隐私安全｜不止口令，迎接身份认证新时代
微软近期宣布了用户可以完全删除他们的微软账户口令，标志着无口令的身份认证体系趋于成熟。这与2012年成立的FIDO联盟核心思想相似，减弱用户对口令的依赖，在多体系、多机构间实现身份的认证互通。同态科技在公司成立初期的“态安全”承接这一思想，实现了”前端无账户，后端无口令“的隐私保护身份认证体系，在确保用户隐私安全可控的情况下，实现便捷的身份认证。
01
微软开启无密码浪潮
微软宣布，从9月15日开始，用户可以完全删除他们的微软账户的口令，并选择通过微软身份验证程序或其他形式的验证来登录设备。早在3月份微软就为公司和学校账户添加了无口令登录功能，但这是微软首次为常规的个人账户提供无口令登录功能。
删除口令也是一个相对简单的过程。首先需要安装microsoftauthenticator移动应用程序，并将其链接到你的个人微软账户。完成之后，你可以访问account.microsoft.com，选择高级安全选项，然后在附加安全部分启用无口令帐户。然后通过Authenticator应用程序批准这一更改，就无需再输入口令了。
Microsoft 将允许您从帐户中完全删除密码
02
FIDO（Fast IDentity Online）
在线快速身份验证联盟立于2012年，它的目标是创建一套开放、可扩展的标准协议，支持对Web应用的非口令安全认证，消除或减弱用户对口令的依赖。联盟成员与用户包括了Amazon、Apple、Google、Microsoft、arm、中国工商银行等世界知名公司。
它主要是通过两个标准协议来实现安全登录(验证)：
1.
无口令的UAF(Universal Authentication Framework)
用户携带含有UAF的客户设备(通常手机或pc就已内置有采集设备);
用户出示一个本地的生物识别特征(指纹、人脸、声纹);
网站可以选择是否保存口令。
2.
第二因子的UAF(Universal Second Factor(U2F) protocal)
用户携带U2F设备，浏览器支持这个设备;
用户出示U2F设备，浏览器读取设备证书;
网站可以使用简单的口令。（比如4个数字的PIN）
03
“态安全”隐私保护身份认证体系
“态安全”作为公司早期产品，通过高安全性的身份认证，在保证身份认证全链路不获取个人与企业任何隐私数据的情况下，支持对用户进行多因素身份认证。同时有效兼容原有身份认证体系，实现轻量化接入。
“态安全”弱化了账号的概念，实现了“前端无账号、后端无口令”，通过密码学技术将生物特征、硬件环境等身份认证因素整合为短时效的一次性口令，有效解决黑客针对账户的攻击。另一方面，微软曾在其博客文章中指出,几乎80%的网络攻击都是针对口令，“态安全”后端通过不存储用户口令，保证用户隐私的安全可控。
1.
多因素多模式身份认证
针对用户的生物特征、硬件环境、操作轨迹等多种因素进行身份认证。同时支持一次性密钥登录、扫码登录等多种身份认证模式。
2.
安全交互认证信道
“态安全”使用零知识证明技术，帮助用户与企业构建安全传输信道，并在建立安全信道的过程中对多种安全参数进行生成与更新，进一步确保信道端到端交互的安全性。
3.
隐私安全
使用同态加密技术保证身份认证过程中的用户敏感信息全流程安全可控，实现身份认证要素可用不可见。
4.
细粒度授权
“态安全”内置完善的权限管控体系，能够通过密码学手段，对用户的各类权限要素进行细粒度授权，建立树状权限管控体系，有效支撑复杂业务环境。
参考链接
[1]https://blog.csdn.net/super111t/article/details/120327489
[2]https://www.theverge.com/2021/9/15/22675175/microsoft-account-passwordless-no-password-security-feature#comments
[3]https://baijiahao.baidu.com/s?id=1636189759933953013&wfr=spider&for=pc
—END—
文案 | 刘晨 图片 | 杨雅清
本文为同态科技整理
转载需授权，并保留出处
推荐阅读