蘇化語

我打開瀏覽器，試圖登錄GoDaddy.com去給我的域名續(xù)費，卻死活也記不起我的密碼——我有五組常用的密碼，其中一組用來登錄無關緊要的新聞網(wǎng)站或論壇，一組是社交網(wǎng)站通用密碼，兩組用來覆蓋金融與支付業(yè)務，還有一組是谷歌相關專用。我嘗試了前三種，沒成功，系統(tǒng)跳出提示：您的賬號已被鎖定，請稍后再試。

糟糕。

我不得不嘗試使用找回密碼服務，這一步倒是很順利；但在重設密碼時，我又遇到了困難。GoDaddy要求：密碼必須在9位以上，必須有一個數(shù)字，必須有一個大寫字母，而且，不得與之前使用的5個密碼重復。簡單來說，我常用的密碼組合統(tǒng)統(tǒng)都不符合要求，所以我?guī)缀蹩梢钥隙?，我以后還是會忘記這個密碼。

關于密碼的痛苦當然不是我個人的專利，否則這些互聯(lián)網(wǎng)產(chǎn)品也不必個個都在賬戶密碼輸入框旁放上“忘記密碼？”的超鏈接。這痛苦亦是進步的源動力，如今，科技行業(yè)巨擘與弄潮兒們已開始研究替代產(chǎn)品，試圖徹底干掉密碼。他們的研究已初現(xiàn)端倪：上個月，三星新鮮出爐的Galaxy S5就具備一個激進的功能，它允許用戶靠指紋連接登錄自己paypal賬號。

新時代真的要來了嗎？

真的不安全

新科技從不缺懷疑者。當Galaxy S5的指紋付款功能被拿到媒體上討論時，反對者們立刻開始質(zhì)疑它的安全性?！耙怯腥吮I用你的指紋怎么辦？”他們問，就好像現(xiàn)實世界跟科幻小說和間諜電影之間并無分別，就好像盜用指紋是一種常見且簡單的犯罪行為。然而，這些充滿想象力的反對者卻忘了問這樣一個問題：傳統(tǒng)密碼又真的安全嗎？

在最近這幾年里，但凡是稍微關注科技新聞的人，都多多少少會知道一兩起密碼泄露事故。2014年4月曝光的“心臟流血”漏洞讓全球幾乎每一個互聯(lián)網(wǎng)用戶都陷入危機，攻擊者可以利用這個漏洞竊聽到用戶的敏感數(shù)據(jù)，其中可能包括了用戶名、密碼、銀行賬號等等。

更要命的是，這個漏洞存在了兩年才被人發(fā)現(xiàn)，而且，該漏洞特性決定了黑客可以“隱形”操作，也就是說，從這個漏洞泄露的數(shù)據(jù)是無法追蹤的。在這樣的災難面前，專家的建議只能是“盡快更換密碼”，因為被竊取的賬號和密碼已不再是你的保護盾，而是交到小偷手上的鑰匙。

誠然，“心臟流血”這樣的災難性事件不會經(jīng)常發(fā)生，但無法回避的是，單個網(wǎng)站的密碼失竊事件層出不窮。由于不少論壇和網(wǎng)站還采用落后的明文儲存密碼方式，數(shù)據(jù)庫一旦被黑客攻破，賬號與密碼就直接暴露在黑客面前。2011年，國內(nèi)知名程序員網(wǎng)站CSDN社區(qū)數(shù)據(jù)庫泄露，導致了近600萬用戶的真實賬號、郵箱和密碼外泄，令中文互聯(lián)網(wǎng)世界幾乎人人自危，微博上瘋轉(zhuǎn)各類“設置安全密碼安全守則”，很是掀起了一陣改密碼之風。

如果說數(shù)據(jù)庫泄露是大面積的飛機轟炸，那么針對個人的黑客襲擊更是極其危險又防不勝防。現(xiàn)今OpenID協(xié)議流行，各大網(wǎng)站都彼此相連。我的郵箱是淘寶、微博與Paypal賬號的恢復密碼手段，而且，用我的微博又能直接登錄知乎、京東和一號店和若干論壇。這也就意味著，一旦我的郵箱被黑客侵入，我的網(wǎng)絡生活就徹底亂套了。于是我必須要知道，侵入我的郵箱到底難不難？

