安全地存儲用於比較的生物特徵信息

Question

我正在使用帶有SDK的生物指紋掃描儀，它允許我比較指紋的兩個圖像。我的問題是，如果我想在本地存儲其中一個圖像以供以後比較，那麼最安全的方法是什麼？

我的思路是，當用密碼做同樣的事情時，一個簡單安全的方法是將原始密碼散列存儲，然後比較哈希而不是明文密碼。顯然這對於​​指紋圖像來說是不可能的，因爲它們每次都會產生稍微不同的結果。那麼存儲原始圖像的最安全方法是什麼？

在此先感謝

Answer 1

生物識別技術依賴於模糊比較。爲了發生這種情況，你必須有原始圖像。散列根據定義是單向操作，因此不合適。

爲了安全地存儲這些憑據，您應該使用對稱密碼。具有CBC模式和隨機IV的AES-256，以及作爲關鍵的c ryptographic nonce是非常好的選擇。雖然IV在這個特定實現中不那麼重要，因爲2個相同的指紋是不可能的，因此2個相同的密文不應該發生，但是我仍然會實現隨機IV。很多人可能會出現對稱密碼的問題，有些圖書館會照顧它，但我不知道你使用的是什麼平臺。

如果攻擊者能夠檢索用於比較的原始指紋，則他將能夠繞過該安全系統。例如The MythBusters where able to break 2 off the shelf fingerprint readers using this attack。鑑於這種攻擊，你可能要考慮Two-Factor Authentication。