一个硅胶套解锁三星手机 我们曾用一根头发解锁过一大批国产手机

刚刚，三星电子宣布，已发布软件更新，修复了Galaxy S10和Galaxy Note 10系列手机的指纹识别漏洞。值得注意的是，如果注册指纹时使用过保护套，需要删除指纹重新注册。三星强调：“确保在注册指纹时没有屏幕保护套”。

最近，三星Galaxy S10、Galaxy Note 10系列手机和Tab S6平板的指纹识别被曝出漏洞，未录入过的指纹，隔着硅胶手机套等就可以解锁手机，也就是说，隔着这层套子，人人可解。

随后，中国银行、支付宝、微信陆续关闭了三星这个系列手机的指纹支付功能。

三星在回应里承认了这一安全漏洞，此次三星手机的指纹漏洞由一对英国夫妇发现，女主人在这部前后全部用硅胶套包裹的S10里录入指纹，却发现没有录入指纹的男主人也可以解锁手机甚至登陆银行App，症结在于这款全包硅胶套上。

早在2017年底，《IT时报》就曾报道过，仅仅贴一张膜，就可以让指纹锁形同虚设，所涉及的手机品牌几乎包括目前所有主流国产手机厂商。同理，用一根头发丝、用一张橘子皮，也可以让指纹锁实现人人可解。

以下是《IT时报》测试视频——用一张贴膜解锁国产手机

当时，为了防止教唆犯罪，《IT时报》未公布全部测试视频。但《IT时报》记者将相关解锁视频提供给对应的手机厂商，提醒手机厂商尽快拿出解决方案，还全国亿万手机用户一个安全。

在《继小米6之后，魅族Pro 7再中招，Home键碎裂后陌生人可解锁手机》一文中，《IT时报》记者还揭露了指纹区域遭到破坏损伤后，指纹识别的误识率也大幅提高，他人的指纹也可以给手机解锁的现象，而出现问题的机型牵出了背后共同的指纹芯片供应商汇顶科技。

多位指纹识别行业专家对《IT时报》记者表示，此次三星指纹识别出现漏洞与《IT时报》此前的测试同理。主要原因是算法的问题，录入的指纹存储为图像，解锁时系统会比对，图像一致就会通过，但因为算法会自学习，将硅胶套等介质都作为新特征点学习进去，所以当他人用相同的硅胶套来解锁时，算法会匹配这部分的特征点，误认为这位是主人。

打个比方，如果将原指纹图像看作一位母亲的相片，理论上只有母亲的照片可以解锁。但由于自学习功能，当使用母亲抱着孩子的照片去比对时，指纹芯片会把孩子作为新特征点，学习更新到原先存储的图片里。这样，以后当使用只有孩子或者其他人抱着孩子的照片来匹配时，因为孩子的图像一致，算法就会默认为匹配成功。

三星手机的漏洞中，硅胶手机套的成像就相当于孩子，人人都能解锁，是因为每个人按压时的指纹成像都带有这个“孩子”。

 

目前屏下指纹识别的解决方案主要有两种：超声波与光学。三星Galaxy S10、Galaxy Note 10系列手机采用的超声波指纹识别的解决方案提供商是高通，超声波屏下指纹的卖点是污渍、汗渍、水等都不影响解锁。

 

一位指纹识别行业人士指出，不论超声波还是光学，屏下指纹的缺点在于，手机传感器面积小，成像不好，需要靠后期算法增强。

 

多位网友在实验中擦除了手机屏幕及硅胶手机套上残留的指纹，排除了三星此次漏洞是由残迹复用引发的。

“其实残迹不会声学成像，只会光学成像。这也是超声波指纹识别所谓的‘更安全’。”指纹芯片厂商迈瑞微董事长李扬渊跟《IT时报》记者解释道，“因为屏幕和贴膜都不做声学缺陷管控，所以在出厂前把屏幕和贴膜的声学图案采集进去了。”

 

《IT时报》记者发现，部分采用屏下指纹识别的国产手机，在首次开机设置指纹时会提示：“如果使用第三方贴膜，可能导致指纹识别功能失灵，建议使用官方贴膜或不贴膜。”

 

有网友质疑道，如果指纹识别处的屏幕碎裂或贴膜出现明显划痕，是否会导致“人人能解”的漏洞。《IT时报》记者通过简单测试发现，华为等国产手机在识别到非指纹的图像（比如餐巾纸）时，会采取暂时禁用指纹识别的方案。

 

在李扬渊看来，三星此次漏洞通过算法升级来解决，难度在于贴膜，而不是屏幕，因为屏幕不太会变化，而贴膜的密度不均会变化。“这跟电容指纹识别键贴膜的算法抵御是一个道理。”此前他的团队找到了用算法抵御电容指纹识别键贴膜漏洞的方法。

三星紧急修复了漏洞，但指纹识别的安全问题并没有根治，还需要手机厂商、指纹识别芯片、算法供应商一齐来解决。

作者／孙妍

编辑／挨踢妹

图片／IT时报 网络

来源／《IT时报》公众号vittimes

往期回顾