近日，蘇州邁瑞微電子有限公司向國(guó)家工信部、公安部、中國(guó)人民銀行、網(wǎng)信辦舉報(bào)了手機(jī)指紋解鎖存在的驚天漏洞！

記者用透明膠帶+導(dǎo)電筆秒破安卓和蘋(píng)果的指紋識(shí)別，甚至用于支付！任何人的指紋都可以解開(kāi)你的手機(jī)！更甚者，一塊橘子皮都行！

邁瑞微公司的工程師吳涵峰，給記者的大史演示了這種解鎖漏洞，這是吳涵峰自己的安卓手機(jī)，里面只有他自己的指紋，正常情況下，大史無(wú)法解鎖。吳涵峰往手機(jī)指紋按鍵上貼了一層透明膠帶，

自己開(kāi)啟了幾次手機(jī)，交給大史，大史用自己的手指，順利解鎖、開(kāi)啟了手機(jī)。

不僅是拇指，任何一根指頭都能開(kāi)！給別的工作人員，人人都能開(kāi)！

然而檢查手機(jī)設(shè)置，系統(tǒng)里確實(shí)只有吳涵峰自己錄入的一個(gè)指紋。

好奇實(shí)驗(yàn)室又測(cè)試了其他四款手機(jī)，結(jié)果也是一樣，連一向以安全著稱(chēng)的蘋(píng)果，同樣不能幸免。

破解指紋后，任何一個(gè)人還可以通過(guò)微信或者支付寶向他人轉(zhuǎn)賬。

吳涵峰說(shuō)，真正發(fā)揮作用的，并不是透明膠帶，而是膠帶上用導(dǎo)電涂層涂抹的圖案，圖案看上去像是修正液痕跡，但貼上去以后就可以萬(wàn)物解鎖了！

導(dǎo)電涂層有很多，最常見(jiàn)的就是導(dǎo)電筆，一支幾十元，很容易就能買(mǎi)到。

導(dǎo)電材料，從中起到什么作用？蘇州邁瑞微首席技術(shù)官李揚(yáng)淵，解釋了指紋鎖的原理和它的漏洞。

手機(jī)指紋鎖解鎖判斷的原則是：數(shù)據(jù)庫(kù)里預(yù)存的數(shù)據(jù)，和你輸進(jìn)去的數(shù)據(jù)一致性，破解指紋鎖，就是利用傳感器本身，把“攻擊圖像”輸入數(shù)據(jù)庫(kù)。

“攻擊圖像”，就是抹在膠帶上的那坨導(dǎo)電層圖案！當(dāng)它與指紋鎖接觸時(shí)，指紋傳感器接收到的信息，其實(shí)是導(dǎo)電涂層，而不是手指指紋！

現(xiàn)在的智能手機(jī)都有自學(xué)習(xí)功能，把貼了導(dǎo)電圖案的膠帶黏在手機(jī)上，（需要注意，導(dǎo)電圖案不能完全覆蓋指紋傳感器?。┻@樣在手指解鎖中，傳感器識(shí)別了小部分機(jī)主指紋，開(kāi)機(jī)！而膠帶上的導(dǎo)電圖案，雖然不是指紋，但手機(jī)同樣會(huì)把它輸入數(shù)據(jù)庫(kù)又形成一個(gè)新的導(dǎo)電圖案+機(jī)主指紋的解鎖圖像當(dāng)其他人使用時(shí)，只要識(shí)別到那個(gè)導(dǎo)電圖案，同樣開(kāi)機(jī)！

那為何機(jī)主只需要小部分指紋，而其他人用導(dǎo)電圖案當(dāng)指紋都能開(kāi)機(jī)呢？邁瑞微首席技術(shù)官李揚(yáng)淵說(shuō)，這就是目前指紋解鎖的最大BUG！指紋識(shí)別=認(rèn)識(shí)+區(qū)別但目前包括蘋(píng)果在內(nèi)的指紋算法供應(yīng)商只做了認(rèn)識(shí)，是不是指紋不做區(qū)別。（同樣也有考慮用戶體驗(yàn)，解鎖更快的目的。）利用這個(gè)漏洞，甚至不需要指紋，用橘子皮壓一下，手機(jī)都能解鎖。

相對(duì)來(lái)說(shuō)，蘋(píng)果手機(jī)會(huì)安全一點(diǎn)，蘋(píng)果手機(jī)傳感器的算法跟國(guó)產(chǎn)安卓手機(jī)不一樣，在貼了導(dǎo)電層的膠帶后，需要重新錄入生成新的指紋，才可以讓其他人解鎖。

但邁瑞微公司認(rèn)為，目前市面上熱賣(mài)的指紋貼，將為作案提供更多的隱蔽性和欺騙性。

比如說(shuō)，你的VIVO、華為、魅族、小米等國(guó)產(chǎn)安卓手機(jī)上有指紋貼，別人給你換一個(gè)做過(guò)手腳的指紋貼，你只要自己指紋開(kāi)鎖3次以上，任何人就能通過(guò)這個(gè)指紋貼開(kāi)鎖。

而如果你的蘋(píng)果手機(jī)也有指紋貼，別人也給你換一個(gè)做過(guò)手腳的指紋貼，當(dāng)你發(fā)現(xiàn)指紋不靈敏后，很可能會(huì)重新錄入指紋，這時(shí)的指紋其實(shí)就是一個(gè)萬(wàn)能指紋。

邁瑞微首席技術(shù)官李揚(yáng)淵說(shuō)，指紋鎖的漏洞不僅僅存在手機(jī)領(lǐng)域。在安防上，很多指紋門(mén)鎖只要貼上一層膜，同樣可以輕松被開(kāi)啟。

手機(jī)網(wǎng)銀也可能 存在漏洞

“實(shí)際上，手機(jī)網(wǎng)上銀行也風(fēng)險(xiǎn)重重。正常情況下，當(dāng)機(jī)主使用手機(jī)網(wǎng)上銀行時(shí)，一般都是產(chǎn)生銀行賬戶和密碼等機(jī)密信息。這些機(jī)密信息，按照正常要求，是要在手機(jī)里單獨(dú)開(kāi)辟一塊很安全的私密空間，進(jìn)行單獨(dú)安全存儲(chǔ)，也就是相當(dāng)于在一個(gè)銀行里設(shè)置一個(gè)保險(xiǎn)箱。即使手機(jī)被植入木馬病毒，這些機(jī)密信息也不會(huì)被盜取。

不過(guò)，現(xiàn)在很多品牌手機(jī)商，為了節(jié)約成本，在手機(jī)里，并沒(méi)有單獨(dú)為機(jī)主開(kāi)設(shè)這個(gè)“保險(xiǎn)箱”。一旦手機(jī)被植入木馬病毒，這些存在手機(jī)里的機(jī)主機(jī)密信息，就成了“裸奔”的信息，可以被隨意盜取。

建議，在使用手機(jī)網(wǎng)上銀行時(shí)，一定要事先檢查一下自己的手機(jī)里，是否設(shè)置了這個(gè)“保險(xiǎn)箱”。如果無(wú)法確定，最好不要在手機(jī)上使用網(wǎng)上銀行。