基于生物特征识别的计算机登录安全吗？

指纹识别，以及目前采用的其他生物特征识别技术，其共同特点是需要使用某种加密存储来保存特征数据 以及 用户用于验证身份的信息，这类信息可能是口令，也可能是私钥等等。

不可避免地，由于生物特征只能以基于概率的方法来进行验证（例如，指纹验证通常是取几十个数据点，如果符合的比例超过一个阈值则认为匹配），而不是通过采样得到数据直接来进行计算（话说回来，即使是这样也有问题，因为那样的话，便没有办法任意修改这些数据来获得与更换密钥同样的效果），因此，这些加密存储也就不得不要求验证系统本身持有解密的密钥。换言之，如果负责身份验证的芯片存在后门或漏洞的话，是否持有带生物特征的信任状，并不会改变能否拿到机密数据这个结果。又比如，身份认证芯片本身如果完成的是取解密密钥，而不是解密这样的操作（从减少成本的角度说，很有理由这样做），那么一旦软件系统存在的漏洞所导致的风险就大大提高；而由硬件直接完成解密操作的问题则是，硬件事实上没有办法验证软件是否仍然在一个"理性"的状态运行，或者说，硬件并没有办法来验证访问它的软件是不是它期待的那一份。

不过，从积极的方面看，基于生物特征识别技术的身份验证方案尽管并不能消除系统中的任何薄弱环节（如果不是增加薄弱环节的话），但是对于缺乏安全知识的用户还是有一些积极意义的，例如：

- 由于不需要每次都输入很长的口令，这些用户会更乐意接受不容易被穷举的、复杂的长口令。当然，任何理性的远程验证系统都应该有适当的密码重试锁定策略，这种做法只是减少或消除了偶然猜中密码的可能性。

- 减少了使用长口令的用户登录的时间。

- 看起來很"酷"。

不过很遗憾，这个列表并不包含直接地改善系统的安全性。

 http://blog.delphij.net/archives/2009/02/post-557.html