FIDO的WebAuthen会彻底消灭密码吗？

近日，FIDO线上快速身份验证联盟联合W3C公布了一个名为WebAuthn的新技术标准，用户可以通过手机端生物识别（指纹、人脸、声纹等）或PC端USB令牌等身份验证方式，访问Web在线服务。这是否意味着我们现在可以彻底跟密码Say Goodbye了呢？

先是有密码

至少在过去的40年里，我们与计算机密码之间有着难以言说的爱/恨关系。安全行业有一个共识：密码终将会消失。但是从目前的情况来看，密码的寿命还会很长，甚至在数量上还有越来越多的趋势。

根据LastPass的统计，平均每个企业用户需要管理191个账户密码！而Pew Research的统计表明，很少有人使用密码管理器，在2017年只有12%的受访者使用密码管理器，甚至还有49%的受访者把密码写在纸上。难怪Verizon在《2018年数据泄露调查报告》指出，81.1%的数据泄露事件都是由密码泄漏引起的。

 

然后出现了双因素身份认证

为了进一步提高账户安全性，双因素身份认证问世了。最普遍的2FA方式就是短信验证码，后来也出现了诸如Google Authenticator之类的认证应用。

但是因为使用不甚方便或安全性等问题，短信验证码和认证类应用似乎总是欠了那么点火候。比如，尽管谷歌早就推出了Gmail的二次身份认证，但目前只有不到10%的用户使用这一功能。

 

消除密码是大势所趋

因为密码使用并不方便，而且安全性也十分堪忧，所以消除密码是大势所趋。而目前的一个趋势是采用即插即用的本地身份认证，用户的隐私、生物特征信息及其产生的私钥保存在可信设备手机之中，具有更好的安全性、便捷性、适配性以及隐私保护性。

通过这一方式，用户完全不用记忆复杂密码，账户也能免受网络钓鱼、中间人攻击和使用被盗密码的反复攻击。

上图为SecID快速身份认证过程：①线上身份认证请求；②本地设备认证；③认证成功。

今年1月，锦佰安科技正式加入FIDO联盟，与世界一流企业共同建立统一的安全技术标准。与此同时，锦佰安科技推出了相应的SecID快速身份认证解决方案，在用户名和密码的基础上，结合日趋成熟的生物特征识别技术（如指纹识别）与系统锁屏（密码、九宫格、PIN码）等完成本地身份认证，可用于增强登录、验证、支付等敏感性操作的身份准入。

除此之外，锦佰安科技还推出了SecID AI行为识别身份认证方案，通过行为特征来识别操作者，在其无感知状态下即可精确辨别用户身份，进一步提高了身份认证的便捷性和安全性。

结  语

近几年，安全行业关于“密码已死”的呼声越来越高，密码也很有可能会被列入“21世纪十大最恼人事务”之一。但这并不是一蹴而就的事情，因为用户使用习惯和部署等方面的问题，对于“消灭密码”这件事要有耐心。锦佰安科技自成立以来就将消灭密码作为终极目标，我们将会与各行业的伙伴深入合作，共同推进这一目标的实现。