生物特征认证

生物特征认证（Biometric Authentication）是利用人体固有的生理特征（指纹、面部、虹膜、声纹、掌静脉）或行为特征（步态、签名笔迹、击键节奏）进行身份验证的技术体系。与密码或安全令牌不同，生物特征的独特价值在于「随身携带、不可遗忘」——它消除了记忆负担和物理令牌丢失问题，因此在消费电子（智能手机指纹/面部解锁）、出入境管理（生物特征护照、机场自助通关）、金融支付和访问控制中大规模应用。 生物认证的核心指标是 FAR（False Acceptance Rate，误识率——错误接受冒充者的概率）和 FRR（False Rejection Rate，拒真率——错误拒绝真实用户的概率）。二者互为取舍：降低匹配阈值可减少 FRR（用户体验更好）但增加 FAR（安全性降低），反之亦然。ERR（Equal Error Rate，FAR=FRR 时的值）是系统整体精度的一种度量。商用指纹传感器的 FAR 通常低于 1/50,000，虹膜识别可达 1/10^6，高端军用系统对 FAR 要求低于 1/10^9。 2013 年 Apple 在 iPhone 5s 中引入 Touch ID 将指纹识别带入主流消费市场——使用电容式传感器读取指纹脊线电容差异（非光学拍照，具抗照片欺骗能力）。2017 年 iPhone X 的 Face ID 进一步升级为 3D 结构光面部识别——投影超过 30,000 个不可见红外点阵到面部，用专用神经网络引擎（Neural Engine）实时计算深度图，Apple 宣称被随机人解锁的概率约 1/1,000,000（vs Touch ID 的 1/50,000）。这一技术路线与 Android 生态中早期普遍使用的 2D 摄像头面部识别形成鲜明对比——后者多次被照片、视频甚至 3D 打印面具绕过（如 2017 年三星 Galaxy S8 面部识别被一张照片解锁的公开演示）。Android 10（2019）引入了生物特征分级：Class 3（Strong，要求 FAR<1/50,000 且活体检测）、Class 2（Weak）、Class 1（Convenience）。Google 要求 Class 3+ 才能用于支付验证和 KeyStore 认证。 生物特征的最大安全悖论在于「不可撤销性」：密码泄露可修改、安全密钥丢失可挂失替换，但指纹、面部和虹膜是终身不可更改的——一旦生物特征模板被攻破泄露，用户无法「换一张脸」或「换一个虹膜」。这一性质使生物特征模板的存储和保护成为隐私与安全红线。