三星新旗舰 Galaxy S8 的虹膜辨识日前遭到破解──同时还只使用一枚隐型眼镜，数位相机，以及雷射印表机。

破解 S8 虹膜设计的组织是德国的一个骇客组织“Chaos Computer Clubs”（CCC），实际上它们在 2013 年也曾经解锁 iPhone 5s 的 Touch ID，那是当代主流智慧型手机，第一支使用指纹辨识的产品。而此次的 Galaxy S8 则是第一款使用虹膜辨识的智慧型手机──如果不算上因为电池问题而下市的 Galaxy Note 7。

使用“假眼睛”
与当初破解 Touch ID 的方法类似，CCC 的手法可能会让人有些无言。此次他们破解 S8 虹膜辨识的方式，是先弄出一张有 S8 用户眼睛的照片，可能就是一张会放在网路上的高解析度照片，然后再用普通的雷射印表机印出来，最后为了要模仿眼球的质感，会在照片上放一枚隐型眼镜，接着就可以可以骗过 S8 的虹膜感测。

换句话说，并不是想像中骇客会做的攻破手机软硬体、再解锁装置，而是弄出一颗“假眼睛”，与当初破解 Touch ID 是使用橡胶制的假手指、再贴印去除“杂质”的指纹照片很类似。CCC 也强调，由于“眼睛”比起指纹更容易曝露在外，因此理论上会比指纹辨识不安全些。实际上，在手机提供的种种解锁工具里，他们还是相信传统的密码比较安全。

CCC 也谈到一些细节，比如透过一般的数位相机开启夜拍模式，或是把红外线滤镜拿掉，就可以拍到足供辨识的虹膜照片。示范中使用的数位相机则搭配 200mm 镜头，但必须在 5 公尺以内的距离拍摄才会成功。

便利性与安全性的平衡
尽管如此，一般用户应该可以不必想太多，毕竟想突破生物辨识解锁手机，除了必须先拿到用户本人的手机，一般小偷大概也不会想花时间制作假手指或是假眼球。包括苹果与三星，也都有提供远端锁定的功能，避免手机失窃后被破解。

此外，指纹辨识等生物感测并不是要追求绝对的安全性，而是想在安全性、以及便利性之间找到平衡，同时加速行动支付的验证。被 CCC 认为较安全的密码，实际上曾有调查指出，有高达 50% 的用户因为嫌麻烦而弃用。相比之下，不需要在荧幕来回输入数字或画图的生物感测除了更便利，“指纹与虹膜只有自己拥有”的感受，也强化了使用行动支付的说服力。