赖 韬，王 松，房利国，韩炼冰

（中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引言

近年来，随着生物特征识别技术的广泛应用，人们越来越担心自身的生物特征的安全问题。无论在哪种场合，只要提供了自己的生物特征信息，这个生物特征信息就有被复制和盗用的风险；而且，人的生物特征一般情况下是不会变化的，一旦泄露就无法像口令一样修改或重新设置。当同一生物特征信息应用于多个信息系统时，一个系统中的生物特征信息泄露将影响其他系统的安全。2020 年10月，中国信通院、电信终端产业协会、中国互联网协会等单位联合发表了《生物识别隐私保护研究报告》[1]。报告指出需要完善我国的生物识别隐私保护标准体系，加快重点标准研制，建立评估机制，提升保护力度，同时在技术层面上需要创新生物识别隐私保护技术手段，加强基础理论研究和技术研发。

在生物特征识别技术广泛应用之前，信息系统的认证主要依靠口令的方式进行。在对口令的安全保护设计中，口令通常使用安全散列算法，如安全散列算法1（Secure Hash Algorithm 1，SHA1），进行安全散列运算，并将散列值存储起来。口令认证时，输入的口令将再次进行安全散列运算，并将散列值并与存储的散列值进行比较，确定用户身份。在这个过程中，信息系统中并不保存原始的口令，由于安全散列算法是单向运算，即使存储的散列值被泄露，攻击者也无法得到原始的用户口令。

虽然通过安全散列算法可以很好地保护口令安全，但这个技术并不适用于生物特征信息。……