為什麼大多數手機開機第一次解鎖不能用指紋
先說結論：指紋是一種不夠安全的身份認證方式。
確切來說，所有基於生物特徵的身份認證，包括人臉識別、聲紋識別、靜脈識別等等，都是不夠安全的。
不安全到什麼程度呢？業內共識是：生物特徵不能作為唯一認證手段。
密碼有成為唯一認證手段的資格，U盾、ID卡這些也沒問題。換句話說，你的某個帳號可以只用密碼保護、也可以只用U盾；但如果設計成沒有密碼、只用指紋認證就能訪問，對不起，安全不合格。
單說這個問題的話：為什麼手機重啟後必須輸入一次密碼，不能直接用指紋解鎖？有人回答說因為指紋信息是用密碼保護的，得輸入密碼才能讀取指紋。但這隻回答了一半，之所以這麼做，仍然是因為指紋不夠安全。如果哪款手機重新開機後直接能用指紋解鎖，說明它的安全性是低於行業一般水平的。
為什麼它不安全？讓我們從頭開始詳細講講吧。
身份認證是自古就有的安全機制。口令、印信、花押，無論哪種首先都是為了解決「你是誰」的問題，這一步之後才是「允許你做什麼」。
認證因素五花八門，並且隨著科技進步一直在增加。但大體上分為三類：
你知道的：如密碼、安全問題的答案、PIN碼、解鎖圖案等，屬於用戶知識的一部分；
你擁有的：如ID卡、令牌、U盾、能接收驗證碼的手機等，屬於用戶攜帶的物品和所包含的信息；
你自身的：如指紋、虹膜、面部特徵、聲紋、DNA、字跡、打字習慣等，屬於用戶自身特徵和行為習慣的一部分。
以指紋為代表的用戶生物特性都屬於「你自身的」這類。而它們之所以被業界公認為不夠安全，有以下四個決定性的原因：
易複製和竊取
與人類的記憶不同，生物特性大部分是暴露在外的。用照片騙過人臉識別設備的新聞也不止一兩次了；在杯子、桌子、鍵盤上到處都印著你的指紋，提取複製一枚指模可能只需要幾十分鐘時間。更誇張的是，你甚至不用接觸到本人，只需足夠清晰的照片就能複製出指紋來。
哪怕是虹膜、靜脈、DNA這種肉眼不可見的信息，也能夠通過專用設備提取出來——如果不能提取還怎麼驗證呢？
無法修改
每次大規模密碼洩漏事件後各大網站紛紛提醒大家更換自己的常用密碼。但如果指紋信息洩漏呢？手指只有十根，這種事多來幾次就只能號召大家砍手了。面部信息呢？難道要整容麼？
生物信息不可變的屬性是它能成為身份認證因素的理由，但數字化時代的到來，反而成了最大的隱患。這也是蘋果等各大廠商對此十分謹慎的理由。
容錯範圍大
與精確的文字密碼或數字證書比起來，指紋、面部、聲音等信息必須從生物體上實時獲取，而這個過程不可能是完全準確的。必然會存在以下兩個機率：
一是拒真率（FRR），即應該通過認證的被拒絕；
一是認假率（FAR），即不該通過認證的通過了。
識別模塊的技術參數往往都是FRR小於萬分之一、FAR小於百萬分之一左右。但這只是理論，實際應用中為了能識別出油汙的手指、低光照下化妝的臉、嘈雜充滿噪音的環境，必然會放寬識別範圍，這也導致了竊取複製的指模、照片就算不完全精確，也有一定機會弄假成真、騙過識別算法。
難以加密
重要信息應該加密存儲而不是明文，這是安全常識。
但加密也有可逆和不可逆之分。可逆加密顧名思義就是可以通過某種算法還原出明文，而不可逆加密則不能還原。比如常見的散列（哈希）算法，就是將任意長度的文本加密成固定長度的一串代碼，並且無法還原。（散列碰撞的可能性這裡暫時忽略，只提算法）
看不到明文，怎麼判斷密碼的正確性呢？答案很簡單，把用戶輸入的密碼再做一次哈希，跟之前存儲的一對比，如果一致的話就說明密碼正確。
但哈希是一種差之毫釐謬以千里的算法。以常用的SHA-1為例，「123456」的結果是「7c4a8d09ca3762af61e59520943dc26494f8941b」，而「123457」則是「908f704ccaadfd86a74407d234c7bde30f2744fe」，沒有一個字母是相同的。因此它只能應用於精確的密碼或數字證書等，對於需要模糊對比的指紋、聲紋、面部圖像等則完全不適用。就算存儲時用了加密算法，在對比階段必須還原成明文，從而有了洩漏的可能性。
明文+無法修改，這意味著指紋一旦洩漏就是不可挽回的災難。
綜合以上四點，所有的生物因素認證基本都是不夠安全也不該濫用的。
但這並不代表它不能用。
一般來說，在身份認證過程中為了提高安全性，所以我們在需要加強身份校驗時會使用雙因素認證。但雙因素絕大部分情況下指的是「你知道的+你擁有的」，而極少有「你自身的」。
比如ATM取款，需要你擁有的銀行卡+你知道的密碼。
再比如一些私人重要帳號登錄，需要你知道的密碼+你擁有的手機接收到的驗證碼。
只有在少數歷史遺留場合才仍然保留用戶自身信息的驗證，比如信用卡無密碼簽名，之所以我們能接受這種很不安全的方式，是因為風險轉嫁給了銀行，同時用嚴厲的法律來約束。
在已經有了足夠安全的基本認證方式之後，才能用生物信息作為輔助手段在不重要的場合臨時代替一下。
在操作系統重要功能時必須驗證密碼；
在設置或修改指紋信息時必須驗證密碼；
在涉及金融資產時，如果金額小於100~200元才允許使用指紋，超過則必須驗證密碼；特別大的金額還要使用短信驗證、U盾或者銀行櫃檯辦理；
等等等等。
智能手機在重開機時驗證密碼、每隔固定時間要輸入一次密碼、指紋多次識別失敗必須用密碼解鎖，都是出於同樣的考慮：安全。
在同等技術條件下，安全和快捷是難以兼得的。在面對不可逆的長期隱患時，適當犧牲快捷而提高安全性才是負責任的行為。
