生物识别护照（Biometric passport）是一种嵌入了微芯片的旅行证件，该芯片存储了您的生物识别数据——通常包括数字照片、指纹，有时还包括虹膜扫描——以及您的基本护照信息。该芯片遵循国际标准（ICAO Doc 9303），并包含旨在防止欺诈的安全特性。
其核心是一个接触式或非接触式的 RFID（射频识别）微芯片，通常位于后封底。芯片中存储了出现在护照资料页上的视觉数据——姓名、出生日期、护照号码、签发国和有效期——外加一张数字照片和生物识别标识符。国际标准是 ICAO Doc 9303（国际民用航空组织关于机读旅行证件的标准），这确保了各国之间的兼容性。
微芯片包含先进的安全功能以防止克隆和篡改。这些功能包括由签发国私钥认证的数字签名、加密数据存储，以及检测篡改企图的防克隆保护。现代生物识别护照主要使用两种身份验证协议：BAC（基础访问控制），要求在读取芯片前先扫描机读区；以及 PACE（密码身份验证连接建立），这是一种正成为标准且更安全的协议。
芯片上的生物识别数据使用签发国的加密密钥进行数字签名。如果有人修改数据或克隆芯片，数字签名将不匹配，护照会被标记为伪造。边境管制当局可以根据有效签发密钥数据库验证此签名。
生物识别护照最早由欧盟签发（2006 年芬兰开始），并迅速成为国际标准。美国于 2007 年开始签发。今天，超过 150 个国家签发生物识别护照，包括所有欧盟成员国、北美、发达的亚太国家以及大多数其他国家。您可以通过封面上的“金圈”符号来辨认生物识别护照——这是一个包含微芯片图标的图形，现在几乎在所有现代护照上通用。
普及过程并非整齐划一，特别是在发展中国家。一些国家逐步引入生物识别护照（旧护照仍然有效）；另一些国家则强制立即执行。这导致了一个过渡期，非生物识别护照仍在流通，尽管它们越来越受到怀疑，且在自动边境管制处经常面临额外的审查。
生物识别护照使用多重安全层。实体证件包含传统特征（安全线、全息元素、缩微印刷、紫外线图案），使伪造变得困难。嵌入式微芯片增加了一个数字层：数据经过加密和数字签名，并包含纠错码，使未经授权的修改变得显而易见。芯片本身的嵌入方式使得在不破坏证件的情况下拆卸或更换变得极其困难。
BAC 协议增加了另一层保护：在读取芯片之前，阅读器必须证明其已知晓机读区（护照资料页底部两行 OCR 文本）的数据。这可以防止被动式 RFID 窃密——他人无法简单地在您的护照附近晃动阅读器就下载所有数据。
最近采用的 PACE 协议甚至更加安全。它使用一个安全通道，要求基于护照号码、出生日期和有效期进行身份验证——这些信息虽然在护照上是公开的，但在正确的格式下并不容易被猜到。这使得复杂的攻击变得不切实际。
生物识别护照的一个主要用途是实现自动边境管制系统（自助通关闸机或 SmartGates）。在许多发达国家的机场抵达时，您可以走自动闸机：将护照插入阅读器，阅读器扫描机读区和微芯片，通过高清摄像头捕捉实时面部照片，并将存储的生物识别照片与您的实时图像进行比对。如果匹配度很高（通常需要 99% 以上的置信度），闸机就会开启。这一过程仅需 10-30 秒，极大地提高了机场的吞吐量。
英国、欧盟、美国、澳大利亚、加拿大以及许多其他国家的机场都运行着自助通关闸机。这项技术已变得足够可靠，以至于自助闸机通常比人工通道更快。对于频繁旅行的人来说，生物识别护照几乎是必不可少的——机场越来越优先考虑自助闸机并减少人工柜台，后者可能会导致长时间的排队。一些机场（特别是欧洲）现在为符合自助通关条件的旅客保留了优先通道。
支持自助通关闸机的面部识别技术并非没有争议。欧盟对于在边境捕捉面部图像的保留和使用有严格规定。GDPR（通用数据保护条例）对保留和使用施加了重大限制。相比之下，美国国土安全部（DHS）将面部图像保留 14 年，这引发了隐私担忧。这导致一些欧盟国家限制哪些航空公司可以在其自助闸机中使用面部识别。
所有现代护照都是“机读护照”——它们在资料页底部包含 OCR 格式的文本，光学扫描仪可以读取。这一特征可以追溯到 20 世纪 80 年代。但并非所有机读护照都是生物识别护照。没有微芯片的机读护照无法实现自动闸机处理，完全依赖于视觉检查和 OCR 文本验证。生物识别护照增加了带有数字数据、指纹和增强安全性的微芯片。
这种区别在投资入籍（CBI）中非常重要：非生物识别护照可能仍被接受前往许多国家旅行，但它无法享受生物识别护照所带来的简化边境处理。拥有强大项目的 CBI 国家通常只签发生物识别护照，因为这提升了护照在国际上的可信度和可用性。持有一个小型 CBI 国家签发的生物识别护照的公民，在边境面临怀疑的可能性远低于持有旧式机读护照的人。
在跨国旅行证件上存储生物识别数据引发了合理的担忧。如果您的护照丢失或被盗，窃贼可以获得标准化的、数字化的指纹和面部照片。虽然芯片上的数据是加密的，但意志坚定的攻击者仍可能访问它，生物识别数据可能导致身份盗用或冒充。
此外，每当您的护照在边境被扫描时，政府都会保留记录。这创建了一个全球旅行踪迹日志。一些隐私倡导者对这种监控能力表示担忧，尽管政府反驳称这对于 911 事件后的安全是必要的。
大多数签发生物识别护照的国家都有数据保护法，限制边境机构保留面部图像和指纹的时间。然而，保护程度差异很大。欧盟的 GDPR 提供了强有力的保护；而美国的系统则要宽松得多。
所有合法的现代 CBI 项目都签发生物识别护照。这是合法性的标志。如果一个项目签发非生物识别护照，那就是一个危险信号。为什么？因为生产生物识别护照需要大量的技术基础设施以及与国际标准组织的整合。诈骗或虚假项目通常签发粗糙、不合规的证件。一个签发功能完善、符合 ICAO 标准的生物识别护照的项目，必然投入了相关基础设施，这与项目的合法性呈正相关。
此外，生物识别护照对公民身份持有者来说更有用。持有马耳他生物识别护照的人可以在欧盟和美国机场使用自动闸机；非生物识别护照则需要漫长的人工处理，这使得护照在实际使用中的价值降低。CBI 公司会重点宣传其项目护照的质量，而生物识别护照是这一宣传的关键组成部分。
护照技术的下一个前沿是“未来旅行证件”，它可能融入额外的安全特性，如微芯片上的全息图、多光谱成像或基于区块链的验证。国际航空运输协会（IATA）正在探索存储在智能手机上的数字护照，尽管距离广泛采用仍有数年之遥。目前实施的生物识别护照在未来十年内可能仍将是全球标准。