在互聯(lián)網(wǎng)世界，驗(yàn)證用戶身份是一個(gè)常見又重要的場(chǎng)景，應(yīng)用最廣泛的方式當(dāng)屬帳號(hào)密碼驗(yàn)證。隨著開發(fā)者對(duì)身份驗(yàn)證安全性要求不斷提升，加之用戶更加注重過(guò)程中的隱私與便捷，身份驗(yàn)證的方式逐漸多樣化，有動(dòng)態(tài)令牌、短信驗(yàn)證碼、生物特征認(rèn)證等方式。本文主要從安全性的角度，探討幾種常見身份驗(yàn)證方式存在的安全漏洞，為開發(fā)者們提供更具優(yōu)勢(shì)的解決方案。
常見身份驗(yàn)證方式在安全性方面的隱患如下：
既然靜態(tài)和動(dòng)態(tài)密碼的驗(yàn)證方式都存在漏洞，那么身份驗(yàn)證是否可以不依賴于密碼？
其實(shí)，在很早之前，就有人開始設(shè)想“無(wú)密碼登錄”。當(dāng)然，“無(wú)密碼登錄”并不等于沒(méi)有密碼，而是用新的身份驗(yàn)證方式，來(lái)取代現(xiàn)有密碼驗(yàn)證體系。HMS Core 線上快速身份驗(yàn)證服務(wù)（HMS Core FIDO）基于這個(gè)出發(fā)點(diǎn)，為開發(fā)者提供了一種更具優(yōu)勢(shì)的解決方案：無(wú)密碼的用戶身份驗(yàn)證，提供本地生物特征認(rèn)證和線上快速身份驗(yàn)證能力，可用于用戶登錄、購(gòu)買支付等場(chǎng)景，同時(shí)，通過(guò)系統(tǒng)完整性檢測(cè)和密鑰校驗(yàn)機(jī)制，來(lái)保證驗(yàn)證結(jié)果安全可信。實(shí)現(xiàn)流程如下。
從安全性上來(lái)說(shuō)，首先，HMS Core FIDO避免了用戶手動(dòng)輸入帳號(hào)密碼，因此不必?fù)?dān)心帳號(hào)密碼泄露的風(fēng)險(xiǎn)。
其次，使用HMS Core FIDO并不需要用戶隨身攜帶額外的第二驗(yàn)證設(shè)備。App可以通過(guò)用戶手機(jī)內(nèi)置的組件驗(yàn)證用戶身份，如指紋驗(yàn)證器、3D面容傳感器、虹膜驗(yàn)證器等。如果App希望加強(qiáng)驗(yàn)證，除了使用或插入第二設(shè)備之外，用戶的手機(jī)就可以直接作為安全密鑰硬件，完成身份驗(yàn)證。一臺(tái)手機(jī)，支持多種驗(yàn)證場(chǎng)景，用戶無(wú)需攜帶額外的設(shè)備，HMS Core FIDO不僅改善了用戶體驗(yàn)，同時(shí)也降低了互聯(lián)網(wǎng)服務(wù)提供商的部署成本。
最后，在驗(yàn)證過(guò)程中使用到的用戶生物特征信息絕不會(huì)離開用戶設(shè)備，僅本地解鎖后才可使用，因此不必?fù)?dān)心從服務(wù)端泄露用戶數(shù)據(jù)。
除了提供安全身份驗(yàn)證，HMS Core FIDO也能幫助開發(fā)者優(yōu)化用戶體驗(yàn)。
HMS Core FIDO協(xié)議始終圍繞保護(hù)用戶隱私來(lái)設(shè)計(jì)，這些協(xié)議不會(huì)向在互聯(lián)網(wǎng)平臺(tái)提供可用于跟蹤用戶的信息，如果采用生物特征識(shí)別技術(shù)，用戶生物特征信息絕不會(huì)離開用戶設(shè)備。這一點(diǎn)相較于傳統(tǒng)的生物特征認(rèn)證方式，在安全隱私保護(hù)方面有了很大的改進(jìn)，因?yàn)閭鹘y(tǒng)的生物特征認(rèn)證會(huì)將用戶數(shù)據(jù)采集到服務(wù)端，一旦服務(wù)端數(shù)據(jù)發(fā)生泄漏，將造成嚴(yán)重后果。從用戶的角度來(lái)說(shuō)，隱私體驗(yàn)得到了極大的改善。
在身份驗(yàn)證過(guò)程中，用戶操作簡(jiǎn)單，過(guò)程流暢無(wú)間斷，無(wú)需耗費(fèi)太多時(shí)間去等待，如接受驗(yàn)證碼、輸入密碼等。
HMS Core FIDO的應(yīng)用場(chǎng)景
目前，F(xiàn)IDO技術(shù)已經(jīng)得到了全球設(shè)備廠商、互聯(lián)網(wǎng)服務(wù)提供商的廣泛認(rèn)可，包括一些大型銀行等金融機(jī)構(gòu)、政府網(wǎng)絡(luò)平臺(tái)等等，成熟應(yīng)用于涉及資金變動(dòng)的高安場(chǎng)景，如：購(gòu)物網(wǎng)站或者App購(gòu)買支付、數(shù)字貨幣轉(zhuǎn)賬、手機(jī)銀行（網(wǎng)上銀行）中的大額交易，等等。就使用流程舉例來(lái)說(shuō)，App在用戶登錄時(shí)檢測(cè)設(shè)備是否支持HMS Core FIDO，如果支持，App可引導(dǎo)用戶開通指紋或3D面容登錄，用戶在下次登錄時(shí)只需要驗(yàn)證指紋或3D面容即可。
HMS Core FIDO是基于FIDO規(guī)范面向海內(nèi)外開發(fā)者提供的開放能力，能夠幫助互聯(lián)網(wǎng)服務(wù)提供商的身份驗(yàn)證過(guò)程更安全、更簡(jiǎn)單，同時(shí)還能收獲更好的用戶體驗(yàn)。FIDO全稱為Fast Identity Online規(guī)范，是由FIDO聯(lián)盟推出并持續(xù)維護(hù)一套身份驗(yàn)證框架協(xié)議，它使用標(biāo)準(zhǔn)公鑰密碼學(xué)技術(shù)，提供更強(qiáng)有力的身份驗(yàn)證方式。
