目前，針對生物特征模板保護的研究主要有硬件和軟件兩個角度。
硬件的解決方案主要思路是設(shè)計一個封閉的識別系統(tǒng)，模板保存在一個安全模塊中，從物理的角度保證模板不可逆和不可鏈接。Privaris PlusID就是基于該思路設(shè)計的一個商業(yè)化產(chǎn)品。該產(chǎn)品將完整的生物特征識別系統(tǒng)包括采集裝置集成封裝到一個密鑰卡大小的裝置內(nèi)。用戶注冊的生物特征模板保存在裝置內(nèi)部，如果認證成功，則該裝置發(fā)送出一串密鑰。類似這樣的系統(tǒng)被稱為“卡上系統(tǒng)”(system on card)。另有一種類似的，但被稱為“卡上匹配”(match oncard)，這種系統(tǒng)將一個模板數(shù)據(jù)庫和匹配器封裝到一個物理安全模塊內(nèi)，在認證時，外部采集的生物特征輸入該裝置進行匹配。這些基于硬件的解決方案確實保護了生物特征模板的安全，但是也一定程度上將生物特征弱化為了需要攜帶的“你所擁有”的特征，同時也限制了生物特征認證的應(yīng)用范圍，即只能作為外圍認證技術(shù)在終端使用，而不能實現(xiàn)系統(tǒng)內(nèi)部在線的認證，也無法進行1:N 的身份識別。
基于軟件的解決方案也就是所謂的生物特征加密技術(shù)。生物特征模板的不安全性主要在于其不可撤銷重置而存在*丟失的隱患，而普通的口令和密鑰反而可以通過密碼學(xué)意義上的處理而克服這種危險。近年來，越來越多的研究人員致力于生物特征加密技術(shù)的研究，提出了各種各樣的生物特征加密算法。一個理想的生物特征加密算法必須滿足以下幾點要求：(1)不可逆性，任何情況下都不能從生物特征模板逆變換得到原始的生物特征數(shù)據(jù)；(2)不可鏈接性，同一個生物特征用不同算法生成的模板不同，并且各個模板之間、以及模板與原始生物特征之間相互不能匹配；(3)可重新發(fā)布性，一旦某個生物特征模板丟失，可以使用同一個生物特征重新發(fā)布一個不同的模板；(4)性，滿足以上三個條件的模板的身份認證性能能夠滿足系統(tǒng)需求。
2.設(shè)備認證技術(shù)
在虹膜識別系統(tǒng)中，一旦非法設(shè)備接入系統(tǒng)，在虹膜信息采集時，攻擊者可以在此使用非法設(shè)備，或者給設(shè)備開后門，獲取采集到的人員的虹膜圖像信息原始數(shù)據(jù)，帶來極大的安全問題。因此，終端側(cè)有必要驗證接入設(shè)備的合法性。設(shè)備認證機制可以確保只有合法的終端設(shè)備才能接入系統(tǒng)，維護合法權(quán)益，保障虹膜識別系統(tǒng)的安全。
在進行設(shè)備認證之前，設(shè)備廠商首先在虹膜識別系統(tǒng)注冊，提交廠商信息給管理員審核。設(shè)備認證及數(shù)據(jù)傳輸時序圖如下：
圖 設(shè)備認證及數(shù)據(jù)傳輸時序圖
設(shè)備認證服務(wù)使用HTTPS可靠通信方式。廠商首先在系統(tǒng)新增設(shè)備，把設(shè)備相關(guān)信息上報系統(tǒng)；然后廠商在系統(tǒng)中對需要認證的設(shè)備發(fā)起認證請求，系統(tǒng)工作人員對設(shè)備進行審核，通過認證的設(shè)備系統(tǒng)會生成對應(yīng)的PIN碼(可修改)；廠商通過集成SDK開發(fā)客戶端，完成設(shè)備接入以及之后的虹膜圖像采集、上傳等工作。
3.數(shù)據(jù)加密技術(shù)
數(shù)據(jù)傳輸加密技術(shù)主要是對傳輸中的數(shù)據(jù)流進行加密，常用的有鏈路加密、節(jié)點加密和端到端加密三種方式。
1）數(shù)據(jù)存儲加密技術(shù)
數(shù)據(jù)存儲加密技術(shù)的目的是防止在存儲環(huán)節(jié)上的數(shù)據(jù)失密,可分為密文存儲和存取控制兩種。前者一般是通過加密法轉(zhuǎn)換、附加密碼、加密模塊等方法實現(xiàn)；后者則是對用戶資格、權(quán)限加以審查和限制,防止非法用戶存取數(shù)據(jù)或合法用戶越權(quán)存取數(shù)據(jù)，在系統(tǒng)中可以對不同工作組的用戶賦予相應(yīng)的權(quán)限以達到保護重要數(shù)據(jù)不被子非常訪問。
2）數(shù)據(jù)傳輸加密技術(shù)
(1)鏈路加密。鏈路加密是傳輸數(shù)據(jù)僅在物理層前的數(shù)據(jù)鏈路層進行加密。接收方是傳送路徑上的各臺節(jié)點機，信息在每臺節(jié)點機內(nèi)都要被解密和再加密，依次進行，直至到達目的地。
(2)端到端加密。端到端加密是為數(shù)據(jù)從一端傳送到另一端提供的加密方式。數(shù)據(jù)在發(fā)送端被加密，在zui終目的地(接收端)解密，中間節(jié)點處不以明文的形式出現(xiàn)。采用端到端加密是在應(yīng)用層完成，即傳輸前的高層中完成。除報頭外的報文均以密文的形式貫穿于全部傳輸過程。
(3)節(jié)點加密。節(jié)點加密在操作方式上與鏈路加密類似，都在中間節(jié)點先對消息進行解密,然后進行加密。然而,與鏈路加密不同,節(jié)點加密不允許消息在網(wǎng)絡(luò)節(jié)點以明文形式存在,它先把收到的消息進行解密,然后采用另一個不同的密鑰進行加密,這一過程是在節(jié)點上的一個安全模塊中進行。
虹膜注冊和虹膜驗證過程中，客戶端(終端)與服務(wù)器通信時可采用國密SM4加密算法對數(shù)據(jù)進行加密，通過MD5算法對數(shù)據(jù)進行簽名，確保數(shù)據(jù)在傳輸過程中的安全；虹膜圖像數(shù)據(jù)存儲時，采用國密SM4加密算法對虹膜原始數(shù)據(jù)進行加密存儲，保障數(shù)據(jù)存儲安全；此外還可以通過對系統(tǒng)用戶分級管理，根據(jù)用戶級別賦予不同權(quán)限，保障應(yīng)用安全。
