接着昨天的内容,今天我们详细比较下Android8.1和Android8.0的CDD中关于指纹测试方面的描述。
通过上述对比,我们知道Android8.1对于指纹测试增加了2项:
1,强烈建议指纹欺骗接受率 (SAR)不高于7%。
这部分内容昨天已经介绍,Android8.1对于测量生物识别解锁模式的安全性增加了2个指标。对于指纹来说,增加了欺骗接受率这个指标。
2,当指纹欺骗接受率(SAR)高于7%时,必须说明这种模式没有强PIN码、图案、或者密码的安全性高,同时并明确列举使用它的风险。
其他的与TEE相关的内容基本没变(可以查看安智客之前的文章):
1,要求keystore的硬实现,指纹的比对必须在TEE中,或者在与TEE相连的安全通道的一个专用芯片中。
2,指纹数据必须加密存储、识别,保证不能被TEE外部时间获取到。
3,必须防止在不首先建立信任链的情况下添加指纹。让用户确认现有的或添加由TEE担保的新设备凭证(PIN /模式/密码);Android开源项目实现提供框架中的机制。