安全存储生物特征信息以进行比较答案

【问题标题】：Safely Storing Biometric Information for Comparison安全存储生物特征信息以进行比较
【发布时间】：2011-03-22 11:38:51
【问题描述】：

我正在使用带有 SDK 的生物指纹扫描仪，它允许我比较两个指纹图像。我的问题是，如果我想在本地存储其中一张图像以供以后比较，那么最安全的方法是什么？

我的想法是，当使用密码做同样的事情时，一个简单安全的方法是对原始密码进行哈希存储，然后比较哈希而不是明文密码。显然，这对于指纹图像来说是不可能的，因为它们每次都会产生略微不同的结果。那么存储原始图像最安全的方法是什么？

提前致谢

【问题讨论】：

什么扫描仪？什么sdk？ sdk 对这个基本的“我希望扫描仪做的唯一事情”没有任何规定？
我的想法更笼统，没有特定的 SDK。只是如果我想存储指纹图像以供以后比较如何安全地做到这一点，我不只是希望指纹图像位于某个文件夹中的某个位置。

标签： security authentication encryption cryptography biometrics

【解决方案1】：

生物识别技术依赖于模糊比较。为了实现这一点，您必须拥有原始图像。根据定义，哈希是一种单向操作，因此不适合。

为了安全地存储这些凭据，您应该使用对称密码。具有 CBC 模式和随机 IV 的 AES-256，以及 cryptographic nonce 作为密钥是一个非常好的选择。虽然 IV 在这个特定的实现中不太重要，因为 2 个相同的指纹是不可能的，因此永远不会发生 2 个相同的密文，但是我仍然会实现一个随机的 IV。对称密码的实施可能会出现很多问题，尽管我不知道您使用的是什么平台，但有一些图书馆可以处理它，例如 Jasypt。

如果攻击者能够检索用于比较的原始指纹，那么他将能够绕过此安全系统。例如The MythBusters where able to break 2 off the shelf fingerprint readers using this attack。鉴于这种攻击，您可能需要考虑Two-Factor Authentication。

【讨论】：