FIDO 的野望——取代傳統密碼

生活在互聯網時代的我們,每天都會面臨一項重大的考驗。這項考驗無數次沖擊了我們對自己記憶力的信心,也引發了我們對世界本質的深入思考……這個考驗就是——記住密碼。

當然,除了不好記之外,安全也是一個嚴重的問題,甚至有時候密碼能難住的只有自己。這個問題,難不住黑客,也沒有難住Google。

Engadget 報導,Google 最近加入一個身份驗證技術聯盟——FIDO (Fast IDentity Online),並成為理事企業。該聯盟旨在開發互聯網身份驗證的新技術,可選用的手段包括生物特徵識別、語音識別、臉部識別、USB 驗證令牌、NFC 技術和一次性密碼等。


除Google 外,該聯盟成員還包括PayPal、聯想、Nok Nok Labs 和Validity 等。而半導體公司NXP 和設備生產商CrucialTec 也和Google 在同一天加入了FIDO。

Google 負責信息安全的高層Sam Srinivas 表示,加入FIDO 聯盟和相關工作組將推動Google 開發出更安全、更通用的身份驗證技術。 “加入FIDO 聯盟將大力推進業界尋求更好的身份驗證方法。我們也在繼續研發更通用的'第二步令牌',並將其做為FIDO 新課題的一部分。”

根據FIDO 聯盟的標準,對採用物理密令來登陸帳戶的驗證方法來說,其關鍵在於密令設備。

FIDO 聯盟首席信息安全官員Michael Barrett 表示:“消費者的密碼可以通過窮舉、盜取信用證書、網絡釣魚等技術手段被他人獲得。因此FIDO 聯盟的出現就顯得至關重要了,因為FIDO 將用戶的密碼憑證儲存在某些設備中,使網絡犯罪者難以得到這些信息,側面打擊網絡犯罪。”

設備廠商在加入FIDO 聯盟之後,可以在其設備中放置一顆安全芯片,保證用戶的帳號和信息安全。當然,用戶也可以自行購買指紋識別器之類的設備。

傳統密碼認證+物理設備認證的雙重認證法一直受到安全專家的推崇,但只有部分遊戲玩家、銀行和私人企業會採取這種最為保險的辦法。目前,諸如Google、Dropbox、Facebook 等企業都向用戶提供雙重認證的措施,只有極少部分的用戶會使用它。

在使用傳統的驗證方法時,系統需要從客戶端發送密碼到遠程服務器的密碼庫中進行比對,這樣就存在密碼被攔截和破解的風險。對遠程服務器而言,一旦超級管理員的帳號被盜,損失將不可估量。

而使用FIDO 聯盟的驗證方法,用戶的密碼不會被發送出去,而是在設備內部通過軟件來處理。企業如果要使用FIDO 的認證方式,只需要在服務器上安裝驗證軟件,然後在客戶和員工的設備上安裝相應的插件或應用程序即可。一旦驗證通過,軟件會將密鑰發送到登錄服務器,此過程中系統不會保存任何登陸信息。之後,登陸服務器會發送密鑰到用戶設備上,表示驗證已經通過。

今年1 月,Google 安全副總裁Eric Grosse 和工程師Mayanl Upadhyay 在美國電氣和電子工程師協會(IEEE)的安全和隱私雜誌上發表了一篇文章,文章中描繪了一個不存在密碼世界。

他們在文章中提出了幾種密碼的替代品,比如USB 令牌和一個小戒指。

Google 已經開始在Chrome 瀏覽器中添加了對密保卡的支持,用戶只需要插入USB 密保卡即可自動登錄。而另一種密碼的替代品外形就像一隻普通的戒指,用戶戴著它就能實現身份驗證。

像我這種所有賬號都用同一個密碼的人來說,這些功能實在是太貼心了。


資料來源:ifanr

如果喜歡我們的文章,請即分享到︰

標籤: FIDO  傳統密碼