压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

為了保護應(yīng)用和數(shù)據(jù)的安全，我們每個人都在使用十多個甚至近百個密碼。如果用戶需要記住數(shù)百個用戶名和密碼組合，還要定期更改，他們往往會重復(fù)使用相同的組合。這使得網(wǎng)絡(luò)犯罪分子更容易得逞，Verizon最近的《數(shù)據(jù)泄露調(diào)查報告》就發(fā)現(xiàn)，61%的泄露涉及登錄信息泄露。

將基于密碼的身份驗證換成無密碼登錄驗證（使用生物特征等因子來實現(xiàn)驗證）被認為是有效應(yīng)對近期網(wǎng)絡(luò)攻擊激增的解決方案，人們期待無密碼技術(shù)帶來易用性、安全性和廣泛性等多維度的變革，讓使用者獲得更好的使用體驗和安全防護。可是據(jù)一項最新調(diào)查顯示，目前近50%的受訪企業(yè)未采用過無密碼登錄技術(shù)，22%的企業(yè)組織不相信該技術(shù)的實際應(yīng)用效果。無密碼登錄這項新興技術(shù)的落地應(yīng)用似乎走進了“死胡同”。

研究人員發(fā)現(xiàn)，阻礙無密碼登錄技術(shù)應(yīng)用的關(guān)鍵因素并不是由于技術(shù)的限制或缺陷，而是由于企業(yè)中身份和驗證管控的現(xiàn)狀。很多企業(yè)中，身份管理（證明）和身份驗證仍然是相對獨立的，而很多廣泛使用的應(yīng)用程序在設(shè)計開發(fā)時，并沒有合理考慮如何支持無密碼登錄。

身份證明和身份驗證常常被混淆，但兩者是獨立的概念。身份證明（即確定誰是誰）通常是指一個流程，而身份驗證則屬于訪問網(wǎng)絡(luò)、應(yīng)用程序或數(shù)據(jù)資源時，驗證訪問者身份的合法性與真實性。

身份證明通常是組織入職流程的一部分：新員工憑借為其ID所拍的照片，收到第一個密碼——這通常由人力資源部門或該部門在IT人員的協(xié)助下來處理。人力資源部門負責手動驗證那些新員工的真實身份，通過外貌相似或驗證政府頒發(fā)的ID來驗證。僅僅面對公司員工，這一切沒問題，但面對需要訪問網(wǎng)絡(luò)資源外部承包商、供應(yīng)商或機器用戶，這個過程就變得比較復(fù)雜。

身份證明需要根據(jù)政府頒發(fā)的文件和生物特征來驗證某人的身份，這個流程對于身份驗證過程至關(guān)重要。但一旦注冊系統(tǒng)或應(yīng)用程序的工作完成，證明身份的流程仍與身份驗證工作流程分開來。每當用戶登錄到受保護的資源或應(yīng)用系統(tǒng)，他都需要接受某種身份驗證（比如密碼、PIN或生物特征）的質(zhì)詢，而這種驗證不再與用戶的實際身份相關(guān)聯(lián)。

比如說，現(xiàn)在的生物特征驗證仍然不能取代密碼，盡管它降低了用戶登錄系統(tǒng)的復(fù)雜性，但是如果密碼被盜，網(wǎng)絡(luò)犯罪分子仍然可以繞過生物特征驗證系統(tǒng)。此外，如果生物特征信息存儲在身份驗證數(shù)據(jù)庫中，它們也會成為黑客攻擊的高危目標。

無密碼驗證是一種解決身份安全、隱私和用戶體驗等問題的有效辦法。但是，只有借助有效的技術(shù)手段，以解決身份證明和身份驗證之間的隔斷，無密碼驗證才有希望真正落地應(yīng)用。

分布式數(shù)字身份這一概念已經(jīng)被提出，它將身份注冊數(shù)據(jù)和身份驗證相結(jié)合，使它們密不可分。分布式數(shù)字身份由用戶控制，而不是只是向用戶質(zhì)詢身份驗證因子（密碼、PIN或生物特征），該驗證因子與存儲在Active Directory或谷歌等身份提供商擁有的中央數(shù)據(jù)庫中所存儲的登錄信息進行核對。比如說，F(xiàn)IDO2和NIST將私鑰存儲在安全飛地/可信平臺模塊（TPM）芯片中，只有實時生物特征與注冊時獲取的生物特征相匹配，才能訪問私鑰。其他方法將用戶的私鑰存儲在加密的區(qū)塊鏈中，增添了安全系數(shù)。

參考鏈接：

https://www.darkreading.com/operations/why-passwordless-is-at-an-impasse