身分验证技术的未来

　　密码是计算器时代开始之后最棘手的一项发明。容易记的密码很不安全，而强度高的密码很难令人容易记住。即使提供了更简便、更通用的登入程序，人们还是渴望能有容易使用，又足够安全的验证方案。

　　今天，你的密码或许在几分钟甚至几秒内，就会被黑客破解。这个很少人愿意正视的事实，在万物联网(Internet of Everything)浪潮来袭的今天，正逐渐形成极大的安全隐忧。

　　长久以来，我们用来保障隐私数据，验证身分的密码，一直是由符号、数字和字母组成。过去十几年来，一般用户的密码从4位、6位逐渐加长，需要的内容组合也从单纯的数字升级到需要搭配字母和特殊符号。这一切手段，都是为了实现安全的身分验证。但说来有些可笑，不断升级的计算器性能，也恰好为黑客们提供了破解高级加密保护的足够运算能力。

　　因此，在运算无所不在，从门禁、监控系统、车联网、家庭网络到随身电子设备都已经实现连网的今天，我们要为这些攸关生命财产安全的设施配备传统的身分验证密码技术，或是选择更加新颖的生物特征识别技术?许多创新的生物特征技术，都是以用户身上的特征，作为进入系统的门钥。目前从语音，指纹、虹膜到掌纹辨识都已经实现了商业化;而在未来，我们要思考的是，有没有可能让设备们彼此进行身分验证，从而创造出一个具备自我保护能力的个人网络?

　　你就是密码

　　从包含脸部识别、虹膜扫描、指纹、掌纹、掌形、DNA、语音识别在内的生理识别，到步态识别等行为特征识别，以用户身体特征作为测量技术的生物识别技术。人，已经成为了密码。

　　每个人身上都有许多无可取代的生物特征，可作为识别密码。指纹扫描已经非常普遍，指静脉识别系统也已获得了商业化应用。接下来，过去最常出现在电影场景中的虹膜扫描，也正凭借着其高度独特性和难以复制的优势，开始受到广泛瞩目。

　　虹膜扫描结合了计算器视觉、模式识别、统计推断和光学等多样技术。在今天众多生物识别技术中，虹膜辨识是公认最准确的一种。没有任何人的虹膜是相同的，即使基因相同的双胞胎依然拥有完全不同的虹膜。只要不是太严重的伤害或重病，虹膜的特征终生不变。

　　每一个人的虹膜都具有极独特的图案，这些独特图案是在子宫内就形成的。虹膜是一个能调节瞳孔大小的肌肉，主要用于控制进入眼球的光线由于该技术是扫描虹膜的独特图案，与视觉无关，因此失明的人也能使用虹膜扫描技术进行辨识。

　　一般来说，虹膜相机是先取得虹膜图案的数码相片，再重制出一个加密的虹膜图案数字模板。加密的模板无法被重制或重现任何形式的视觉影像，因而虹膜识别可提供最高级别的身分防御措施。另外，虹膜摄像机通常使用红外光，并不会对眼睛造成不适或伤害。

　　目前虹膜识别系统已经用在边境口岸、航空安全、数据库访问、医院等领域。但未来，该技术在消费市场的潜力也相当可观。截至目前，虹膜辨识技术已在愈来愈多的应用中崭露头角。三星稍早前便透露很可能在Note 4中采用虹膜辨识技术;另外，稍早前已有研究人员发表运用虹膜辨识作为付款机制的项目，商用化的机率非常大。

　　除了虹膜，早年仅在电影中的高科技场景出现，看似高不可攀的脸部和声纹验证，现在已搭载在许多随手可得的设备中了。安卓手机具有脸部辨识能力，能判断用户心情的App──经由心跳的变化速率来判读用户情绪──也早已问世。

　　尽管现今有许多生物识别技术开始步入日常生活，但人们会100%信任生物辨识技术吗?特别是在与居家安全或金融相关的应用中，生物识别技术可能要花更多力气才能说服使用者。或许，更有可能的情况，是将生物特征识别和传统密码结合的双重验证应用。当你的手机，或你的门禁系统识别出你的脸、指纹或掌纹、虹膜或声音之后，还必须搭配一组你自行设定的密码，才能将之解锁。

　　密码将会消失?

　　科技的进展让我们快速实现了过去仅限于想象的技术，而且所有的先进技术都迅速消弭了跨入消费领域的障碍。但作为让人与机器连结更加紧密的技术，生物识别是否真如我们想象中安全，难以破解，仍然有待验证。

　　在生物辨识技术向前发展的同时，传统密码遭遇的挑战也愈来愈大。人们设定的密码大多有所依循，且绝大多数与自身有关联。这是密码为何轻易在黑客攻击后泄露的最主要原因。完全采用粗糙的伪随机复杂字符串组成的密码能让黑客却步，但却会为难更多用户。而生物辨识技术则将我们身上的一部份变成密码。不必再担心是否忘了带门禁卡、手机或其他设备。

