無密碼身份認證： 安全數(shù)字化轉(zhuǎn)型的下一個突破

賽迪譯叢

2020年1月，世界經(jīng)濟論壇發(fā)布《無密碼身份認證：安全數(shù)字化轉(zhuǎn)型的下一個突破》報告。報告認為，在世界數(shù)字化轉(zhuǎn)型的背景下，可信的數(shù)字身份成為經(jīng)濟與政治、企業(yè)與國家的共同目標。報告從平臺經(jīng)濟的角度，研究了應(yīng)用無密碼身份認證系統(tǒng)以改善用戶體驗、增強互操作性、提高安全性以及解決密碼管理安全和欺詐風(fēng)險的框架。報告提出了面部生物識別、硬件密鑰、動態(tài)二維碼認證、行為分析認證和零知識證明五種無密碼身份驗證的技術(shù)。

身份認證既是平臺企業(yè)安全地進行數(shù)字化轉(zhuǎn)型的基石，也是第四次工業(yè)革命的支柱。從需要進行身份認證的機器到機器通信的物聯(lián)網(wǎng)（IoT）設(shè)備，再到將被用于保護和繞過身份認證系統(tǒng)的人工智能（AI），甚至是區(qū)塊鏈系統(tǒng)，對于這些系統(tǒng)，可信賴的身份認證是大規(guī)模采用該密鑰的關(guān)鍵。

但是，繼續(xù)使用密碼作為身份認證的主要手段被一個關(guān)鍵的問題阻礙了。對密碼的依賴和使用破壞了用戶體驗，這正成為最重要的品牌差異化因素之一。而且，自相矛盾的是，密碼實際上極難確保安全：一方面，用戶為了便于登錄數(shù)字平臺，傾向于重復(fù)使用相同的密碼;另一方面，相關(guān)公司難以安全地處理和存儲密碼。2019年美國威瑞森電信公司（Verizon）發(fā)布的數(shù)據(jù)泄露調(diào)查報告顯示，絕大多數(shù)數(shù)據(jù)泄露源于身份認證的憑證薄弱或密碼被盜。如今，偽造憑證攻擊（即利用被盜憑證的攻擊）非常普遍，主要零售網(wǎng)站上90%以上的登錄嘗試都是惡意的，平均成功率約為1%。對于高價值目標，甚至使用被盜憑證進行手動欺詐攻擊的現(xiàn)象也在增加。

為了促進平臺經(jīng)濟發(fā)展，同時解決密碼管理、安全和欺詐風(fēng)險日益增加的成本問題，需要鼓勵開發(fā)新的身份認證方法。

身份認證

在數(shù)字化轉(zhuǎn)型中的重要性

（一）身份認證實踐的演變。在數(shù)字世界中，身份認證過程可以確定提出保護數(shù)字身份的身份認證者與最初建立身份的是同一實體。隨著人類面臨的威脅越來越復(fù)雜，身份認證方法也變得越來越復(fù)雜。身份認證通常包括三種類型的基礎(chǔ)要素：類型1是我們所知道的東西，例如口令、密碼或個人識別碼;類型2是我們的所有物，例如警衛(wèi)制服、信用卡或手機;類型3是我們自身與生俱來的特征，例如我們的身高、面容、指紋或DNA。

如今，越來越多的安全公司引入額外因素對以上三種類型進行補充，例如，可以利用基于行為的信息、地理位置，甚至用戶的個人關(guān)系等，來進一步提高結(jié)果的準確性，這些因素通常不能單獨使用。值得強調(diào)的是，身份認證不一定是絕對的，只需要達到身份認證目的即可?？紤]到生物識別的假正率，達到99.99%的認證準確率比達到100%的認證準確率性價比更高。

當(dāng)前，確保身份認證過程的安全也變得越來越復(fù)雜。安全是一個不斷演變的過程，在這個貓捉老鼠的游戲中，攻擊者和防御者都試圖智勝對方。這一范式在數(shù)千年的軍事歷史中一直適用，隨著信息技術(shù)的不斷進步，這些變化變得更加頻繁、更具破壞性。直接的結(jié)果是，過去幾個世紀的軍事理論中出現(xiàn)了另一種概念方法：縱深防御。縱深防御需要采取多種安全措施，要么挫敗最熟練的攻擊者，要么給防御者足夠的時間作出反應(yīng)。這種方法在中世紀被用來保護城堡，至今仍被用來保護計算機網(wǎng)絡(luò)和核電站。

