■ 文/公安部檢測中心 張哲

關鍵字：指紋防偽 假指紋攻擊 指紋活性檢測

1 引言

隨著科技和信息化的快速發(fā)展，生物特征識別技術逐漸興起并發(fā)展迅速。鑒于傳統(tǒng)的身份認證方式（如鑰匙、密碼、證卡）存在易丟失、易遺忘且不與用戶唯一綁定等缺點，基于生物特征識別的認證方式成為替代傳統(tǒng)身份認證方式的主要手段得到廣泛應用。

生物特征認證是指通過光學、聲學、生物統(tǒng)計學等方式和生物傳感器等高科技手段與計算機技術密切結合，利用人體生理特征或行為特征進行身份鑒定。利用生理特征進行身份識別的主要方法有指紋識別、掌紋識別、虹膜識別和人臉識別等，利用行為特征進行身份識別的主要方法有聲音識別、筆跡識別和步態(tài)識別等。

由于采集便捷、性價比高，基于指紋識別的身份認證系統(tǒng)應用最為廣泛，技術更為成熟，且增長迅速。與其他生物特征認證方式相比，指紋認證已在電子商務、電子政務和安全防范等產業(yè)中得到廣泛應用。我國第二代居民身份證需要采集指紋信息用于指紋識別，移動設備和出入口識別設備中也越來越多地采用基于指紋識別的身份認證技術。

隨著基于指紋識別的身份認證應用越來越普遍，系統(tǒng)的安全性變得尤為重要。指紋認證系統(tǒng)面臨多種安全威脅，例如使用假指紋對指紋傳感器進行攻擊、攻擊模塊間的通信通道、攻擊軟件模塊及攻擊數(shù)據存儲等。這些威脅中，使用偽造假指紋進行攻擊是指紋識別系統(tǒng)面臨的最迫切需要解決的問題，因為與其他威脅不同，使用偽造指紋攻擊指紋識別系統(tǒng)不需要掌握任何系統(tǒng)知識，即可實施攻擊。

2 指紋防偽的研究現(xiàn)狀

伴隨著偽造指紋的出現(xiàn)，指紋認證系統(tǒng)的安全性面臨嚴峻挑戰(zhàn)。卓越的指紋認證系統(tǒng)應具備認證前辨別真假指紋的能力，如何防止假指紋攻擊指紋認證系統(tǒng)已經成為當前研究的熱點問題。人的指紋由許多交替的脊線和谷線組成，指紋防偽方法的原理是使用專業(yè)傳感器設備記錄指紋圖像中的紋理細節(jié)或細節(jié)點，利用這些信息通過特定算法判斷所顯示的指紋是來自真手指還是假手指。

2.1 指紋防偽方法的分類

現(xiàn)有的指紋防偽方法主要分為：基于硬件的指紋防偽方法和基于軟件的指紋防偽方法。

早期的指紋防偽一般采用基于硬件的方法，該方法需要在指紋采集器上增加一個或者多個傳感器來獲取生命體征，例如手指血流、導電性、顏色變化、溫度和氣味等?；谟布闹讣y防偽方法需要用到一些特殊類型的指紋傳感器，例如用于捕獲手指皮下脊紋的多光譜掃描儀和用于提供兩個互補信息流的雙攝像頭指紋傳感器等，集成了額外傳感器的指紋認證系統(tǒng)變得更加復雜和昂貴。

近年來，基于軟件的指紋防偽方法越來越受到人們的關注，該方法可從采集的指紋圖像（或一系列幀）中提取特征，通過分析真假指紋圖像層面的差異性來進行指紋活性檢測。因為該方法不需要增加額外的硬件輔助設備，所以不會產生昂貴的額外成本?；谲浖闹讣y防偽可以在軟件層面方便地集成到指紋認證系統(tǒng)，因此基于軟件的指紋防偽解決方案具有廣泛的應用價值和市場前景。

基于軟件的指紋防偽算法利用從指紋圖像中提取的動態(tài)行為（例如皮膚變形、汗水）和靜態(tài)特征（例如紋理、汗孔、皮膚彈性）進行假指紋攻擊檢測。進行身份認證時，指紋傳感器上采集的圖片序列會因為手指在按壓過程中產生的形變而變化。由于真實指紋的皮膚更具有彈性，因此人工偽造假指紋產生的皮膚形變不如真實手指產生的皮膚形變明顯，基于這種考慮，提出了基于皮膚形變的指紋活性檢測方法。出汗是真手指的典型現(xiàn)象，汗水從毛孔開始，隨時間沿著指紋脊線擴散，使毛孔之間的區(qū)域在圖像中變黑，可以通過觀察短時間內獲取的多個指紋圖像來獲取空間濕度模式，因而可以利用毛孔產生的汗液來進行指紋活性檢測。由于手指上存在大量的汗孔，但在偽造過程中很難保留這些汗孔，因此可以通過分析指紋圖像脊線中汗腺孔的結構來進行指紋活性檢測。真指紋和偽造指紋圖像顯示出不同的紋理特性，例如形態(tài)、平滑度和方向，因此紋理可以用于指紋認證系統(tǒng)的欺騙檢測。

到目前為止，上述大多數(shù)基于軟件的指紋防偽算法是基于手工設計的特征表示，手工特征提取主要依賴于經驗和專業(yè)知識，指紋防偽算法的關鍵是如何更好地提取指紋圖像的特征表示。此外，由于空間位置信息的丟失以及對活指紋圖像的細節(jié)缺乏考慮，因此難以在算法的辨別力和魯棒性之間取得平衡。

