ANSIまたはISO形式の指紋テンプレートをクリアテキスト形式で保存して送信しても安全ですか？
ユーザーがローカルマシンで指紋を探すために指をスキャンするように設定していますが、テンプレートは効率上の理由から中央サーバーに保存されています。
検証SDKはローカルマシンにあるため、サーバーは、SDKがテンプレートを照合するために、データベースからローカルマシンにテンプレートを送信する必要があります。
これが安全なアプローチであるかどうか、およびfpテンプレートがセキュリティ機密情報であるかどうか疑問に思っていましたか？全体として、質問は次のステートメントに要約されます。「ISO/ANSI指紋テンプレート形式を使用して、電子的またはその他の方法で指紋を再作成できますか？」
関連する論文： 特徴点からの指紋の再構成
これは安全なアプローチではありません！データを暗号化するか、別の 生体認証テンプレート保護 スキームを使用する必要があります。例については、インドのAadhaarシステムの テクニカルレポート を参照してください。ここでは、それらの処理方法が説明されています（47ページなど）。
管轄によっては、生体認証情報が機密情報と見なされる場合があります。たとえば、EUでは [〜＃〜] gdpr [〜＃〜] の下で、生体認証データは「特別な個人データのカテゴリ」（以前は「機密の個人データ」）に分類されます。
さらに、あなたが示したように、その特徴点から指紋の位相情報を再構築することが可能かもしれません。たとえば、 試験1 、 試験2 、 試験 。他の研究（例 study を参照）は、指紋の特徴点から性別を推定できる可能性があることを示しました。これらは明らかにプライバシー侵害の可能性があります。再構築された指紋を使用して プレゼンテーション攻撃 楽器（グミ指など）を作成し、攻撃者がシステムを迂回するために使用される可能性があるため、これもセキュリティの脆弱性です。
さらに、データをプレーンテキストで送信することにより、システムが中間者攻撃やリプレイ攻撃に対して脆弱になる可能性があります。したがって、結論として：データを平文で送信しないでください！
最後に：
サーバーは、SDKがそれらに一致するように、データベースからローカルマシンにテンプレートを送信する必要があります
これは潜在的な攻撃ベクトルを可能にするため、設計上の決定は非常に貧弱です。攻撃者がSDKを使用してローカルマシンの制御を取得すると、サーバー/データベースに対してさまざまなサブジェクトのクエリを繰り返し発行し、機密情報を公開する可能性があります。管轄区域によっては、生体認証データを登録サーバー/データベースの外部に送信することも法的に許可されていない場合があります。