通过 WebAuthn API 识别手指 ID

【问题标题】：identify finger id via WebAuthn API通过 WebAuthn API 识别手指 ID
【发布时间】：2020-09-08 01:37:17
【问题描述】：

是否可以准确识别出哪个手指用户注册或验证？

例如，服务器不仅会得到公钥，还会得到一个随机的唯一数字映射到用户注册的手指。因此，它有助于避免多人使用同一设备对一个用户 ID 进行身份验证。

【问题讨论】：

【解决方案1】：

简短的回答是简单的否定。

FIDO2 的构思考虑到了隐私，因此无法确定即使是相同的设备也用于生成密钥，更不用说可能用于保护私钥的任何生物识别机制的详细信息。

【讨论】：

从指纹中，我们创建公钥以在外部共享，所以我没有看到任何安全问题来共享链接到注册指纹的随机密钥。这个随机键只与手机 ID 和指纹紧密相关。在其他手机中，即使是相同的指纹也会产生其他随机密钥。