到的,难道指纹锁内部存储密码都是明文？

最近买了一个销量很高的指纹锁装上了（牌子就不说了），说实话各种体验都挺好。很人性化。很赞，我都想买个蓝牙网关把它的功能都玩一玩。

但是，（对，凡事就怕但是）
其中有个功能，只要你输入密码包含真实密码就能开门，是的这个是用来混淆旁观者的。
例如，你真实密码 123456，你可以输入 1234512333333331111111112345666666666 就能解锁。
对于此，我陷入了人生的大思考，
难道内部程序是吧密码直接明文存储在内存中？匹配的时候直接

if (INPUTSTRING.contains(realPsw){
   openTheDoor （）
}

-- 这样不是可能存在漏洞让人通过内存嗅探到密码，当然单人单户可能不值得这么去破解，如果破解这一个型号的锁，应该也是有人做的吧。

如果他是加密存储的密码，如果那么验证也太飞快了吧，每个不定长子串都加密或者 Hash 匹配一次，也是很大的次数吧。（应该超过多项式复杂度了吧）

我目前知道的，防止人暴力枚举的方法是PBKDF2，让每次尝试的时间成本很大，（当然对嵌入式设备，尤其是没插电的，可能有更省电的方式）而不是简单的程序判断错误次数超过阈值就休眠，因为这个内存中这个次数对于金手指来说是可编辑的。

我当然知道这只是一个 1000 块的东西，可是安全问题，多考虑一下也没什么问题。

由于本人所知有限，有错误的话，希望大家指正，谢谢。

msg7086

2021-06-06 15:03:16 +08:00

@agostop #50
> 如果真的只是存的 hash，你怎么知道是 6 位的密码？

密码的长度是个数字，其实是可以存的。你可以把 6 存在存储器里，不贵。

@liuidetmks #6
你用软件可以每秒输入几百万个数字来离线穷举，所以才需要重复 hash 。
但是密码锁，就算你单身 30 年的左手也未必能一秒按十次。
就算是要防止电信号直接连接暴力破解，锁内部直接 sleep 一下就好了，没必要反复计算。

反复计算抗爆破的前提是你需要防止别人拿到 hash 以后在另一台电脑上爆破。
但是通常不会有人破解门锁的时候去读门锁内部的 hash 。
毕竟你都能读到门锁内部的数据了，为什么不把锁直接拆了。