Android 的指纹识别，比你想象中还要不安全？-低调大师

Android 的指纹识别，比你想象中还要不安全？

2017-06-03 628

https://yqfile.alicdn.com/e156dbe9072f5217624c6d9a712f4bd080670797.png" >

系统的开放与隐患永远是相伴相生，近日就有研究把矛头指向了 Android 系统的指纹识别。确切来说，主要指 Galaxy S5 的安全漏洞。

据福布斯报道，安全研究机构 FireEye 发布的报告称，黑客很容易利用 Galaxy S5 上的指纹识别功能盗取用户信息，尽管三星会将用户的指纹存储在不同的“信任区域”（Trusted Zone）内。

研究者表示，攻击者只需创建需要系统级访问权限的恶意程序，一旦攻破 Android 内核，就可以长驱直入，无需访问信任区域的情况下也能读取指纹传感器。盗取信息后，黑客便可逆推生成指纹图像。

报告不单单针对 Galaxy S5，包括一些未指明的 Android 手机都有一样的漏洞。FireEye 的两位中国研究者 Tao Wei 和 Yulong Zhang 说：“用户每一次使用指纹识别器，黑客就能获取用户信息。生成指纹图像后，他们就可以为所欲为了。”

两位研究者已经将漏洞报告给三星，他们还为收到任何官方的升级补丁。不过他们补充说，这个安全隐患并没有想象中可怕，也不无解药，Android 5.0 以上的系统就不会有这个漏洞，因而理论上说，用户升级系统就可以避免悲剧的发生。

三星在一封官方邮件声明中说：“三星非常重视用户的隐私和数据安全，我们正在研究 FireEye 的研究报告。”

Galaxy S5 早在上市之初就被黑的满目疮痍，有人甚至分分钟破解了它的指纹识别。三星对开发者开放 Galaxy S5 指纹识别 API ，进而第三方应用也能够使用手机上的指纹识别功能，例如支付巨头 PayPal 允许用户通过指纹进行转账授权。

德国安全网站 Heise Security 就通过超高密度扫描仪采集用户指纹，制造出能够欺骗系统的 “指纹薄膜”。由于三星已对第三方应用开放了指纹识别，因此这次破解对 Galaxy S5 可谓是毫无障碍，破解人员可以直接用假指纹在 PayPal 上实现了转账。

Android 系统因其开放性，在安全性上一直受到质疑。事实证明，Android 平台的安全隐患的确不小。互联网安全公司 F-secure 发布的移动互联网安全报告指出，2012 年有 79% 的恶意软件都寄生于 Andriod 之上，相较之下，iOS 平台内的恶意软件仅占总量的 0.7%。

iOS 就绝对安全吗？对于黑客来说，破解 Touch ID 的指纹识别也是毫无压力，德国知名黑客 Starbug 就曾自己制作了一套指纹，成功骗过了 Touch ID 系统。
文章转载自开源中国社区 [http://www.oschina.net]

微信关注我们

原文链接：https://yq.aliyun.com/articles/111863

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

IOS 中图片 (UIImage) 拉伸技巧

iOS中图片拉伸技巧与方法总结一、了解几个图像拉伸的函数和方法 1、直接拉伸法简单暴力，却是最最常用的方法，直接将图片设置为ImageView的image属性，图片便会随UIImageView对象的大小做自动拉伸。这种拉伸的方法有一个致命的缺陷，它会使图像发生失真与形变。 2、像素点的拉伸 - (UIImage *)stretchableImageWithLeftCapWidth:(NSInteger)leftCapWidth topCapHeight:(NSInteger)topCapHeight; 这个函数我们可以用来拉伸类似QQ，微信的聊天气泡背景图，它的两个参数分别leftCapWidth和topCapHeight，这两个参数给定一个坐标，比如： UIImage * img= [UIImage imageNamed:@"11.png"]; img = [img stretchableImageWithLeftCapWidth:1 topCapHeight:1]; 这段代码的意思是将图片从左起第2列，上起第2行，坐标为(2,2)的像素点进行复制。将图片进行拉伸。这个方法和上面...

2017-06-03

631

阿里巴巴安全团队向Google安全团队报告发现了一个Wi-Fi组件wpa_supplicant的漏洞，主要影响Android，但Windows和Linux设备也可能受影响。该漏洞有几分类似去年的Heartbleed漏洞，wpa_supplicant在使用管理帧解析 SSID信息时，没有正确验证传输数据的长度，因此存在缓冲区溢出漏洞，可能向攻击者暴露内存内容或允许攻击者向内存写入新数据。攻击者可利用该漏洞让 wpa_supplicant和Wi-Fi服务崩溃，一个特别构造的SSID可通过发送响应对受影响设备发动拒绝服务攻击。修正 wpa_supplicant的补丁已经发布，但根据Android市场的碎片化，很可能许多受影响设备不会得到更新。文章转载自开源中国社区 [http://www.oschina.net]

2017-06-03

653

资源下载

更多资源

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。