我常用的郵箱是Gmail。根據(jù)谷歌的說明，如果我遺忘了自己的密碼，我可以通過備用郵箱找回密碼。我的備用郵箱是一個已經(jīng)廢棄的hotmail，沒有綁定過手機，可以通過一個問卷調(diào)查來找回密碼。黑客只需要知道我的真實姓名、出生日期和所在地，知道我就讀小學的名字以及我10年前的常用密碼組合和常聯(lián)系的網(wǎng)友郵箱地址，就能重置我的密碼—這實際上非常簡單，這些信息幾乎都是“百度一下，你就知道”（是的，托CSDN的福，我當年的密碼也并不是我的個人秘密）。于是，大概只需要5分鐘，我的網(wǎng)絡人生就能被黑客徹底接管了。

所以你看，想要通過賬號密碼來冒充你的身份實在太容易了。黑客們并不需要高超的編程技巧，只需要充分利用能夠在網(wǎng)絡上搜到的信息即可。事實上，國外甚至還有專門的黑客網(wǎng)站提供此類服務，一個懶惰的黑客只要肯付出4美元和2分鐘時間，就能得到你的信用卡賬號、電話號碼、身份證信息和家庭住址；再多5分鐘，亞馬遜、Netflix和微軟賬號就歸別人了；20分鐘后，Paypal賬號也將易主。

給密碼加個套

專家們都會建議用戶加強對賬戶的保護，比如每三個月就換一次密碼等等?？墒撬自捳f得好，從來只有千日做賊，哪有千日防賊的道理？從用戶角度來說，無論是大規(guī)模泄露，還是有心人士的暗算，這都是防不勝防的。所以，為了讓用戶能夠活得更安全更輕松，專業(yè)人士們就開始思量著怎樣給密碼加個套。

首先蹦出來的解決方案就是雙因素身份認證。簡單來說，雙因素身份認證就是通過已知信息結(jié)合認證設備才能發(fā)揮作用的身份認證系統(tǒng)。例如，在ATM上取款的銀行卡就是一個雙因素認證機制的例子，你必須得知道取款密碼（已知信息），而且擁有銀行卡（認證設備），才能進行提款及轉(zhuǎn)賬操作。

目前，市場上常用的雙因素認證技術(shù)包括數(shù)字證書和動態(tài)密碼等等。

數(shù)字證書包括軟件證書和硬件證書兩種。軟件證書如同支付寶的數(shù)字證書，使用簡單，只要在信得過的電腦上安裝數(shù)字證書，就能夠?qū)㈦娔X變成認證設備。然而，這種方式也有很高的風險，一旦軟件數(shù)字證書被人拷貝走，認證設備的可靠性就被破壞了。所以目前國內(nèi)的商業(yè)銀行已經(jīng)相繼放棄了這種方式，轉(zhuǎn)而使用硬件數(shù)字證書，也就是人們常說的USB-key（U盾）。這是一種安全系數(shù)非常高的身份認證方式，但制造和物流成本都較高，還需要額外攜帶，所以也并非市場的絕對王者。

對于互聯(lián)網(wǎng)公司來說，更常用的手段是動態(tài)密碼。以設置了短信驗證的支付寶為例，用戶在每一次用支付寶付款的時候，會通過手機短信接收到一個驗證碼，必須在一定有效時間內(nèi)輸入正確的驗證碼和支付密碼才能支付成功。當然，動態(tài)密碼是有使用成本的。騰訊規(guī)定每天只能免費發(fā)兩條驗證短信，支付寶在開啟認證之后會每月收取小額費用，最貴的莫過于微軟，微軟的多因素驗證服務使用成本為每月每用戶2美元或者2美元十次驗證。

在雙因素認證系統(tǒng)下，密碼的安全性就得到了大幅度提升。比如說，我開啟了谷歌的短信提醒功能，如果黑客試圖重置我的密碼，我會收到一條提醒短信；我又開啟了雙因素驗證功能，所以黑客在登錄我的賬號時也會遇到麻煩，因為在使用陌生電腦登錄賬戶的時候，谷歌會要求他必須輸入正確的短信驗證碼。

