邁向無密碼世界的第一步
沒有密碼的未來可不僅僅是采納標準和選擇身份驗證方法就能達到的。
未來世界將不再需要密碼：隨著無密碼標準進一步牢固確立，無密碼身份驗證方法數量與復雜度劇增，越來越多的人無可避免地得出了這一結論。而在我們即將進入無密碼未來的時候，最好記得，無密碼世界可不僅僅是各種標準和身份驗證方法。我們還需要考慮很多挑戰。比如說，在不使用密碼的世界里，你如何證明憑證注冊的身份?如何恢復遺失的憑證?或許最重要的一個考慮是，怎么才能不重復制造某些導致密碼消亡的問題就解決掉這些挑戰，比如用戶不便、幫助臺負擔和密碼重置相關開銷。我們必須注意避免陷入用另一種同樣繁瑣的方法代替密碼重置的怪圈。現在說我們明確知道將會以有效方式解決所有這些問題還為時過早。但卻是時候開始探討了。
在無密碼世界中定義身份有何意義?
無密碼身份驗證的主要挑戰是建立一個不依賴密碼的數字身份，用來證明用戶是其聲稱的人，并作為用戶在數字世界中身份的信任基礎，就好像現實世界中的護照或駕駛證。
當然，目前已經有身份驗證方法無需用戶在驗證時輸入密碼了——生物特征識別(如人臉識別和指紋 ID)、基于令牌的身份驗證等等。但密碼仍被用作很多此類方法的底層身份驗證方法。如果想要消除密碼，那用戶一開始要靠什么安全方法證明身份來獲得該無密碼憑證呢?我們需繼續開發新方法來建立最初的信任，授予用戶真正安全的無密碼憑證。
用戶需要恢復憑證時會發生什么狀況?
說到當今在用的生物特征識別、令牌和其他無密碼身份驗證方法，我們常常忽略了密碼仍是用戶身份驗證和憑證恢復的底層機制這一事實。手機丟了的時候，重新設置該手機所有相關應用和賬戶的超先進人臉識別生物特征憑證，竟然只需要一組用戶名和密碼，真是令人困惑和沮喪。這種情況下，只要掌握了用戶的用戶名和密碼，難道不是誰都能用自己的臉重設生物特征識別憑證來訪問該用戶賬戶了嗎?關鍵在于，當今任一形式的強身份驗證最終都只是密碼的一個外在表現，事實上并不比該方法底層的密碼更強或更安全。
我們認為的 “無密碼” 其實并非真正的無密碼;這一系統仍根源于相當容易盜取并用于冒充用戶的東西。若你忘了自己的用戶名和密碼，恢復機制也相當容易破解，只要能查出你媽媽的娘家姓(你表兄弟開設的 “隱私” 家庭歷史網站上就有)，或者找到你第一輛車的型號(你驕傲地發在社交媒體上的一張照片就行)。
面對現實：每個數字身份似乎都有一系列比該身份驗證方法本身更弱的憑證恢復機制。帶人臉識別功能的手機丟了?沒問題，輸入密碼照樣能解鎖。不記得密碼了?告訴我你媽媽的娘家姓，我們會給你重新設一個密碼的。遺失了硬件令牌?來，提供你的活動目錄 (AD) 用戶名和密碼，我們會給你寄一個過去。如果無密碼世界中的身份驗證要像人們想象中的那么安全，我們得逆向該模式，讓恢復機制比身份驗證方法本身更安全。或許將硬件令牌用作移動驗證器的恢復機制(手機丟了?用你的硬件令牌進行身份驗證。)主要挑戰可能是讓恢復機制在保持易用和實用的同時變得更安全。
此處的問題圍繞一個主題：意識的重要性。假設無密碼標準和身份驗證方法是我們創建無密碼世界所需的全部，這種想法是完全錯誤的;無視即便在這些領域里大多數公司仍有很多工作要做的的事實，同樣是錯誤的。想想已經在帶領我們邁向無密碼世界的現有和新興解決方案就令人興奮激動，但也有必要注意到需彌補的空白和需跨越的障礙。這種情況下，了解所面對的挑戰，思考如何解決，就成了邁向無密碼未來的第一步。
【本文是51CTO專欄作者“李少鵬”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