出于身份認證的目的，這意味著需要組合多種類型的身份認證因素。這就是為什么一些在線支付系統(tǒng)同時需要密碼和短信發(fā)送的臨時驗證碼：密碼是類型1的身份認證因素;假設(shè)短信是由屬于被認證人的手機接收的，那么它就是類型2。

盡管如此，縱深防御的概念依賴于這樣一個前提，即每一項安全措施都會增加另一種措施的安全程度，并且專家們早就指出，基于短信的雙重身份認證可以輕易地被破解。由于數(shù)據(jù)泄露時存在大量密碼泄露、計算能力的提高允許猜測散列密碼，以及密碼猜測嘗試的自動化，密碼使用的指數(shù)增長已經(jīng)導(dǎo)致了其穩(wěn)健性的指數(shù)級稀釋。攻擊者可以推斷密碼、竊取密碼、強行破解密碼，第1類認證因素變得像一堵紙墻。因此，解決方案依賴于類型2+類型3的組合因素。實際上，類型2、類型3的無密碼身份認證僅在最近幾年才聯(lián)合使用。

（二）身份認證是數(shù)字業(yè)務(wù)的關(guān)鍵推動力。隨著公司對平臺業(yè)務(wù)的采用日益增多，數(shù)字信任問題也在迅速增長。降低網(wǎng)絡(luò)風(fēng)險日趨成為企業(yè)領(lǐng)導(dǎo)者的首要任務(wù)，這要從有效的身份認證開始。

過時的身份認證系統(tǒng)會導(dǎo)致安全盲點和漏洞，黑客利用這些安全隱患可以訪問公司網(wǎng)絡(luò)的核心部分。一旦進入，他們可以竊取公司機密信息、個人客戶數(shù)據(jù)和加密文件，并利用這些信息敲詐高管，或利用非法訪問散布全國性的不信任。平臺的本質(zhì)意味著一個盲點可能會對數(shù)以百萬計的用戶產(chǎn)生影響。

現(xiàn)代的身份認證系統(tǒng)不僅僅是從安全角度來看必不可少，而且是關(guān)鍵的數(shù)字化驅(qū)動器。它使移動性更加無縫，減少了用戶摩擦，從而改善客戶和員工的體驗，并可以提高運營效率及法規(guī)遵從性。值得注意的是，身份認證是IAM（身份和訪問管理）系統(tǒng)的組成部分之一。筒倉似的數(shù)據(jù)壁壘會增加身份盜用和漏洞的風(fēng)險。

（三）平臺經(jīng)濟改變了身份認證的環(huán)境。平臺經(jīng)濟正在改變許多公司與客戶互動的方式。其中，基于密碼的消費者身份認證要求用戶創(chuàng)建和記憶由字母、數(shù)字、符號和大小寫復(fù)雜組合的密碼，并希望用戶能經(jīng)常更換密碼且盡量不重復(fù)使用賬戶密碼。此外，不同在線服務(wù)之間還存在密碼規(guī)則的差異。大量研究和公司積累的經(jīng)驗證明，個人用戶并不太遵循這種密碼創(chuàng)建方式，而是傾向于反復(fù)使用相同的密碼。這也是密碼成為數(shù)據(jù)泄露核心問題的原因之一。