2.2 指紋防偽方法的對比

基于硬件的指紋防偽算法雖然能防御大多數(shù)的假指紋攻擊，但由于集成了額外硬件設備，使得指紋識別系統(tǒng)變得更加復雜和昂貴，用戶認證所需時間變長，導致用戶體驗變差。此外，當攻擊者使用新的制造技術改進假指紋并成功通過指紋識別系統(tǒng)時，很難及時更新這些附加的硬件設備。由于指紋非常容易受到外部環(huán)境的干擾，所以基于硬件的指紋防偽算法穩(wěn)定性相對較弱，且仍然不能適用于惡劣環(huán)境下的檢測。同時，手指上的污漬、破裂和干燥也會削弱測量設備的檢測性能，進而影響檢測效果。

與基于硬件的假指紋檢測相比，只需通過用戶指紋圖像便可以實現(xiàn)指紋活性檢測的基于軟件的方法不僅方便快捷，而且兼容性高、成本低，只需要在軟件層面修改就可以實現(xiàn)指紋檢測系統(tǒng)的更新?；谲浖臋z測對象有動態(tài)的（指紋圖像序列）和靜態(tài)的（單張指紋圖像）。動態(tài)對象的檢測需要從指紋圖像序列獲得動態(tài)行為，用戶需要在指紋注冊階段多次收集指紋，所以該方法耗費時間較長。與動態(tài)對象檢測方法相比，靜態(tài)對象的檢測由于僅需要一個或幾個圖像而不是一系列圖像用于指紋活動度檢測，所以更加適用于指紋活性檢測。值得注意的是，和基于深度學習的指紋活性檢測相比較而言，大多數(shù)使用紋理特征的基于軟件的指紋防偽算法通常依靠專家知識來設計手工特征。

3 假指紋制作

隨著指紋識別技術的發(fā)展，市場上出現(xiàn)越來越多基于指紋識別的設備。目前很多門鎖、打卡器、手機等設備上都使用指紋識別作為身份認證的解決方案。人們日常生活中使用指紋的頻率逐漸提高，隨著假指紋的種類越來越多和制作技術越來越精湛，傳統(tǒng)的指紋識別設備只會通過指紋比對來進行身份認證而不會判別指紋的真假，這樣的漏洞容易產生安全隱患，基于指紋識別的身份認證系統(tǒng)面臨嚴峻挑戰(zhàn)。

研究假指紋制作對指紋防偽算法研究至關重要，特別是基于深度學習的指紋防偽算法，深度學習的模型需要大量的數(shù)據樣本來訓練。假指紋制作有兩種方式：配合和非配合。在配合方式中，可以使用要偽造的真實手指，這樣的偽造指紋制作便利且質量較高，可以輕易地通過無防偽功能的指紋識別系統(tǒng)。

偽造指紋的種類可以分為2D指紋模和3D指紋模，其攻擊的指紋傳感器類型不同。2D指紋模可首先使用配合方式或非配合方式（殘留指紋）獲取指紋，利用配合方式在指紋涂抹或者非配合方式對淺指紋進行顯影，獲得清晰的指紋紋理信息，然后利用照相機進行拍照或利用膠帶等粘性物質進行提取，最后打印拍攝的照片指紋或者將膠帶等粘黏在紙上（紙張顏色應該盡可能與指紋顏色形成對比），這樣可以獲得2D指紋模。

3D指紋?？墒紫戎谱髂＞撸＞呖刹捎眉{米膠、蠟、橡皮泥或者市面上比較通用的制作紀念品的克隆粉等材料制成。以最為常見的蠟制作模具為例，將蠟點燃融化，把需要制作假指紋的手指用力按壓在融化后的蠟上，然后將蠟放置不動自然冷卻，固化后即可得到一枚立體指印，該立體指印即為對應手指的3D假指紋模具?？寺》奂笆嗄＞呖稍诳寺》郏ㄊ啵┲械谷脒m量水，快速攪拌成均勻粘稠的膠體，手指按壓到膠體表面保持不動，直到膠體完全凝固，即制成模具。用納米膠和橡皮泥模具的原理與上述兩種類似，將手指按壓到硅膠和橡皮泥表面即可。模具制作完成后，只要把硅膠、白乳膠等材料均勻覆蓋到模具的立體指印上，待其完全凝固，或把橡皮泥按壓到模具表面，便可得到具有和真指紋相同凹凸紋路的假指紋。

4 未來展望

盡管指紋防偽方法研究取得了一定進展，但隨著科學技術的進步，更多技術手段的加入使得假指紋制作工藝越來越精湛，指紋認證系統(tǒng)將會面臨越來越嚴峻的挑戰(zhàn)。

指紋采集設備和假指紋材料的多樣性是指紋防偽算法研究的痛點，未來的指紋防偽算法需要對設備的依賴越來越小，同時要求對假指紋材料具有更好的魯棒性。在研究算法的同時應該注重對假指紋攻擊以及假指紋制作的研究，通過對假指紋制作材料和技術的研究，制作出大量用于攻擊指紋認證系統(tǒng)的高質量假指紋樣本，豐富的指紋樣本可以促進指紋防偽算法研究工作的開展。

5 結語

由于指紋認證系統(tǒng)的普遍使用，指紋認證系統(tǒng)的安全變得更加重要。假指紋攻擊在一定程度上威脅著指紋認證系統(tǒng)的安全性，因此，迫切需要采取有效的措施來防止欺騙攻擊。在基于指紋的身份認證領域提出了許多反欺騙方法，指紋采集儀器容易受到欺騙攻擊，即可以利用偽造指紋來欺騙攻擊指紋識別系統(tǒng)，因此指紋活性檢測逐漸成為對抗假指紋攻擊和增強指紋認證系統(tǒng)安全性的常用方法。