百科网

首页 > 科技数码

科技数码

为了保护用户,华为、苹果、微软、三星等公司决定联手干掉密码

科技数码佚名2023-06-16

随着移动互联网的发展,每个人拥有的账户数量指数增长,每注册一个新账户,都在增加了隐私泄露的风险。

如此发达的互联网,对于身份认证的方式依然仅靠单纯的账户密码,即便现在生物认证在手机上也非常普及,但在注册生物认证前往往也需要我们输入安全密码。

因为使用账户密码验证身份是最经济、最简单、最普遍的身份验证方式,而一些公司和大多数人还依然抱着侥幸心理,认为他们的数据不足以引起犯罪分子的注意。

现在我们发现即便是 Google、Twitter 这样规模的顶级互联网公司都无法保护用户数据。

今年 7 月 15 日,连奥巴马、比尔•盖茨、库克、马斯克等大佬的账户都被黑客破解,普通人的账户密码更是沦落到几分钱批发的地步。

谁还能保护我们的隐私?

发明一套更安全的身份认证系统迫在眉睫,FIDO 认证就是业界给出的答案。

FIDO 联盟成立于 2013 年 2 月,现在几乎所有有影响力的公司和组织都加入,包括微软、苹果、Google、华为、三星、英特尔、联想、VISA、阿里巴巴、中国信息通信研究院等等。

FIDO 认证将注册地点从服务器搬到本地。

当用户注册在线账户时,用户使用设备会创建一对新的秘钥(私钥和公钥),私钥保存在用户设备本地而公钥发送给注册服务器。

公钥相当于一个问题库,私钥相当于一个答案库。

在 FIDO 1.x 版本中有两个子协议,通用身份认证框架(UAF)和通用第二因素(U2F)。

UAF:当需要认证身份时,客户端设备通过提供私钥里的答案来证明自己的身份。而读取私钥则需要通过本地的解锁操作,例如指纹、面部、PIN 或插入二级设备(类似U盾)。

U2F:当使用账户时,用户需使用第二因素设备(例如 FIDO 钥匙,其 U 盾)来完成 FIDO 注册。这种类似于 Steam、Google 等的数字令牌。

不管哪一种方式,FIDO 的私钥只存储在本地可信任的环境中且不保存用户的隐私信息。