未来将不再需要密码——因为你总是泄露它们 - 《华尔街日报》

长久以来，密码一直是保护我们在线账户安全机制中的关键环节。但如今，它们越来越被视为薄弱环节——一些公司甚至想彻底废除密码。

遵循当前关于如何安全登录账户的建议，感觉就像试图跟上最新一次性剃须刀有多少刀片一样令人应接不暇。多年来，指导方针从简单易记的密码，演变为为每个账户定制、存储在密码管理器中的难以发音的字符组合。最近，我们又被告诫每次登录都需要第二种身份验证，即双因素认证——通常是通过短信或邮件发送的验证码。

现在情况已经很清楚了——在大多数人还没开始使用双因素认证之前——即使这样，对于那些想要入侵我们个人和工作账户的黑客来说，这也只是另一个减速带。即使是技术相对不高的黑客也能按小时租用系统来突破这些防御。根据网络安全公司Group-IB的报告，今年夏天就发生了这样一起攻击，导致130个组织中近10,000人的登录凭证被盗，尽管这些账户都受到双因素认证的保护。

我最近撰文讨论了大型科技公司如何采用"零信任"安全策略，这些趋势其实相互关联。当员工输入密码和双重验证码时，企业及其网络系统已无法单纯相信使用者就是其声称的身份。

这既源于人类容易轻信的天性——甚至可说是易受欺骗，也由于利用这种特性的恶意行为正持续升级。据反网络钓鱼工作组（科技行业非营利组织）的报告显示，2022年第二季度用于钓鱼攻击的独立网站数量突破百万大关，创历史新高。相比2020年初用于网络钓鱼的独立域名数量，这一数字增长了四倍。

微软身份安全总监亚历克斯·韦纳特用另一种方式描述：“我们的系统当前每秒要抵御超过1000次密码攻击。”

正因如此，微软、苹果、亚马逊、谷歌及数百家科技企业正携手合作，试图通过反直觉的方式填补这个巨大的网络安全漏洞：对于大多数用户而言，在多数场景下，他们建议彻底取消密码机制。

“无密码”技术的真正含义

网络安全事件响应公司Mitiga的首席技术官兼联合创始人奥弗·莫尔指出，依赖人类可读信息（如密码、推送验证码等）的登录系统都存在被黑客攻击的风险——无论采用多少重保密信息进行防护，或是哪家科技巨头负责运维。

莫尔表示：“过去几个月我们处理的所有入侵事件，最初都绕过了双重认证机制。“无论大公司还是小企业，“无一例外都沦陷于中间人攻击和推送疲劳攻击”。

中间人攻击是行业术语，指通过钓鱼网站诱骗用户输入密码和第二重验证（如推送通知或短信验证码）。推送疲劳则体现在近期优步科技遭遇的黑客事件中：一名能访问优步系统的承包商因不断收到登录授权推送而不胜其烦，最终批准了其中一个请求。

无密码系统则截然不同。设备与互联网之间不传输任何人类可读信息，所有通信都经过加密。当您的设备（如智能手机）发送只有该设备能生成的一次性代码时，身份即获验证。通过将设备本身转化为密码。

当然，之所以无法通过窃取手机来登录账户，是因为设备本身采用生物识别技术（如面容或指纹）保护。这也解释了为何生物识别器正逐步普及到笔记本电脑、台式机等多种设备中。

FIDO联盟（Fast Identity Online的缩写）执行董事安德鲁·希基阿尔表示，这种系统消除了网络钓鱼攻击的可能性。它通过完全移除登录过程中的薄弱环节——人类——来实现这一点。FIDO联盟由消费科技行业的领军企业组成，十多年来一直在合作开发无密码（实际上是基于设备的）登录系统。苹果、谷歌和微软等联盟成员表示，他们即将在现实世界中推出这些系统。

“FIDO的酷炫之处在于，这是我第一次意识到我们从‘云世界中的身份验证需要如何工作？’这个问题出发，”微软的温纳特先生说。“参与制定标准的来自多家公司的人员，真正深入思考了如何使其不可钓鱼和不可猜测，”他补充道。