盡管平臺經(jīng)濟正日益推動企業(yè)估值和業(yè)務(wù)增長，但數(shù)字化不信任感的加劇侵蝕了整個在線社區(qū)的信心：用戶對透露過多個人信息持謹慎態(tài)度;平臺擔(dān)心丟失用戶個人身份信息;當(dāng)系統(tǒng)和客戶信息受到損害時，全球化企業(yè)會面臨罰款及承擔(dān)聲譽和收入損失等風(fēng)險。這將導(dǎo)致引領(lǐng)平臺經(jīng)濟的服務(wù)提供商陷入困境。其中包括數(shù)字社區(qū)生態(tài)系統(tǒng)的平臺創(chuàng)建者，以及云、移動和其他技術(shù)及基礎(chǔ)架構(gòu)提供商。同時，這些服務(wù)商正是最有可能打破僵局并引導(dǎo)（而不是滯后）重新設(shè)計用戶身份認證的組織，將為平臺經(jīng)濟提供更強大、更簡單的身份認證。

面向未來的

身份認證系統(tǒng)框架

（一）安全性。在制定身份認證系統(tǒng)策略時，從邏輯上講，安全性是第一位的。身份認證系統(tǒng)的安全性將基于多種考慮，包括與其他解決方案相比形成相對優(yōu)勢，針對已知威脅和系統(tǒng)所面臨的新威脅的生存期，以及其解決和引入的硬件和軟件漏洞。此外，安全性還取決于其在減少欺詐和風(fēng)險方面的效率，以及通過記錄日志所體現(xiàn)出的可靠性。

（二）隱私性。密碼是眾多數(shù)據(jù)泄露的源頭，對全球隱私造成了負面影響。面向未來的身份認證技術(shù)應(yīng)謹記確保隱私所需的各種法規(guī)和文化因素，并為全球所接受，確保其與最嚴格的法規(guī)和文化兼容。盡管部分身份認證解決方案可能屬于隱私增強技術(shù)的范疇，但不代表全部。

（三）可持續(xù)性?？沙掷m(xù)性是確認技術(shù)選擇符合長期愿景的另一個關(guān)鍵要素。過渡到無密碼身份認證可以降低成本并增加收入，但需考慮實際的購置成本。對于某些具有龐大IT系統(tǒng)規(guī)模的公司而言，其身份認證方式的轉(zhuǎn)變可能需要分階段進行，過渡期需要新舊身份認證解決方案共存。同樣，身份認證技術(shù)要確保身份認證和認證系統(tǒng)的兼容。最后，必須考慮身份認證系統(tǒng)與其他解決方案相比，負面影響是什么，以及會產(chǎn)生多少電力和網(wǎng)絡(luò)活動等。

（四）包容性。身份認證系統(tǒng)是數(shù)字服務(wù)的切入點，因此確保其包容性（而不是歧視性）對于平臺企業(yè)至關(guān)重要。這種系統(tǒng)應(yīng)努力避免任何形式的歧視，涉及年齡、文化、殘疾、語言、姓名、國籍、醫(yī)療條件、出身、宗教信仰、性取向和膚色等。例如：身份認證技術(shù)越來越多地使用人工智能，向在線服務(wù)提供認證時，機器學(xué)習(xí)算法是否會帶來偏見，從而可能造成對某些人群的歧視？

（五）可擴展性。平臺經(jīng)濟需要規(guī)模化的解決方案。隨著員工和終端用戶越來越多地跨越不同平臺進行身份認證，當(dāng)平臺達到臨界量并開始產(chǎn)生網(wǎng)絡(luò)效應(yīng)，其用戶增長可能是指數(shù)級的。因此，從規(guī)模化的角度考慮身份認證解決方案至關(guān)重要。認證系統(tǒng)的性能目標需要提前很長時間進行規(guī)劃，尤其是圍繞可靠性和可用性。同樣，解決方案的“增長潛力”在后續(xù)階段也很重要。例如，現(xiàn)成的解決方案可能無法滿足運營多個IT環(huán)境的大型公司所需的預(yù)期定制水平。

（六）用戶體驗。用戶體驗不再是一個可有可無、有則更好的選擇，它已成為一個關(guān)鍵的差異因素。用戶體驗的質(zhì)量決定了用戶的選擇、偏好和行為。因此，未來的身份認證應(yīng)努力提供無縫的用戶體驗以確保適用性。

無密碼身份認證的案例

（一）增加收入，降低成本

網(wǎng)絡(luò)安全在傳統(tǒng)上被視為支出成本的領(lǐng)域，因此經(jīng)濟上的考量或許是公司應(yīng)該考慮過渡到無密碼身份認證的最顯著的原因。