當然了，如果黑客從某個渠道偷到了我的電腦或者手機，又或者能夠像NSA一樣監(jiān)控我的手機短信，那雙因素驗證也攔不住他們。但至少，黑客付出的花費將遠遠不止4美元和20分鐘。

指紋不會出賣你

還有一種認證方法，就是采用生物識別技術(shù)，比如說iPhone和Galaxy S5的指紋識別器，又或是我們在好萊塢電影里常?？匆姷暮缒ぷR別器跟聲紋識別器等。從理論上說，生物認證技術(shù)是更安全的認證技術(shù)，因為每個人的指紋、虹膜和聲紋都不一樣，被盜用的風險很低，而且不受手機信號覆蓋范圍或者忘帶U盾等問題影響。但它對硬件設備要求較高，故而一度被認為是“短期內(nèi)無法實現(xiàn)的夢想”。

智能手機的蓬勃發(fā)展給生物認證技術(shù)提供了前所未有的機會。由于觸屏式智能手機上本來就具有非常多的傳感器，為生物識別和認證技術(shù)提供了天然的有利條件。比如說，蘋果在收購指紋感應器制造商AuthenTec之后，就給iPhone 5s增添了指紋解鎖功能。這款手機已經(jīng)成功證明了指紋認證技術(shù)在智能手機上的可行性和易用性，而且，其售價也并不比之前幾代來得更為昂貴。

人臉識別也是一樣?，F(xiàn)在稍微好一點的智能手機都有前置攝像頭，可以用來掃描用戶的面部特征細節(jié)。在使用過程中，手機可以通過傳感器來掃描、跟蹤和鑒別用戶的臉部動作等一系列快速操作，然后將所獲得的實時數(shù)據(jù)與記憶存儲進行對比，從而達到辨識不同使用用戶的目的。目前不同手機操作系統(tǒng)平臺上均有此類軟件上架。

虹膜識別的安全性比指紋和人臉認證更高，它是利用人眼的虹膜紋理特征來進行識別，每個人都獨一無二。盡管它對傳感器的要求更高，計算數(shù)據(jù)也更為復雜，然而也不乏開始嘗試將虹膜識別認證引入智能手機的勇敢者。美國EyeVerify公司就是其中一例，這家專門研究虹膜識別的公司向其他公司提供授權(quán)，而一款叫做AirWatch的應用已經(jīng)獲得了他們的授權(quán)，并將在不久的未來推出虹膜身份認證軟件。

還有生物節(jié)律識別，加拿大實驗室推出的Nymi已經(jīng)能夠通過心電圖感應器來檢測用戶的心跳頻率，從而鑒別用戶身份；語音識別方面，天津一家移動支付公司推出“音付”產(chǎn)品，可以將用戶的語音口令存入個人數(shù)據(jù)庫來進行確認，目前已經(jīng)應用于話費、網(wǎng)費、快速支付和轉(zhuǎn)賬。

智能手機上的這些識別技術(shù)有些相對成熟（比如指紋感應），有的還在完善階段（比如虹膜識別），但我們可以肯定的是，它們將是未來互聯(lián)網(wǎng)身份識別的大方向。行業(yè)分析公司Goode Intelligence 的一份研究報告指出，到了 2018 年，移動領域的生物識別技術(shù)就將惠及全球34億移動設備用戶，并創(chuàng)造高達 30 億美元的總價值。

FIDO聯(lián)盟

在三四年前，Paypal就開始琢磨如何利用生物識別技術(shù)來徹底地干掉密碼。他們的首席安全專家邁克爾·巴雷特與指紋識別安全專家拉梅什·科薩努帕利，以及SSL之父塔希爾·蓋莫爾進行了一番深入交流?？扑_努帕利希望能為指紋識別指定一個新的統(tǒng)一標準，這樣可以讓他的指紋識別器不必再為了儲存數(shù)據(jù)而發(fā)愁；巴雷特希望能夠有一種更安全更簡易的方法來登錄PayPal，而在他看來，蓋莫爾是當今世界上最卓越的密碼學專家，最適合去創(chuàng)建新的認證方法。

