當今已經是萬物互聯的社會，身份認證無處不在。無論網站、手機應用、筆記本電腦、汽車、酒店門鎖、零售亭、自助取款機，或者游戲主機，安全對所有聯網系統來說都是最基本的。一個最典型的例子就是個人身份證，它必須通過國家頒發，并在城市或國家網絡中驗明正身。

[[147449]]

無論虛擬還是現實，從失效的身份驗證中都可獲取利益，比如身份盜取、欺詐性交易、知識產權偷盜、篡改數據、網絡攻擊，甚至是國家支持的間諜活動。這些活動可導致企業或機構難以計量的損失，并損害個人名譽，如現在正在持續擴散中的Ashley Madison數據泄露事件。

互聯網時代的身份驗證

如果仔細思考一下，就會發現傳統的身份驗證形式從來不是為我們今天所處的網絡世界而設。早期的身份驗證解決方案之所以足夠使用，僅僅是因為它們所保護的那些系統都是獨立而相互隔離的。然而很不幸，在計算機革命早期占據統治地位的孤立系統，已經延續下來，成為互聯網時代身份驗證的根基。

僅僅幾年之間，全球的計算機就從單個計算機組成的孤島世界轉變成為如今由網絡云連接起來的分散群落。不僅計算機相互連通，設備自身及其上運行的各種應用也隨著各自的用戶一起移動。應用不再局限于特定機器或數據中心，它們可以是分布式的、分散的或安裝于本地移動設備上。個人系統或用戶的安全狀況如今可以影響到與它們聯網的系統的安全。

互聯網已經深植于全球文化和商業貿易之中，身份驗證的風險和影響也隨之日益增加。而隨著萬物互聯的逼近，數十億上百億的設備、傳感器和系統都將接入互聯網，不僅僅是安全身份驗證的需求在以指數級增長，安全態勢也在改變。與口令被盜和身份驗證繞過直接相關的安全事件，不僅是在發生頻率上，其后果的嚴重性也在不斷的變本加厲。而更糟糕的是，以往的入侵事件正在造成一種雪球效應，使后續攻擊比它們的前任們更加容易、更快，波及范圍也更廣。

口令的問題

口令不僅僅是使用不當的問題，它們從本質上就不安全，也為未來的設備身份驗證引入了麻煩。

傳統上，聯網系統中用戶身份驗證的主要形式是用戶名和口令組合。最近，強身份驗證的概念開始流行，也就是在口令層面上再加一個附加的身份驗證因素以增加安全保障。但很不幸，無論是口令還是口令之上的強身份驗證在面對今天的安全挑戰之時均不是非解決方案。

隨著我們開始考慮設備互聯的物聯網世界，很容易看出今時今日使用的口令技術與組成我們未來聯網世界的廣大智能對象是多么地不相匹配。密碼向內集中的本質要求用戶向應用輸入憑證。然而，大多數設備，比如傳感器、門鎖和可穿戴設備并沒有附屬鍵盤供人鍵入口令。

雙因子驗證的問題

安全專家一直在建議用強身份驗證補足密碼方式的弱點。雖然強身份驗證的安全性的確優于傳統的口令，但這種通常稱為雙因子身份驗證的傳統方式，并不足夠。

比如，結構性。共享密鑰體系結構涉及發送令牌或一次性密碼(OTP)給用戶的設備，然后與受保護的應用所產生的令牌進行比對。這一過程倚賴的“對稱密鑰加密體制”是低級的。因為不管是用戶的設備或是應用本身被攻破，共享密鑰都能被攻擊者獲取，也就能產生他自己的正確令牌了。而且，由于用戶令牌必須轉置或交付回應用進行比對，也就引入了令牌被黑客、惡意軟件或中間人攻擊攔截到的風險。

再比如，用戶體驗。更換很快就會過期的令牌是很煩人的用戶體驗，很多用戶都會選擇用更順暢的身份驗證來代替它。而且，依賴短信的OTP也是不可靠的。終端用戶更偏愛方便性而非安全性，這意味著像OTP這種傳統雙因子身份驗證實現手段有可能根本不被使用。對公司和應用而言，傳統雙因子身份驗證等于是將普通用戶推出品牌體驗之外。

另外，傳統雙因子身份驗證方式牽涉到將用戶推向第三方應用。通常，這會是一家公司或是在線服務，將用戶以無關品牌和用戶體驗的方式推送至移動應用或硬件。

還有應用場景限制。相對登錄表單，身份驗證的應用更廣。無論用戶是想授權實時付款、簽收包裹、核實身份，或是進入公司管制區域，身份驗證都扮演著極為關鍵的角色。在很多此類場景中，沒有表單供你提交類似密碼和OTP之類的憑證，因此，也就將此類場景摒除在了傳統雙因子身份驗證的應用范疇之外。

最后是成本。很多雙因子身份驗證解決方案表現出的是有形的花費和維護負擔，令只能滿足有限應用場景的雙因子身份驗證解決方案變得不現實。

生物識別的致命弱點

基于生物特征的生物身份識別技術，雖然有著使用方便，認證唯一可靠等優點，但其致命問題在于一旦被盜用將無法注銷。而且，盡管人的生物特征不能改變，但泄露生物特征的途徑卻很多，一旦被偽造將無法吊銷。想象一下，如果一個用戶已經在幾十甚至是上百個系統用他的指紋或聲紋登錄，一旦被盜用，該面臨何種災難?這也是生物識別無法大規模普及的重要原因之一。

結束語

基于口令的身份驗證不再能夠滿足現代安全需求，而像雙因子身份驗證的共享密鑰體系結構屬于低端加密手段，很多攻擊方法都可攻破，并且帶來了用戶很不喜歡而經常棄之不用的麻煩體驗。生物識別又無法大規模應用，這就是傳統口令技術的困境。

從互聯網到移動互聯網，再到萬物互聯的物聯網，新一代的安全面臨挑戰，時代呼喚新的身份驗證與授權方法的出現。