1.提高員工生產(chǎn)力和客戶評級。調(diào)查顯示，全球員工平均每年花費11個小時輸入或重置密碼。對于平均擁有15000名員工的公司，這直接導(dǎo)致生產(chǎn)力損失520萬美元。對此，雖然過渡到無密碼的生態(tài)系統(tǒng)會產(chǎn)生一定的成本，但僅通過提高生產(chǎn)力就可以迅速抵消這些成本。在用戶體驗改善和安全性的推動下，金融服務(wù)業(yè)處于采用下一代身份認證技術(shù)的最前沿。使用FIDO聯(lián)盟開發(fā)的標準（該標準允許大部分身份認證在用戶端執(zhí)行），可以顯著簡化密碼管理。系統(tǒng)管理員和呼叫中心運營商在與員工和客戶聯(lián)系時將有更好的體驗，這將間接提高公司聲譽和客戶評級。相關(guān)案例是美國一家面向消費者的中型零售銀行，該銀行意識到，密碼認證是消費者不滿意的根源，影響了其數(shù)字服務(wù)的使用并導(dǎo)致運營成本的增長。對于數(shù)百萬的消費者而言，即使是很小的改善也會對投資回報率產(chǎn)生重大影響。

2.降低數(shù)據(jù)泄露的防控成本。80%的數(shù)據(jù)泄露事件涉及弱密碼或被盜密碼，29%的網(wǎng)絡(luò)攻擊利用的是后者。2019年，全球數(shù)據(jù)泄露的平均成本為392萬美元，比上年增長1.5%。如果沒有密碼可以推斷或竊取，那么罪犯訪問和竊取數(shù)據(jù)的能力將會被嚴重削弱。此外，密碼散列也會被犯罪分子利用，在沒有認證服務(wù)器強加限制的情況下，他們可以對其進行暴力破解。從風(fēng)險管理的角度，這意味著，過渡到無密碼身份認證將使公司可以把數(shù)據(jù)泄露風(fēng)險相關(guān)的預(yù)算削減五分之四，相當(dāng)于降低了網(wǎng)絡(luò)保險費。

3.節(jié)省密碼重置費用。對于IT部門和呼叫中心，公司平均花費2.5個月來重置內(nèi)部密碼。IT服務(wù)臺所有呼叫中，20%至50%與密碼重置有關(guān)，單個重置的成本估計在30到70.18美元之間。比如，密碼安全公司LastPass，其平均每年大概花費100萬美元來處理密碼重置問題。相關(guān)案例是美國一家財富500強的健康保險企業(yè)，其于2018年轉(zhuǎn)型為無密碼身份認證。在保險行業(yè)領(lǐng)域，用戶通常是間歇性地登錄關(guān)鍵服務(wù)。因此，在客戶重新注冊時，密碼重置和服務(wù)臺擁塞十分普遍。這種類型的商業(yè)模式和用戶體驗會導(dǎo)致成本激增，并降低整體認證頻率。

（二）改善用戶體驗

便捷、無縫的用戶體驗對于用戶廣泛接受和使用身份認證至關(guān)重要。

1.提升體驗經(jīng)濟。體驗日益比價格更為重要，有86%的客戶愿意為更人性化的體驗付費。這意味著，如果平臺的身份認證體驗不佳，則某些客戶會選擇服務(wù)質(zhì)量較差但身份認證體驗更好的平臺。無密碼身份認證是無縫的，它模仿了人類幾千年來相互認識的方式，即通過尋找識別物品或個人特征來進行認證。無密碼身份認證作為在線服務(wù)的入口，正在成為數(shù)字化轉(zhuǎn)型的競爭優(yōu)勢。相關(guān)案例是Google員工使用基于FIDO的安全密鑰進行內(nèi)部身份認證，將認證的總時間減少了近三分之二，最重要的是，認證失敗率為零，而同時間段內(nèi)基于一次性密碼（OTP）的身份認證失敗率為3%。從用戶體驗的角度來看，還有許多其他好處，最顯著的影響是切換到安全密鑰后，沒有任何員工帳戶遭受網(wǎng)絡(luò)釣魚攻擊。