他們的交流變成了一場革命。2012年，PayPal和聯(lián)想等五家硬件公司聯(lián)合成立了FIDO聯(lián)盟（FIDO Alliance）。FIDO制定了一種公開標準，所有FIDO聯(lián)盟的電腦和手機廠商都將在其產(chǎn)品中植入一顆安全芯片（而現(xiàn)在的絕大部分電腦都內(nèi)置該芯片），保證用戶的賬號、信息安全。

這種芯片并不會增加成本，事實上，目前絕大部分桌面電腦、筆記本電腦和少數(shù)平板電腦都已經(jīng)搭載有一顆專門用來進行身份識別的TPM芯片。所以，F(xiàn)IDO聯(lián)盟的一個目標其實就是更好地利用電腦硬件中已經(jīng)自帶但是很少使用的安全設備。另外，F(xiàn)IDO標準還允許手機制造商用NFC技術(shù)來達到TPM芯片相應的功能。據(jù)了解，ARM和Intel公司都有意愿在未來為手機和平板電腦開發(fā)類似于TPM的技術(shù)。

與此同時，F(xiàn)IDO還制定了一種新的認證標準。他們完全拋棄了認證因素里“已知信息”的這部分，轉(zhuǎn)而使用生物特征來標記個人身份。他們亦十分具有安全意識，比如說他們使用指紋或者虹膜認證，但不會讓任何人知道這些指紋和虹膜的細節(jié)。（用賬戶密碼的術(shù)語來說，就是不會明文儲存用戶密碼，所以在心臟出血這類的漏洞里也不會泄露用戶的真實賬密。）

巴雷特說，采取這種公開標準，任何公司都可以來使用并銷售符合標準的設備。這樣可以擴大新安全技術(shù)的使用范圍，最終，用戶只需要掃一次自己的指紋或者虹膜，完全不必輸入密碼，就能在整個互聯(lián)網(wǎng)中認證自己的身份。

現(xiàn)在，我們已經(jīng)看見了依照FIDO協(xié)議而誕生的Galaxy S5。蘋果的iPhone 5s只是用指紋來解鎖一臺手機，而S5可以用指紋來解鎖互聯(lián)網(wǎng)；而且，S5的重點不是由指紋登錄，而是用“這個指紋”和“這臺手機”登錄——它也是一種雙因素認證，但不再是“已知信息”和“認證設備”的雙因素，而是“生物特性”和“認證設備”的雙因素。這在安全性能上更為加碼，因為你的手機可能會被偷，你的指紋可能會被復制，但黑客和小偷們必須要付出極大的代價才能同時做到這兩點。

FIDO聯(lián)盟的野心很大，最開始也引發(fā)了一些爭議和懷疑，然而谷歌在去年4月加入，微軟也在去年12月入盟，這兩大科技巨擘的加入，讓FIDO聯(lián)盟的底氣也更足了。當然，他們依然有可能出錯。新科技從來不缺懷疑者，而黑客們也向來把新科技當作挑戰(zhàn)，一旦黑客們攻破一次他們的體系，F(xiàn)IDO就會面臨巨大的信任危機。與此同時，消費者的接受度也不好說，他們會不會覺得指紋掃描和虹膜掃描太奇怪了，又或者覺得被侵犯了隱私？如果不能登錄朋友的電腦，這是不是也不太好？在紙面上，F(xiàn)IDO有成就未來的一切可能，但現(xiàn)實世界總是太過復雜，他們能將潛力轉(zhuǎn)變?yōu)槌晒幔?/p>

巴雷特并不懷疑FIDO的能量。他的理論是，雖然FIDO成員往往認為這套標準的優(yōu)點是更為安全，但消費者最終買單的原因，肯定是這套新系統(tǒng)簡單易用，在這個密碼世界里簡直像是難以抵御的誘惑。我得承認，他形容的未來十分吸引人：我的谷歌賬戶專用密碼長達24位，包含大小寫字母、數(shù)字和特殊符號，說真的，我?guī)缀鯊膩頉]有辦法一次就輸入正確；如果掃一掃指紋就能搞定，我簡直是求之不得?！八吞幜鳎卑屠滋卣f，“人們永遠最愛省力的辦法?！?/p>