可替代現有密碼的技術

曉野

生活在互聯網時代的我們，每天都會面臨一項重大的考驗。這項考驗無數次沖擊了我們對自己記憶力的信心，這個考驗就是——記住密碼。除了不好記之外，密碼安全也是一個重要問題，我們的密碼可以通過窮舉、盜取信用證書、網絡釣魚等技術手段被他人獲得。

隨著近年來重大數據泄露事故的頻發，過去基于密碼的在線身份驗證技術已經難以維持互聯網經濟的穩定發展，安全界關于“密碼已死”的呼聲越來越高。

越來越多新的驗證方式出現，逐步替代了密碼在一些場景中的應用，最典型的例子就是蘋果公司推出的Touch ID指紋識別技術。Touch ID在用戶體驗上是一次巨大的提升，也掀起一波指紋識別潮流。隨后，眾多手機廠商紛紛效仿，指紋識別儼然有成為手機標配的趨勢。

此外，人臉識別（已成熟應用在門禁、軟件等領域）、聲紋識別（信息、金融領域）也在快速發展。這些新的驗證機制帶有極強的生物屬性，難以復制、驗證方便，而基于密碼另一形態的數字證書也發展迅猛，在通訊、金融領域已廣泛應用。

通過指紋、虹膜等人體固有生理特征，再結合計算機、光學、生物傳感器和生物統計學原理對個人身份進行識別和判定，確實能夠將人們從繁瑣的密碼迷宮中解脫出來。在這樣的背景下，一個推動去密碼化的強認證協議標準組織FIDO聯盟應運而生。FIDO的目標是創建一組新的協議，支持對Web應用持續的、安全的、無需密碼的訪問（即所謂的非密碼強認證）。

該聯盟認為，指紋識別的功能不應該僅是設備解鎖這么簡單，它應該讓服務、移動支付甚至企業管理變得更為高效。他們將其終極目標概括為4個字：“殺死”密碼。

FIDO 將用戶的密碼憑證儲存在某些設備中，用戶的密碼不會被發送出去，而是在設備內部通過軟件來處理。企業如果要使用 FIDO 的認證方式，只需要在服務器上安裝驗證軟件，然后在客戶和員工的設備上安裝相應的插件或應用程序即可。一旦驗證通過，軟件會將密鑰發送到登錄服務器，此過程中系統不會保存任何登錄信息。之后，登錄服務器會發送密鑰到用戶設備上，表示驗證已經通過。與目前的用戶名和密碼登錄模式相比，這種登錄方式很難被黑客破解。

FIDO標準支持任何一種認證方法，可選用的手段包括生物特征識別、語音識別、臉部識別、USB 驗證令牌、NFC 技術和一次性密碼等。不論是用傳統的硬件認證，還是用生物辨識如指紋、虹膜、聲紋、臉部辨識，依照 FIDO 的標準，都能夠當作身份識別認證使用。

FIDO聯盟的成員越來越多，包括谷歌、黑莓、微軟、阿里巴巴等諸多世界知名的公司。他們遵循一個統一的技術和安全標準，隨之帶來的是雙贏的結果，比如指紋識別從一項技術落地到實際應用場景中。

設備廠商在加入 FIDO 聯盟之后，可以在其設備中放置一顆安全芯片，保證用戶的賬號和信息安全。當然，用戶也可以自行購買指紋識別器一類的設備。

指紋識別技術還不完美，但這只是一個開始。谷歌正在開發一款USB鑰匙扣，用它可以直接登錄賬戶;微軟雖然沒有透露更多細節，但亦表示正在考慮尋求替代密碼的另一種方式。

相關鏈接

二維令推動無密碼時代來臨

目前，互聯網上已經普遍出現“密碼不密”的現象，由石盾科技推出的二維令所采用的“無密碼”認證方式或許是解決密碼泄露、輸入繁瑣等諸多弊端的另一個可行途徑。

二維令只需簡單“掃一掃”就可以實現更加快、易、安全的互聯網身份認證。說到二維令，很多人可能還比較陌生;但如果說二維碼，相信很多人已經十分熟悉。二維令就是利用二維碼帶來的便利性幫助用戶進行更高級別安全登錄的，是傳統登錄方式“用戶名+密碼”的顛覆者。

二維令由兩個部分組成：一部分是二維令手機APP，另一部分是只有成人1/4手掌大小的二維令物理令牌。隨著微信、支付寶的迅速普及，方便、簡易、快捷的掃二維碼獲取信息、完成支付、參與活動等已經被許多個人、企業或組織所熟知和使用，而二維令的出現則賦予了二維碼一種全新的應用模式，那就是安全級別更高的身份認證。

據了解，二維令采用國際通用的經典加密算法ECC，密鑰長度達到256比特，目前沒有人能直接破解這個長度的密鑰。

除此之外，二維令是以智能手機掃碼登錄的方式完成身份認證，因此不存在記憶用戶名、密碼的煩惱。登錄網站，用二維令APP掃一掃專門為二維令開辟的第三方入口二維碼就可以輕松登錄;登錄手機其他APP，只需選擇二維令登錄并點擊授權即可，連掃碼環節都可省掉。像聊天、支付、郵箱等涉及個人敏感信息的網站，在使用二維令APP掃碼的基礎上，用戶再掃一掃二維令物理令牌，雙重保障將更大幅度提升個人登錄安全。

從未來的發展趨勢看，會有越來越多的場景通過人體的面容、指紋、聲紋等方式進行驗證。我們可以預見，需要單純密碼的場合會越來越少，重要的是從現在開始，保養好我們的嗓子、手指和臉才是王道。

【責任編輯】趙新宇