2.減少規(guī)則數(shù)量。當(dāng)用戶被迫記憶100多個證明信息和密碼時，他們自然會尋找辦法減輕負擔(dān)，比如重復(fù)使用密碼、選擇弱密碼或者在手機、電子郵件地址或鍵盤下方記錄密碼。更好的用戶體驗意味著身份認證系統(tǒng)能夠得到合其初衷的使用：減少規(guī)則數(shù)量，提高用戶認可度，進而反過來提高安全性。

3.增強適用性。無密碼身份認證以客戶為中心，利用快速便捷的解決方案，依靠許多人每天使用的相同設(shè)備（例如智能手機），無密碼驗證技術(shù)可以在任何地方適用。

（三）互操作性釋放價值

1.互操作性提升可擴展性。標準使互操作性成為可能。2019年3月，由萬維網(wǎng)聯(lián)盟（W3C）開發(fā)的FIDO聯(lián)盟的“FIDO2”標準已成為Web標準。這種身份認證利用了公鑰加密技術(shù)，即可以與任何人共享的公共密鑰。所有者在其設(shè)備（例如手機、計算機或安全密鑰）上的“身份認證器”中安全地持有關(guān)聯(lián)私鑰。當(dāng)用戶向支持FIDO的站點進行身份認證時，可以通過簡單的操作（例如掃描指紋或觸摸安全設(shè)備）來驗證其身份或存在。網(wǎng)站和用戶的身份認證器之間進行“詢問—響應(yīng)”，以驗證用戶是否擁有正確的私鑰。每個服務(wù)使用唯一一對密鑰，并且私鑰永遠不會離開用戶的設(shè)備。所有領(lǐng)先的網(wǎng)絡(luò)瀏覽器均支持FIDO2，使其在現(xiàn)代設(shè)備上實現(xiàn)普及。

2.互操作性提供更多選擇。采用基于標準的方法意味著服務(wù)提供商可以更快地入門無密碼身份認證。服務(wù)和技術(shù)提供商可以按照通用標準開發(fā)解決方案——包括Web開發(fā)人員可以輕松利用的公共API3，從而消除了對密碼的依賴。FIDO通過已建立的認證程序?qū)崿F(xiàn)互操作性，該程序已完成650多種產(chǎn)品的一致性和互操作性測試。除標準之外，還有許多其他流程可以幫助實現(xiàn)企業(yè)環(huán)境內(nèi)無密碼身份認證擴展框架的快速實施。這些流程包括供應(yīng)商評估、用戶體驗建設(shè)、內(nèi)部用戶教育、路線圖以及從現(xiàn)有解決方案調(diào)整到改善登錄流程的遷移。隨著在線服務(wù)成為公民與政府之間互動的主要方式，公共部門也在大力投資數(shù)字項目，并重新審視其國家身份認證方案，以提高政府?dāng)?shù)字服務(wù)的安全性。相關(guān)案例是英國政府的統(tǒng)一身份認證平臺，該平臺建立在一個以標準和指導(dǎo)文件為基礎(chǔ)的信任框架之上，這些標準和指導(dǎo)文件確定了參與框架的規(guī)則。該規(guī)則的相關(guān)要求包括有關(guān)使用行業(yè)標準的建議，這些建議適用于對在線服務(wù)（例如FIDO技術(shù)詳述和認證）訪問的保護。此類指導(dǎo)旨在同時滿足國家要求和在國際上可互操作的要求。

3.互操作性允許擴展市場?；ゲ僮餍允剐掠脩艨梢栽L問某些服務(wù)，它允許現(xiàn)有用戶進行更多交易，還允許數(shù)字服務(wù)為他們的用戶提供新的交易方式。公開標準大大縮短了開發(fā)時間，并提供了進入正在采用已認證解決方案的新市場的機會，并允許國際兼容性和擴展數(shù)字業(yè)務(wù)。舉例來看，歐盟的《通用數(shù)據(jù)保護條例》等法規(guī)會影響為歐洲用戶服務(wù)的企業(yè)，無論企業(yè)本身在何處注冊。無密碼身份認證使遵守此類國際法規(guī)變得更加容易，利于企業(yè)在不同地區(qū)擴展數(shù)字業(yè)務(wù)。

