指纹确实是访问设备的唯一身份验证方式，但不能作为访问安全服务或站点的唯一方式。因此，它的作用与密码不同。

通常，指纹认证用作认证的第二个因素，第一个因素是物理拥有指纹传感器所在的设备。并且可能还有其他因素，例如传统密码。

例如，如果您有一个网上银行应用程序，您通常必须先输入您的用户名和密码，然后告诉该应用程序您希望打开 Touch ID。稍后，当您希望使用该应用程序时，设备将对指纹进行身份验证，然后从密码存储中检索密码并将其提交给适当的服务器，该服务器对密码进行身份验证。如果你没有设备，指纹是没用的。如果设备没有密码，设备也是无用的。

底线：您不能只使用指纹本身。不，它不像密码那样安全，除非密码非常短。

可用性与安全矩阵无法通过依赖的生物识别授权和身份验证来解决

例如，在我开始之前 - 看看安全的基本基础是如何构建在矩阵中的：

很容易得出结论，不幸的是，高安全性带有低可用性功能。

我怎么知道这个？

我一直在研究secure architectural implementation of possible authorization & authentication mechanisms使用 iOS 和 Android——两者都有。框架尚未确定，并且凭借所有的研究经验，我在这里确定了一些可能值得注意的点。

可能的风险

1. 如果它是访问关键资产的主要安全保护，那么有些交易者可以亲自敲掉一个人，砍掉他的拇指并登录。对于那些将财务数据保存在安全登录（主要用例）程序中的人来说，这可能就是这么简单。
2. 其他威胁可能涉及使用高分辨率成像收集打印，然后应用图像处理技术来收集指纹的克隆，然后使用它，然后将其印在薄塑料丝上。这样，这里就有可能进行第二次绕过。
3. 用于构建手机的材料可能会收集打印件，然后可以将特定部分物理拆开以对其进行克隆并解决安全绕过问题。

与使用普通密码相反，后者 - 它可以在用户心中解决物理不妥协的问题。它所需要的只是用户对密码和登录严格遵守合规公司类型的安全级别意识，例如 PCI-DSS 等（在财务数据欺诈的情况下）。

有可用性，但有安全性。因此，更高的可用性将导致明显更广泛的安全风险面。因此，以下值得考虑使用以下生物识别设备：

1. 虹膜 (L)
2. 术语图 (L)
3. 脱氧核糖核酸 (L)
4. 气味 (L)
5. 视网膜 (L)
6. 静脉 [手] (L)
7. 耳朵 (M)
8. 步行（男）
9. 指纹 (M)
10. 脸（男）
11. 签名 (H)
12. 手掌 (M)
13. 声音 (H)
14. 打字（男）

注：H 代表（高），M 代表（中）和 L 代表（低）风险。

让我们根据前面提到的基本构造在矩阵中概念化相同的概念，看看它是否符合标准：

总体风险因素：

物理攻击

在社交身体活动期间向目标受害者提供一杯干净的香槟，并设法恢复玻璃以获得目标指纹的高清图片。

存储攻击

所有这些指纹都必须在本地或集中存储。窃取目标受害者的Phone5并通过物理接口获取内部内容并攻击存储和加密的指纹。如果它们被集中存储，由于我们不在0概率生活的魔法时空中，这个集中存储迟早会被破坏。

算法攻击

与任何其他身份验证技术一样，指纹读取、存储和比较将使用算法。因此，这种身份验证也会受到算法攻击。

上述方法存在风险。许多商业设施都尊重生物特征认证的一个重要点，但这并不是立即显而易见的：银行不应依赖生物识别技术来提供认证和识别。生物特征测量是有用的，但它们绝不是独一无二的。两个人可能没有完全相同的指纹、手部几何形状或虹膜图案，但测量结果通常有损，足以允许碰撞。生物识别技术只需要成为多因素身份验证系统中的一部分，因此可以在 2FA 和生物识别技术并存时适用。

其他可用性限制：

除了这些风险之外，其他限制包括以下内容：

1. 错误率 - 对于许多类型的生物识别技术来说，错误接受和错误拒绝仍然高得无法接受。
2. 用户接受度——仍然没有被用户广泛信任；各种隐私问题仍然很高，并且您的身体的一部分现在是一种安全机制的想法仍然与某些公民无关。

OP 的问题与传统密码相比相同 - 因此传统密码方案的可能性较小，并且与之前的生物识别安全机制相比，对威胁表面的暴露较少。使用更合规的方式保持传统密码和生物识别可选的事后登录方法已经成功 - 可能是收获。

永远不要将指纹用作密码。它可以用作标识符。您无法更改指纹。如果是您的密码并且您的帐户已被盗用，则无法设置新的“密码”，因为您无法获取新的指纹。但它也可能不适合作为标识符。我不知道，但显然指纹不像你在最初的帖子中所说的那样独特。

至少在美国，任何长度的密码都比指纹安全得多。

您不能被迫泄露密码（大多数情况下）。对于被迫放弃锁定设备上的指纹，您没有这样的保护措施。

然而，我们都共有的那些微小的皮肤脊是上周弗吉尼亚法院案件的核心，在该案件中，一名法官裁定，怀疑嫌疑人智能手机上有罪证的警察可以合法地强迫该男子用指纹解锁他的设备扫描器。虽然第五修正案保护被告不泄露他们的数字密码，这将被视为自证其罪，但指纹扫描等生物识别技术不在法律范围内。

“如果你被迫泄露你知道的事情，那是不行的，”数字版权组织电子前沿基金会的律师和特别顾问 Marcia Hofmann 说。“如果政府能够通过其他方式收集刚刚存在的证据，那么他们当然可以做到这一点，而不会触动宪法保护的脚趾。”

不仅仅是州，联邦法院今年也确认了这一点。

当然，这取决于您所在国家/地区的法律，因为英国最近做出了这样的规定，因此即使是法院命令也不需要强制您披露密码。

为了解决您的观点之一：

尽管每个人的指纹是唯一的，但每个情况下的密码都是唯一的。如果我有你的指纹，我就有你的电子邮件、社交媒体账户和银行信息。作为密码，我可能只有你的 Facebook。

不完全的。指纹扫描仪可以跟踪多个指纹和同一手指的侧面。向一侧或一侧滑动，您就有了一个新的数据点。我可以在按压式扫描仪上轻松提供 100 多个指纹。更多关于滑动式扫描仪的信息。当然，普通人只使用少数几个密码，因此从社交方面来看，同一个人的指纹和密码在实际访问量方面是相同的。