　　不过，要实现这个理想，技术上仍需要非常大的跨越。包括谷歌(Google)在内的许多公司，正藉由集结厂商组成联盟的力量，为未来的身分验证寻找新的方法。因此，包括EyeLock、Netflix、Google、Paypal等118个会员公司，在2013年共同成立了FIDO联盟，旨在创新更简单、安全性优于传统密码的崭新标准。

　　FIDO联盟创办人暨主席Ramesh Kesanupalli指出，目前业界面临的最大挑战，是如何找到一种维持平衡的方法。首先，大多数的互联网用户的密码都相当脆弱。据调查，有高达76%的网络用户都习惯为多个网站采用相同的密码。而大部份的密码都不难破解。尽管愈来愈多网站采用双重身分认证机制，但Kesanupalli认为，长久来看这并不是可行的解决方案，因为双重身分认证系统的成本较高，过程繁琐，且会大幅增加登录过程的困难度。

　　而FIDO创建宗旨就是创造出强度非常高，但能让用户简单验证的密码。FIDO标准的关键之一是通用认证框架(UHF)，据称能完全让用户从繁琐的密码中解放出来。已通过FIDO认证的设备和软件将会产生针对站点和服务的安全密钥。当用户导航到任何一个站点时软件都会传送密钥。反过来，站点也会要求用户证明其身分。用户可利用各种验证方法来响应这些要求，例如虹膜认证。

　　FIDO的主要特性之一是能够完好保存敏感信息，如生物特征数据。用户的生物特征ID由本地设备储存，并不会被传送到网络站点去。更重要的是每一个站点都具有一个独特的、用户永远不需要知道的非对称式密钥。

　　许多IT/互联网产业的知名公司，都关注着下一代身分验证技术的进展。AOL公司消费识别服务部首席架构师George Fletcher指出，下一世代的识别管理中，识别技术的重要性将远胜过凭证验证。过去让用户输入正确密码的做法已经过时，“我们必须为身分验证考虑更多因素，以保障用户或设备的存取安全。”随着物联网逐渐成为一种标准概念，未来广大的用户将面临更大难题──无论是人或设备，究竟谁有权利能访问我的温度控制器?我又将如何赋予他们权限?

　　Monsanto公司首席架构师Anthony Randall认为，下一世代的识别管理将是收敛的。“这一切都和后台系统到前台流程的运作有关。人们需要连网，需要按需求提供的服务，需要个人化，以及能让用户与其服务供货商互动的自我控制功能。因而我们必须提供足够人性化的前端信息系统，能让人们轻易和设备展开互动。”

　　未来身分识别管理的挑战

　　在万物联网成为主流趋势的今天，Randall指出，用户体验是一个巨大挑战，他们希望在任何地方、任何时间都能访问。另外，从幼童到老人，有许多有着特殊需求的用户需要简化他们的在线互动体验。云端解决方案能帮助做到这些目标，而服务供货商则必须确保用户的隐私，以及用户/企业数据的安全。

　　“随着物联网时代来临，未来会有更多设备彼此之间能够交谈，或受到远程控制，因此，我们必须有更好的安全模型，否则可能会出现冰箱受到远程控制，进而去攻击你的灯泡的事情。"FIDO Alliance总裁Michael Barrett说。然而，在这个层面上，迄今所有需要的技术仍在发展中。

　　Randall认为，密码和PIN可能会永远存在，但接下来可能会发生较大幅度的变化。例如生物特征识别技术可提供比密码更强大的安全性，在医疗和银行等领域被采纳的程度甚至超越传统密码。另一方面，大数据的发展概念也促进了新一代识别技术的发展，数据不仅可用来辨识用户身分，还可能用来确认用户想做什么。

　　AOL的Fletcher同意这个观点。他指出，整个产业正在发生转变。未来用户使用密码的方式将会全然改变。传统的密码仍将被用在一些验证流程之中，但不会是未来主流的身分验证机制。当然，要做到这些改变，仍将取决于新的身分验证技术是否足够容易让用户接受。

　　实际生活中，安全与方便性正在进行着一场长久的拉锯战。或许长达64位伪随机密码能让我们感受到安全，但如果是要在仅有一个触控屏幕的手持装置上输入呢?Barrett认为，密码会缓慢死去，但这个过程会非常漫长。“我们正在展开一个为期多年的转折期──人们将开始采用更好的密码替代方案，例如生物识别。随着时间推移，密码将变得不那么普遍，我想，大多数人都将采用其他方法在日常生活中进行身分验证。”

　　我们需要的不过是一个密码，能让我们免于被骇或设备被盗时数据损失的风险。未来我们的智慧手机、门锁，或是任何一项联网商品及服务，将会采用什么样的验证手段?破解难度更高的生物识别技术看来潜力很大，而且将成为推动下一波信息科技发展的关键。正如FIDO的Barrett所说，我们已经经历了几个发展阶段，身分验证正在进入成熟阶段，当所有的技术都汇集在一起时，强大的验证能力将成为信息科技发展的关键。