【零壹易悟】利用生物特徵作密碼要慎重

潮流驅使普及使用

今時今日，密碼管理困擾不少用家。密碼不夠複雜，又怕別人破解。若重複使用密碼，萬一有帳戶洩漏其餘帳戶安全性不保。因安全理由大部份帳戶登入要求用家提供一定長度且有數字大小皆字符甚至符號的密碼。需要登入的帳戶太多，經常出現忘記密碼的尷尬情況。數十年前的科幻電影就經常出現這一幕：主角在飛船駕駛艙門前舉起一隻手，掃描器掃過手掌之後門就打開，有型有格，實用性及安全性令人羨慕。隨著科技發展，生物識別密碼已經普及化。因每個人生物特徵獨一無二，且具複雜性，難以複製，正好解決密碼管理問題。利用生物識別作為密碼被標榜成為更安全更方便的密碼。忽然間生物識別密碼科技應用如雨後春筍，指紋、樣貌掃描、虹膜掃描、聲音認證、手掌物理幾何等被各種裝置大量使用。各大電子產品生產商亦趁機宣傳其生物識別科技有助提升移動裝置安全性云云。大部用家亦樂於使用，雖然沒有正式統計，筆者利用目測統計，可能有一半用家使用。近年就連金融機構亦開始游說客戶利用聲音或指紋認證進行交易。未來生物識別密碼使用只會更廣泛。

生物特徵密碼存在誤解

其實很多使用者未必清楚生物特徵密碼的特性。有人認為生物認證私隱度極高，實情未必如此，因為這些資料可能在資訊交換中被上傳互聯網。除非你在一個完全封閉的系統運作，任何資訊只要上傳互聯網就有私隱風險。另一方面，電腦、手機及軟件如何存取這些密碼，絕對是一門高深的學問。例如指紋認證模塊硬件理論上需要經過獨立第三方安全專家驗證，但能夠提供驗證的移動裝置寥寥可數。當你安裝軟件時被要求授權使用生物認證硬件及模塊，這些軟件如何處理相關資料不具透明度。只要軟硬件有任何漏洞，資料便有機會外洩。又有人認為生物特徵密碼較普通密碼安全，出於兩個考慮。一是世界上沒有兩個相同的密碼，另一是當生物特徵轉換成數碼資訊時密碼較長，難以破解。實情是大部份不法之徒並不會用「暴力破解方式」即嘗試所有密碼組合去解鎖，而是尋找方法盜取你的密碼。又有人以為生物特徵密碼其他人不可能擁有，這是錯誤判斷。政權及金融機構極可能擁有你的生物特徵，例如領取身分證時必須拍攝全高清影像及記錄你的指紋，某此金融機構游說你以指紋取代簽名在櫃位進行交易，你只是無可避免地相信又或選擇相信這些機構系統安全，且沒有「內鬼」。

使用前請考慮清楚

生物特徵密碼亦有各種限制，使用前必審慎考慮以下各點。其一，在被威迫的情況下，若你使用生物識別密碼，你無法否定你擁有密碼。很多國家沒有賦予執法人員權力向你索取密碼，你亦沒有法律責任提供密碼。但法律歸法律，手段又是另外一回事，在極權國家的情況更加複雜。當你被禁錮時，取得你的生物特徵密碼輕而易舉。另一情景是當你失去知覺，你的指紋或虹膜密碼垂手可得。其二，若因某些原因失去這些生物識別密碼，例如意外令手指或眼球嚴重受傷，你可能無法解鎖，資料永久丟失。一般密碼亦可以交予第三方，例如在特殊情況你要將手機緊急托付信任人時，你與信任人存有默契，他就可取得相關資料，生物識別密碼無法做到。其三，若生物識別密碼失竊，將永遠無法挽回，因為你再不能提供另外一個不同的密碼。若密碼落入不法之徒手中，你的身份有可能被盜，後果將會是災難性。科技日新月異，聲音及樣貌已可輕易複製，難保他日指紋及虹膜亦可複製。將生物識別提供給任何金融機構必須極度審慎。最後，高級別的電腦或手機有特殊晶片處理密碼安全，與作業系統晶片完全分開，且有獨立第三方認證整個模塊穩妥。萬一作業系統破損或被黑，密碼亦不會輕易被盜或破解，購買產品前最好深入研究硬件配置。

綜合上述，利用生物特徵作為電子產品的密碼，尤其是手機及電腦，必須極度審慎。任何生物特徵密碼的閃失均沒有回頭的機會。其實不使用生物特徵的密碼，管理並不困難，請留意本欄日後介紹。◇