指纹识别很安全？黑客表示笑而不语

自从iPhone 5s开启指纹识别功能后，安卓智能机纷纷效仿，各大手机厂商甚至广推其安全性能。然而事实上，指纹技术并不能拯救手机的安全。

 据报道，iPhone 5s发布后仅一天，欧洲最大的骇客团体ChaosComputerClub 就宣布破解了Touch ID ，并用视频记录了操作过程。

另一方面，安卓机也没用幸免。据介绍，采用的指纹识别核心技术是TrustZone。但在今年6月的MOSEC移动安全技术峰会上，360手机安全研究员申迪介绍了如何利用安卓手机厂商在实现芯片级安全解决方案TrustZone时造成的软件漏洞，在可信区域执行任意代码，将TrustZone完全攻破。一旦TrustZone被完全攻破，黑客便能轻松指纹识别数据。

TrustZone究竟是什么来头？

TrustZone是可保护敏感信息的一种硬件安全架构体系，用于把手机从硬件与软件上分成安全区与普通区两个区域。整个架构系统都是为了保护安全区中的数据，防范设备可能遭受到的多种特定威胁。因此，安全区与普通区从硬件到软件都是被分割的，普通区第三方程序无法访问安全区中的敏感数据。

但事实上，这并没有多大的作用。

2014年8月，几乎所有高通骁龙处理器都被爆出存在TrustZone高危漏洞。这些漏洞可以被黑客利用来攻破系统的保护机制，并获得用户隐私资料。诸如支付保护技术、数字版权管理、自带设备办公等等都会是被攻击的高危对象，不仅如此，黑客甚至有可能彻底破坏系统的安全机制。也就是说，攻击者不仅能获得安全区中的敏感数据，还能直接进入支付等高权限场景——TrustZone的分区保护形同虚设。

指纹识别搭配TrustZone，一度被称作手机安全的最后一道防线。而在今年6月举行的MOSEC移动安全技术峰会上，360安全研究员申迪先是完成了手机常规OS的内核提权、以及禁用最新版本SEforAndroid；尔后又利用该漏洞侵入安全区，成功绕过诸多安全特性，获取到指纹等敏感信息。

残酷的事实告诉我们，这最后一条防线也将变得摇摇欲坠。但是大家也不用绝望，雷锋网消息，世界黑帽大会BlackHat将于8月份在拉斯维加斯举行，届时申迪将向全球黑客介绍有关Android系统TrustZone安全攻防的研究成果，并且现场演示从传感器中读取指纹数据的攻击利用。大家可以关注下

雷峰网原创文章，未经授权禁止转载。详情见转载须知。