（四）密碼更少，安全性更高

企業(yè)通常會在平衡安全性和易用性之間做出權(quán)衡。如前所述，無密碼解決方案可增強用戶體驗，但是這樣做會犧牲安全性嗎？

1.減少企業(yè)的攻擊面。公司過渡到無密碼解決方案時，其不需要出于身份認證目的而存儲任何個人信息，大大減少了遭受數(shù)據(jù)泄露的風(fēng)險。在用戶側(cè)實施身份認證程序，不會在互聯(lián)網(wǎng)上傳輸任何個人信息，從而使中間人攻擊變得不可能。身份認證數(shù)據(jù)（例如用戶的生物特征）保存在用戶設(shè)備上，網(wǎng)絡(luò)罪犯就沒有任何收集點可以用來獲取客戶的生物特征數(shù)據(jù)集，這使在線欺詐和身份盜用的風(fēng)險概率大大降低。不利的方面是如果用戶丟失身份認證器（例如身份認證器與物理設(shè)備綁定在一起），則重置訪問權(quán)限比密碼重置更為麻煩。

2.增強終端用戶安全性。隨著犯罪分子和計算機在竊取和猜測密碼方面變得更加有效，密碼安全規(guī)則也在飛速發(fā)展?？紤]到復(fù)雜的密碼安全規(guī)則難以在用戶端實行，最近專家呼吁簡化密碼管理協(xié)議。對此，使用無密碼的身份認證解決方案，沒有任何密碼可供網(wǎng)絡(luò)罪犯從平臺服務(wù)器中竊取，沒有公司儲存的信息可能被黑客利用來推斷或暴力破解密碼，因此可以更好地保護用戶。

3.隱式多因素身份認證。大多數(shù)無密碼身份認證都同時利用生物特征以及特定的設(shè)備或應(yīng)用程序（例如與用戶綁定的身份認證器）：這是兩個不同的身份認證因素，它們提供的保證比單個共享機密要強得多。例如，與輸入密碼后短信息服務(wù)SMS發(fā)送的一次性密碼不同，無密碼身份認證解決方案是無摩擦的，因此比以往任何時候都更快地促進了多因素身份認證的采用。

4.遏制網(wǎng)絡(luò)經(jīng)濟犯罪。銀行或Uber賬戶的登入證明信息在暗網(wǎng)上以7美元甚至更低的價格出售，此類交易產(chǎn)生的收入助長了網(wǎng)絡(luò)犯罪和恐怖活動。因此，替換密碼會增加有組織犯罪集團的成本，影響地下網(wǎng)絡(luò)犯罪經(jīng)濟，降低其利潤，從而打壓實施網(wǎng)絡(luò)犯罪的動機。

可供使用的

五種關(guān)鍵無密碼技術(shù)

（一）使用面部生物識別技術(shù)進行身份認證。智能手機相機和機器學(xué)習(xí)模型的最新技術(shù)進步意味著現(xiàn)有面部識別和文檔掃描可以用于遠程大規(guī)模驗證人員。簡而言之，在在線服務(wù)上創(chuàng)建新賬戶時，用戶會上傳其身份證明信息，應(yīng)用程序?qū)⑸矸葑C明上的用戶照片與拍照者進行比較。通過使用面部生物特征進行認證，用戶不再需要將密碼與其賬戶關(guān)聯(lián)。

（二）硬件密鑰提供額外的安全性。在最近的一項研究評估中，Google將密碼身份認證的標準與安全密鑰、基于智能手機的一次性密碼（OTP）生成器以及通過SMS進行的兩步驗證（2SV）進行了比較，發(fā)現(xiàn)安全密鑰提供了最強的安全性，同時還提供了可用性和可部署性的最佳組合。安全密鑰的形式多種多樣，它們可以是駐留在用戶鑰匙串中的小型USB、NFC或藍牙設(shè)備，也可以內(nèi)置在用戶手機中，在用戶需要登錄新設(shè)備時進行安全身份認證。此處的共同要素是，進行身份認證時，設(shè)備必須同時在物理空間上存在于本地。

