口令已“死”的困境

当今已经是万物互联的社会，身份认证无处不在。无论网站、手机应用、笔记本电脑、汽车、酒店门锁、零售亭、自助取款机，或者游戏主机，安全对所有联网系统来说都是最基本的。一个最典型的例子就是个人身份证，它必须通过国家颁发，并在城市或国家网络中验明正身。

无论虚拟还是现实，从失效的身份验证中都可获取利益，比如身份盗取、欺诈性交易、知识产权偷盗、篡改数据、网络攻击，甚至是国家支持的间谍活动。这些活动可导致企业或机构难以计量的损失，并损害个人名誉，如现在正在持续扩散中的Ashley Madison数据泄露事件。

互联网时代的身份验证

如果仔细思考一下，就会发现传统的身份验证形式从来不是为我们今天所处的网络世界而设。早期的身份验证解决方案之所以足够使用，仅仅是因为它们所保护的那些系统都是独立而相互隔离的。然而很不幸，在计算机革命早期占据统治地位的孤立系统，已经延续下来，成为互联网时代身份验证的根基。

仅仅几年之间，全球的计算机就从单个计算机组成的孤岛世界转变成为如今由网络云连接起来的分散群落。不仅计算机相互连通，设备自身及其上运行的各种应用也随着各自的用户一起移动。应用不再局限于特定机器或数据中心，它们可以是分布式的、分散的或安装于本地移动设备上。个人系统或用户的安全状况如今可以影响到与它们联网的系统的安全。

互联网已经深植于全球文化和商业贸易之中，身份验证的风险和影响也随之日益增加。而随着万物互联的逼近，数十亿上百亿的设备、传感器和系统都将接入互联网，不仅仅是安全身份验证的需求在以指数级增长，安全态势也在改变。与口令被盗和身份验证绕过直接相关的安全事件，不仅是在发生频率上，其后果的严重性也在不断的变本加厉。而更糟糕的是，以往的入侵事件正在造成一种雪球效应，使后续攻击比它们的前任们更加容易、更快，波及范围也更广。

口令的问题

口令不仅仅是使用不当的问题，它们从本质上就不安全，也为未来的设备身份验证引入了麻烦。

传统上，联网系统中用户身份验证的主要形式是用户名和口令组合。最近，强身份验证的概念开始流行，也就是在口令层面上再加一个附加的身份验证因素以增加安全保障。但很不幸，无论是口令还是口令之上的强身份验证在面对今天的安全挑战之时均不是非解决方案。

随着我们开始考虑设备互联的物联网世界，很容易看出今时今日使用的口令技术与组成我们未来联网世界的广大智能对象是多么地不相匹配。密码向内集中的本质要求用户向应用输入凭证。然而，大多数设备，比如传感器、门锁和可穿戴设备并没有附属键盘供人键入口令。

双因子验证的问题

安全专家一直在建议用强身份验证补足密码方式的弱点。虽然强身份验证的安全性的确优于传统的口令，但这种通常称为双因子身份验证的传统方式，并不足够。

比如，结构性。共享密钥体系结构涉及发送令牌或一次性密码（OTP）给用户的设备，然后与受保护的应用所产生的令牌进行比对。这一过程倚赖的“对称密钥加密体制”是低级的。因为不管是用户的设备或是应用本身被攻破，共享密钥都能被攻击者获取，也就能产生他自己的正确令牌了。而且，由于用户令牌必须转置或交付回应用进行比对，也就引入了令牌被黑客、恶意软件或中间人攻击拦截到的风险。

再比如，用户体验。更换很快就会过期的令牌是很烦人的用户体验，很多用户都会选择用更顺畅的身份验证来代替它。而且，依赖短信的OTP也是不可靠的。终端用户更偏爱方便性而非安全性，这意味着像OTP这种传统双因子身份验证实现手段有可能根本不被使用。对公司和应用而言，传统双因子身份验证等于是将普通用户推出品牌体验之外。

另外，传统双因子身份验证方式牵涉到将用户推向第三方应用。通常，这会是一家公司或是在线服务，将用户以无关品牌和用户体验的方式推送至移动应用或硬件。

还有应用场景限制。相对登录表单，身份验证的应用更广。无论用户是想授权实时付款、签收包裹、核实身份，或是进入公司管制区域，身份验证都扮演着极为关键的角色。在很多此类场景中，没有表单供你提交类似密码和OTP之类的凭证，因此，也就将此类场景摒除在了传统双因子身份验证的应用范畴之外。

最后是成本。很多双因子身份验证解决方案表现出的是有形的花费和维护负担，令只能满足有限应用场景的双因子身份验证解决方案变得不现实。

生物识别的致命弱点

基于生物特征的生物身份识别技术，虽然有着使用方便，认证唯一可靠等优点，但其致命问题在于一旦被盗用将无法注销。而且，尽管人的生物特征不能改变，但泄露生物特征的途径却很多，一旦被伪造将无法吊销。想象一下，如果一个用户已经在几十甚至是上百个系统用他的指纹或声纹登录，一旦被盗用，该面临何种灾难？这也是生物识别无法大规模普及的重要原因之一。

结束语

基于口令的身份验证不再能够满足现代安全需求，而像双因子身份验证的共享密钥体系结构属于低端加密手段，很多攻击方法都可攻破，并且带来了用户很不喜欢而经常弃之不用的麻烦体验。生物识别又无法大规模应用，这就是传统口令技术的困境。

从互联网到移动互联网，再到万物互联的物联网，新一代的安全面临挑战，时代呼唤新的身份验证与授权方法的出现。

－－－

要闻/干货/原创/专业 关注“安全牛”