迈瑞微在指纹识别安全漏洞方面提供相关软件解决方案

一、迈瑞微披露“指纹识别安全漏洞”‍

2017年11月，迈瑞微电子举办“安全指纹·物联生活”技术发布会，首次披露存在于智能手机的指纹识别安全漏洞：在指纹传感器上贴覆带有导电涂层的贴膜，不影响已注册指纹解锁；但已注册指纹使用后，未注册的指纹也能解锁。2017年12月起，好奇实验室等为代表的科技媒体对智能手机指纹识别安全漏洞进行了持续披露。2018年1月起，中央电视台多个新闻栏目向全国人民滚动报道了智能手机指纹识别安全漏洞。同期以人民日报、扬子晚报为代表的综合性媒体也对智能手机指纹识别安全漏洞进行了报道。

二、质检总局高度重视限时整改

2017年12月，质检总局委托工业和信息化部电子第五研究所，对国内品牌五款智能手机，同时选择两款国外品牌进行对比实验，通过验证实验表明报道中情况属实。2018年1月质检总局召开智能手机指纹识别信息安全情况分析座谈会，五家智能手机企业及一家指纹传感器芯片企业到场，质检总局领导要求涉事厂商限于2018年5月之前对已上市手机的指纹锁机型推送升级补丁解决安全漏洞，并举一反三，关注生物特征识别存在的信息安全问题。

三、安全漏洞升级补丁现状‍

迈瑞微公司在主动监控中发现，不少已存在指纹识别安全漏洞的智能手机，虽然经过了几次推送升级，但并没有解决该安全漏洞，仍然采用类似专利ZL201010131219.7《抵御指纹残留的指纹识别系统和方法》中的技术方法，只对不移动的攻击图案起到防御效果，但并不能修补安全漏洞抵御贴膜方式的攻击。（详情可参照点击以下链接：视频详情 ）

四、迈瑞微揭示防御原理

指纹识别是为数不多的由中国人站在技术顶尖位置的领域，早在2006年，由欧美研究机构主办的FVC国际指纹识别竞赛中，登记国籍为中国的个人和企业已经包揽了有限资源组前4名。贴膜破解安全漏洞的防御方法被中国自主知识产权指纹识别技术企业普遍掌握，已有三家长期从事指纹识别技术研发的中国厂商通过了迈瑞微的防贴膜破解原理性论证，分别是苏州迈瑞微、上海图正、杭州晟元。

早在2017年11月“安全指纹·物联生活”技术发布会上，迈瑞微就披露了解决该漏洞的方法：检测图像是否为指纹；检查匹配重叠区域是否具备一致性，拥有自主知识产权的中国指纹识别技术厂商都掌握该技术方法，但国内手机市场普遍没有采用安防业普遍应用的先进的自主技术。

五、迈瑞微提供软件解决方案

迈瑞微电子自即日起到2018年12月，对已上市手机的指纹锁机型提供安全升级补丁的软件服务，以经过对质量和知识产权极端重视的北美市场考验的先进技术来服务国内手机市场。在服务顺序和定价上将遵循以下原则：第一、先报名者价低，后报名者价高，因为安全防护越早成本越低，亡羊补牢成本高；第二，以智能手机首发价为基数按比例定价，因为安全的价值取决于保护什么。具体实施细则如下：

（1）与竞争对手的指纹芯片搭配的安全指纹识别软件并非迈瑞微标准产品，以智能手机机型为报名单元，委托方应报备智能手机机型、电子配置列表、指纹传感器型号、上市时间、首次公开报价、总销售量；报名者应在15天内打预付款，以邮件送达日为报名日，超出15天打款以款到日提前15天为报名日；型号的定义以存在影响指纹识别表现的电子配置差异为准，例如使用两种Memory的“同款手机”将被认为是两个机型，以免在兼容性上发生争议。

（2）预付金为每机型10万元人民币，用于TEE环境下指纹识别TA的开发费用，不对指纹识别软件运行于REE的机型提供服务；对一个机型，每款竞品指纹传感器收费5万元人民币开发费；迈瑞微软件已适配主要国产TEE，如果委托方指定迈瑞微未适配过的TEE，则视开发困难程度，每机型额外支付迈瑞微10万元-20万元人民币开发费用并承担TEE供应商要求的费用，并可能被降低优先级；不同机型的报名时间和费用独立核算，签订开发合同时多退少补；因委托方或第三方的原因导致开发成本上升，由委托方承担。

（3）每pcs手机的软件授权费以手机指纹锁机型首次公开报价为基准，随时间上升：5月之前报名的，按0.2%收取；6月1日至6月30日报名的，按0.4%收取；7月1日至7月31日报名的，按0.6%收取；8月1日至8月31日报名的，以0.8%收取；9月1日至9月30日报名的，以1.0%收取；10月报名的，以1.2%收取；11月报名的，以1.4%收取；12月报名的，以1.6%收取。在迈瑞微交付安全软件之前，委托方应一次性交清该机型全部软件授权费。

为避免竞争对手获得迈瑞微核心技术：

（1）在迈瑞微办公住所进行开发，迈瑞微编译打包TA，委托方提供技术支持；

（2）委托方不得逆向工程，不得在其他机型使用迈瑞微的软件，不得向第三方扩散迈瑞微提供的任何数据和资料；

（3）委托方不得向迈瑞微员工套取信息，不得要求迈瑞微员工与含迈瑞微竞争对手在内的第三方直接沟通。

符合如下情形，迈瑞微有权拒绝和终止软件开发服务，不退还已支付的预付金或开发费：

（1）委托方对费用存在异议的，或委托方提供虚假报备信息的；

（2）有证据表明该机型涉嫌侵犯迈瑞微专利权，且协商无果的；

（3）因委托方管理或技术问题导致开发无法开展或进展缓慢的；

（4）因竞品指纹传感器或TEE等相关第三方原因导致开发无法进展的；

（5）委托方试图只升级部分竞品指纹传感器，且不能证明其余竞品指纹传感器已解决安全漏洞的；

（6）委托方曾使用非市场手段获取迈瑞微技术秘密行为在先，双方尚未和解的；

（7）委托方或相关第三方在开发过程中有其他损害迈瑞微合法利益的行为的。

六、中国芯在部分领域已世界领先

目前在指纹芯片领域，中国公司自思想理论层面开始便全盘原创，在智能门锁为代表的安防市场，迈瑞微为代表的自主领先技术也成为主流产品。希望作为市场主体的企业普遍重视质量、普遍尊重事实，发挥市场的有效调节机制才会发生作用。迈瑞微公司全体成员向中国安防业优秀的企业家们、积极有为的主管部门和深耕世界市场的著名品牌们致敬。