인간의 신체 부위를 인식해서 본인 인증을 하는 기술을 말한다.

가장 큰 장점은 개인이 비밀번호 등 별도의 인증키를 가지고 다니거나 외울 필요가 없어 편리하다는 것이다.

반면 기술 자체가 가지는 근본적인 한계도 있는데, 생체 인식은 기술적으로 100%의 정확도를 요구할 수 없다. 이는 생체 인식의 특성 때문인데 인간의 몸은 매일 바뀌며 심지어 컨디션에 따라 하루 사이에도 조금씩 바뀐다. 피곤하면 온 몸이 퉁퉁 붓는 것을 생각하면 편하다. 심지어 현재 이 분야의 끝판왕을 달리는 정맥 인식도 긴 시간에 걸쳐서는 배열이 조금씩 바뀔 수 있다고 알려져 있다. 이렇게 개인의 신체 데이터는 매일 조금씩 바뀌기 때문에 100% 정확도를 요구할 경우 심하면 아침에 인식시킨 지문이 저녁에는 인식이 안 되는 불상사가 생길 수도 있다. 따라서 생체 인식의 핵심은 '인간의 신체를 어떻게 데이터화 할 것이냐.'와, '몇 퍼센트나 기존의 데이터와 일치해야 인증된 사용자로 볼 것인가.'를 다루는 것이다. 이 보정을 과도하게 해줘서 일어난 보안 사고가 2019년 삼성전자 온스크린 지문인식 오작동 사태이다.

이 기술이 가지는 가장 큰 단점은 데이터 유출 시 치명적이라는 것이다. 위에서 말했듯 개인의 생체정보는 조금씩 바뀌지만, 아직 인간이 그 방향성이나 정도를 제어할 수는 없다. 개인이 필요에 따라 클릭 몇 번으로 쉽게 바꿀 수 있는 비밀번호나 기타 보안 토큰들과는 달리 이 데이터들은 변경이 불가능하거나, 큰 수술 등 각고의 노력을 들여야만 겨우 변경할 수 있으며 그조차도 원하는 방향으로 통제하기도 힘들다. 즉 생체 정보가 한 번 유출되면 사실상 바꾸는 것은 힘들기에, 한 번 유출되면 해킹을 위한 프리패스가 되어버릴 수 있다. 이렇기 때문에 정부같은 제 3자가 생체 데이터를 수집하는 것은 위험하다. 생체 정보의 원래 주인이 데이터를 갖고 있도록 해야 안전하다.

생체 인증을 스마트폰이나 컴퓨터 보안에 사용하는 경우에도 생체 정보를 실제 암호(파일 암호, 인증서 암호 등)로 사용할 수는 없고 실제 암호를 보안 하드웨어[1]에 저장해 둘 필요가 있는데 이 암호가 보안 하드웨어의 결함 등에 의해 유출될 경우 인증 자체가 의미가 없게 된다. 비슷하게 4에서 6자리 같이 짧은 PIN도 이런 단점이 있다. PIN은 짧아서 생체 인증과 같이 편리하게 사용할 수 있지만 그것을 실제 암호로 사용한다면 무차별 대입으로 해킹이 쉬워서 보안 하드웨어에 실제 암호를 저장해 두고 암호화나 인증서 사용 시에는 그 암호를 이용한다.