security - 安全存储生物特征信息以进行比较

Question

我正在使用带有 SDK 的生物指纹扫描仪，它允许我比较两个指纹图像。我的问题是，如果我想在本地存储其中一张图像以供以后比较，那么最安全的方法是什么？

我的想法是，当使用密码做同样的事情时，一个简单安全的方法是对原始密码进行哈希存储，然后比较哈希而不是明文密码。显然，这对于指纹图像来说是不可能的，因为它们每次都会产生略微不同的结果。那么存储原始图像最安全的方法是什么？

提前致谢

Answer 1

生物识别技术依赖于模糊比较。为了实现这一点，您必须拥有原始图像。根据定义，哈希是一种单向操作，因此不适合。

为了安全地存储这些凭据，您应该使用对称密码。具有 CBC 模式和随机 IV 的 AES-256 以及加密随机数作为密钥是一个非常好的选择。虽然 IV 在这个特定的实现中不太重要，因为 2 个相同的指纹是不可能的，因此永远不会发生 2 个相同的密文，但是我仍然会实现一个随机的 IV。对称密码的实施可能会出现很多问题，尽管我不知道您使用的是什么平台，但有一些图书馆可以像Jasypt 那样处理它。

如果攻击者能够检索用于比较的原始指纹，那么他将能够绕过这个安全系统。例如The MythBusters 能够使用这种攻击破解 2 个现成的指纹读取器。鉴于这种攻击，您可能需要考虑两因素身份验证。