没有密码的未来

密码曾经发挥着重要作用，但不再安全，Apple 和 Microsoft 等公司希望完全摆脱它们。

密码是用于确认用户身份的字符串。在数字时代，这对于记录软件或计算机网络是必不可少的。最近，密码已经发展到更高的层次，比如指纹、虹膜、人脸……但最流行的是多因素认证。

但是，无论哪种方式，密码仍然被认为是安全系统链接中的最大弱点。发生了一系列密码黑客攻击，甚至对不需要太精通技术的黑客也进行了攻击。据网络安全公司 Group-IB 称，仅今年夏天，就有 130 多家组织遭到黑客访问，对数百万用户造成损害。

人类——最大的弱点

据说密码不再安全，因为它们变得更长且更难记住。用户必须使用自己的管理器，而这些管理器并不像宣传的那样安全。

密码的使用也与人为因素有关。于是，谷歌、亚马逊、英伟达等数百家大型科技公司将此视为最大的安全漏洞，然后采取了不信任任何人的策略。

网络安全事件响应公司 Mitiga 的首席技术官兼联合创始人 Ofer Maor 说：“无论多么安全，如果系统由人控制，它仍然可能被黑客入侵。” “在过去的几个月里，攻击的报道越来越多，尤其是以双因素身份验证攻击的形式。无论公司大小，都陷入了同样的攻击和压力之中”。

例如，在最近的 Uber 黑客攻击中，Uber 雇用的承包商的系统管理员厌倦了要求授权登录帐户的垃圾邮件。然后他下意识地点击接受，导致系统被攻陷。

没有密码的未来

据专家介绍，使用无密码系统，情况就不同了。在这种情况下，凭证从数字设备传输到互联网，人类无法读取。所有通信都经过加密，当智能手机等设备发送只有手机可以生成的一次性验证码时，用户的身份就会得到验证。这样，智能手机就变成了密码。

随着使用数字设备作为身份验证方法，安全性也提高了，因为窃取手机和登录更加困难，尤其是当它们受到面部或指纹等生物识别技术的保护时。这也是生物识别传感器越来越多地出现在笔记本电脑、PC 和许多其他类型的设备上的原因之一。

Coalition for Confirmation 的负责人 Andrew Shikiar 表示：“这样的系统不会面临网络钓鱼攻击的可能性，因为它完全消除了登录过程中最薄弱的环节——人类。”现实世界在线 FIDO 联盟说。这个联盟已经运营了10多年，成员中有很多是苹果、谷歌、微软等知名公司。

5 月中旬，苹果、谷歌和微软联合发布了关于无密码登录的公告。这是由 FIDO 联盟和万维网联盟创建的标准。相应地，每个设备都有一个由 FIDO 颁发的唯一识别码，用于在没有密码的情况下登录不同的网站和应用程序。Apple、Google 和 Microsoft 通过允许用户使用生物特征身份验证方法访问帐户，在其平台上支持此标准。

非新密码的基于设备的身份验证。十多年来，一些公司拥有特别安全的系统，通常需要管理员插入包含解锁代码的专用 U 盘。没有它们，系统将无法连接到公司或政府网络。然而，根据 Hypr 截至 2022 年年中的一份报告，只有 16% 的公司为员工提供无密码登录选项。

Okta 的 CEO Todd McKinnon 表示，仍然使用密码是因为高级安全性的便利性和技术没有得到足够的重视。然而，当今数字设备中无处不在的生物识别传感器使得实现无密码安全成为可能。

“十年前，你没有 Touch ID、Face ID 或 Windows Hello。但现在他们可以轻松支持登录系统，”麦金农说。

根据 Shikiar 的说法，基于设备的身份验证正在向前迈出一大步，并且比当今基于密码的系统更安全。但是，根据组织希望使其系统的安全程度，此过程应该只是禁用威胁的第一步，以下步骤仍然需要密码才能进行身份验证。

除了优点之外，没有密码的系统还会带来许多不便。例如，如果管理员只获得了一个未锁定的设备而不知道如何恢复它，如何恢复丢失的密码。如果恢复过程太困难，员工可能会被锁定在他或她的帐户之外，无法完成他或她的工作。

另一方面，如果帐户恢复过程过于简单，系统就有被入侵的风险。“对于许多公司来说，你必须打电话给服务台并表明自己是这个人，”韦纳特说。“这为攻击者通过说服更高级别的人在不窃取凭据的情况下在公司系统上注册客户端设备打开了绕过的大门。”

Maor 认为无密码登录系统将是下一个安全趋势。但是，他评估说，在操作时需要严格遵守要求。“我在安全领域工作了 30 年。现实情况是，在大多数解决方案中，安全性和便利性之间的平衡留下了黑客仍然可以进入的漏洞，”Maor 说。