（三）用戶體驗優(yōu)先的二維碼認證。復(fù)雜的動態(tài)二維碼（簡稱QR）也可以用于無密碼身份認證。登錄的用戶使用智能設(shè)備掃描QR碼，將會話綁定到他們的用戶身份。然后確認消息會顯示在設(shè)備上的應(yīng)用程序中，驗證身份并觸發(fā)生物識別掃描，以確認用戶身份。最后，將經(jīng)過身份認證的會話傳遞給信任方，用戶進而成功登錄。動態(tài)QR碼掃描具有許多優(yōu)點，例如可以防止會話劫持或重放攻擊。由于該代碼具有動態(tài)效果，圖像獨特且有效操作時間很短，因此它為綁定會話提供了一種安全的方法進行身份認證，同時提供無縫的體驗，無需在設(shè)備之間進行復(fù)雜的配對。

（四）行為分析無縫認證。行為分析認證使用不可識別但對于個人而言獨特的因素來確認身份。用戶可能看不到密碼登錄，但是他們將在后臺使用各種因素進行身份認證，例如，從鼠標移動到打字速度和習(xí)慣、登錄歷史記錄、網(wǎng)絡(luò)詳細信息（例如IP地址）、使用的瀏覽器等不可識別的行為屬性。盡管這些無法識別的因素中的單獨一個都不足以驗證身份，但是當(dāng)它們組合成一個安全網(wǎng)格時，身份認證既安全又不可見。所有這些因素都可以整合到一個大數(shù)據(jù)集中，并應(yīng)用人工智能和機器學(xué)習(xí)技術(shù)來分析合法用戶，還可以準確區(qū)分犯罪分子和欺詐性身份認證。

（五）零知識證明的密碼認證。零知識證明（ZKP）是一種質(zhì)詢/響應(yīng)身份認證協(xié)議，其中要求各方提供其機密信息的正確性，但又不泄露這些機密信息。它允許用戶進行身份認證，其方式使密碼永遠不會離開用戶設(shè)備或瀏覽器。簡而言之，ZKP身份認證過程可以將密碼轉(zhuǎn)換為復(fù)雜且唯一的抽象字符串，例如具有完全隨機模式的魔方。該抽象形式被傳輸?shù)椒?wù)器并存儲。這種方式的挑戰(zhàn)在于，通過生成與魔方模型相匹配的一系列隨機序列，來證明客戶端上的魔方多維數(shù)據(jù)集與服務(wù)器上的多維數(shù)據(jù)集相同。這樣，整個模型就永遠不會轉(zhuǎn)移，但是用戶仍然有高度可能性證明兩個模型是相同的。主要優(yōu)點之一是驗證者無法從身份認證過程中了解任何信息。ZKP技術(shù)可以消除私人用戶數(shù)據(jù)在驗證或身份確認過程中的暴露問題。它甚至可以用于驗證之外，允許用戶回收和控制其數(shù)字身份的使用。

結(jié)論

本白皮書介紹了無密碼身份認證的四個理由。首先，它極大地改善了用戶體驗。其次，它大大降低了與密碼管理和數(shù)據(jù)泄露相關(guān)的成本。第三，它支持互操作性，釋放企業(yè)內(nèi)部和企業(yè)之間以及公共服務(wù)的價值，同時支持為獲得平臺經(jīng)濟利益而進行的數(shù)字化轉(zhuǎn)型工作。最后，無密碼身份認證更加安全。它消除了從憑證信息獲取到網(wǎng)絡(luò)釣魚攻擊的一長串攻擊媒介，并使用戶重新獲得控制權(quán)。

進行無密碼身份認證的本身并不是目的。犯罪分子會適應(yīng)新環(huán)境，而安全控制往往是短暫的。健全的身份認證系統(tǒng)應(yīng)該建立在長期愿景之上，以促進安全性、隱私性、可持續(xù)性、用戶體驗、可擴展性和包容性。