能够消除密码的基于设备的身份验证并不是新鲜事物。十多年来，一些拥有特别安全系统的公司已经让用户将基于USB的设备插入工作笔记本电脑，没有这些设备，电脑就无法连接到公司或政府网络。然而，根据销售此类系统的Hypr今年早些时候的一份报告，只有16%的公司为员工提供无密码登录的选项。今年早些时候的一份报告。

Okta首席执行官托德·麦金农表示，如今我们设备中生物识别传感器的普及使得广泛推广无密码系统成为可能。照片：David Paul Morris/彭博新闻身份管理公司Okta的首席执行官托德·麦金农表示，目前无密码系统得以广泛推广的主要原因是，能够识别我们身份的生物识别传感器几乎无处不在。

“十年前还没有Touch ID、Face ID和Windows Hello，”他补充道，“十年前你只能通过插入USB端口的奇怪设备来验证。普通用户会使用那种东西吗？”

此外，Mitiga公司的Maor先生表示，我们现在随身携带的设备都能够进行加密计算，以建立与互联网系统的安全连接。他补充说，这两种因素的结合——设备随时可用，以及通过生物识别轻松登录——不仅使无密码登录系统成为可能，而且非常方便。

从双因素到多因素认证

根据组织希望其系统有多安全，“无密码”登录可能只是一个过程的开始，这个过程可能仍然涉及密码。在登录过程的不同阶段——从解锁手机本身开始——可以提示用户输入PIN码或密码，或者分析他们的位置，以确保他们不会从某个不合理的地方尝试登录。还可以分析用户的行为，确保他们没有异常行为，比如尝试访问他们通常不会访问的内容。

组织可能这样做的原因之一是为了确定某人是否被迫访问其账户。另一个原因是，有时员工会变节，登录系统可以是消除内部威胁的一部分。因此，微软的Weinert先生表示，微软已经对其系统每天处理的超过1000亿次登录事件进行了行为分析。

微软身份安全总监亚历克斯·韦纳特表示，该公司系统每秒遭受超过1000次密码攻击。图片来源：Chona Kasinger/彭博新闻未来企业是否会在现有流程中引入更多验证因素，完全取决于黑客攻破这些新型高强度无密码登录系统的速度。FIDO联盟的希基亚尔指出：“我身边痴迷安全技术的同事已听闻企业在讨论三重、四重验证等方案。“但就目前而言，最重要的是基于身份的验证技术比现行密码系统安全得多。

无密码系统也将带来新型不便。例如，若用户根本未设置密码，该如何找回丢失的凭证？若该流程过于复杂，员工可能被锁定账户而无法工作。

另一方面，若账户恢复流程过于简单，又会成为系统入侵的新途径。韦纳特表示，许多企业正发现其初始凭证发放流程存在漏洞：“多数公司只需致电客服中心并声称自己是账户持有人。“这使得攻击者可能绕过最安全的无密码系统——只需说服人工客服或其他系统将其设备注册至企业网络，根本无需窃取凭证。

FIDO联盟刚刚推出了其提案，旨在简化设备成为个人登录方式的流程，Shikiar先生表示这有助于阻止此类攻击。该提案涉及自动化验证政府身份证件图像，但这只是第一步。如果黑客无法再从前门进入，那么通过账户恢复系统的尝试可能成为他们的下一个目标。

Maor先生认为无密码登录系统优于现有方案，但黑客的创造力和动机是无穷的。这就是为什么今天的“无密码”登录系统有朝一日可能让我们回到起点，输入更多只有我们自己知道的秘密——也就是密码。

“我从事这一行近30年，现实情况是，对于我们提出的几乎每一个解决方案，安全性和可用性之间的平衡意味着黑客总能找到突破口，”他补充道。

欲获取更多《华尔街日报》技术分析、评论、建议和头条新闻，请订阅我们的每周通讯。

联系作者Christopher Mims，邮箱：[email protected]

本文发表于2022年10月22日印刷版，标题为《奔向无密码未来的疾驰》。