安卓设备——指纹信息在哪里以及如何安全地存储？

Question

我一直在阅读关于指纹传感器及其在智能手机中越来越普遍的文章。我了解到，在基本水平上，有一个数字图像被注册并用作认证模板。我知道与指纹相关的处理在可信执行环境中进行。但是，我想知道“模板”保存在哪里以及以什么格式保存？

- Hells Guardian

Answer 1

可信执行环境（TEE） 谷歌采取重要措施朝着正确的方向迈进，将所有打印数据操作移动到可信执行环境（TEE）中，并提供制造商必须遵循的指导方针以进行指纹数据存储。

• 所有指纹数据操作在TEE中执行

• 所有指纹数据必须在传感器硬件或受信任的内存中安全存储，使您的指纹图像不可访问

• 无论文件系统本身是否加密，指纹数据只能以加密形式存储在文件系统上

• 用户删除操作必须导致该用户现有指纹数据的删除

• root权限不得危及指纹数据的安全性

数据来源：infinum.co

- W4R10CK

---

那基本上就是硬件支持的存储，对吧？这是否意味着即使用户拥有root访问权限也无法访问指纹数据？ - Hells Guardian

是的，就算有Root权限也毫无用处。只有创建者才知道如何嗅探存储。 - W4R10CK

基本上，你的指纹是通过混淆和一些伪加密魔法来保护的，旨在让你相信它不仅仅是混淆。就我而言，这根本不是“朝着正确方向迈出的值得注意的一步”。看起来确实太弱了，无法可靠地保护任何东西。 - user1527491

如果我理解正确，他们费尽心思地隐藏和混淆数据，但仍然可以解密。它不像密码一样单向加密。我认为这是扫描图像的特性，因为它从来都不是完全匹配的。 - jiggy

@jiggy 我猜无论是数据隐藏还是数据黑客都是可能的。虽然如果你root你的设备并在自定义ROM上进行一些代码更改，提取/查看数据也是有可能的。 - W4R10CK