Yubico将推出生物辨识实体安全金钥

安全金钥开发商Yubico预告，即将发布带有生物辨识功能的安全金钥YubiKey Bio，而这将是Yubico第一个整合生物辨识功能的产品，目前支援FIDO的YubiKey Bio正在私人预览阶段。官方提到，他们一直在考虑要将生物辨识技术，应用在安全金钥中，但是即便想法很简单，但是直到硬件和生态系能够支援，这项整合才可能发生。

YubiKey Bio搭载指纹感测器，在使用时会要求用户注册指纹，以便之后进行身份辨识，部分FIDO2使用情境，用户可以配置YubiKey Bio，同时要求指纹和PIN码进行双重验证，YubiKey Bio目前可以在任何支援FIDO U2F、FIDO2或WebAuthn的服务或是平台上使用。如同YubiKey 5系列一样，当该服务支援FIDO2，且使用安全金钥常驻凭证，YubiKey Bio就可以实现无密码体验。

Yubico提到，使用生物辨识和指纹感测器，进行用户身份验证的概念，已经存在数十年，而最终在智能手机上，达到普遍可用的程度，驱使用户接受的理由，并非仅是安全性而是方便性。要在安全金钥整合生物辨识的挑战之一，便是要能够提供跨平台的支援，使用户获得一致且良好的使用者体验，就像使用笔电、平板电脑或是智能手机等装置，内建的生物辨识感测器一样。

由于现在FIDO2已经支援广泛的生物辨识类型，包括指纹以及脸部辨识，因此已经能够在不同的终端用户装置上，提供无缝的身份验证体验。官方提到，在智能手机上，指纹认证是系统中的一部分，因此结合屏幕指示以及明确的使用者界面，用户在行动装置上设定和管理指纹锁定，成为一件简单且直觉的事，但YubiKey必须能够跨平台运作，因此面对的情况完全不同，再加上指纹感测器会因为皮肤水分和温度不同，而影响扫描的效果。

为了减少指纹感测器可用性问题带来的影响，PIN码成为YubiKey Bio指纹辨识的替代身份验证方法，YubiKey Bio会预设使用生物辨识，但是当出现问题，便允许用户输入PIN码，类似iPhone的指纹解锁体验，官方强调，对于用户需要每天进行系统认证的情境，YubiKey Bio能够提供方便性，让验证变得更方便简单，但是对于非经常性的身份验证，YubiKey Bio则无法增加太多的便利性。

虽然指纹辨识已经发展很长一段时间，但是仍存在安全风险，攻击者可能窃取用户的指纹，以骗过指纹辨识系统。除此之外，生物辨识系统的安全威胁，还包括装置处理生物特征的方式，为了避免生物辨识元件的漏洞，可能破坏核心安全性，因此他们将生物辨识子系统，和金钥核心功能切割开来，确保金钥核心安全。

YubiKey会在专用的安全元件中处理生物特征，并且加密安全元件与YubiKey软件间的通讯，避免窃听与重送攻击。Yubico强调，目前所有的指纹感测器，都容易受到高品质的指纹照片欺骗，不过因为绝大多数潜在的攻击者，都无法物理上靠近受害者，也就无法实际取用装置，再加上他们特别挑选的YubiKey Bio元件，大大增加攻击者要骗过指纹感测器的难度。