FIDO 認(rèn)證：為了保護(hù)用戶，科技公司決定聯(lián)手干掉密碼
隨著移動互聯(lián)網(wǎng)的發(fā)展，每個人擁有的賬戶數(shù)量指數(shù)增長，每注冊一個新賬戶，都在增加了隱私泄露的風(fēng)險。
如此發(fā)達(dá)的互聯(lián)網(wǎng)，對于身份認(rèn)證的方式依然僅靠單純的賬戶密碼，即便現(xiàn)在生物認(rèn)證在手機(jī)上也非常普及，但在注冊生物認(rèn)證前往往也需要我們輸入安全密碼。
因為使用賬戶密碼驗證身份是一種經(jīng)濟(jì)、簡單、普遍的身份驗證方式，而一些公司和大多數(shù)人還依然抱著僥幸心理，認(rèn)為他們的數(shù)據(jù)不足以引起犯罪分子的注意。
現(xiàn)在我們發(fā)現(xiàn)即便是 Google、Twitter 這樣規(guī)模的頂級互聯(lián)網(wǎng)公司都無法保護(hù)用戶數(shù)據(jù)。
今年 7 月 15 日，連奧巴馬、比爾?蓋茨、庫克、馬斯克等大佬的賬戶都被黑客破解，普通人的賬戶密碼更是淪落到幾分錢批發(fā)的地步。
誰還能幫助我們保護(hù)隱私？為了保護(hù)用戶，科技公司決定聯(lián)手干掉密碼，F(xiàn)IDO 認(rèn)證進(jìn)入應(yīng)用。
01.數(shù)字密碼成為過去
發(fā)明一套更能夠保護(hù)隱私的身份認(rèn)證系統(tǒng)迫在眉睫，F(xiàn)IDO 認(rèn)證就是業(yè)界給出的答案。
FIDO 聯(lián)盟成立于 2013 年 2 月，現(xiàn)在幾乎所有有影響力的公司和組織都加入，包括微軟、蘋果、Google、華為、三星、英特爾、聯(lián)想、VISA、阿里巴巴、中國信息通信研究院等等。
FIDO 認(rèn)證將注冊地點從服務(wù)器搬到本地。
當(dāng)用戶注冊在線賬戶時，用戶使用設(shè)備會創(chuàng)建一對新的秘鑰（私鑰和公鑰），私鑰保存在用戶設(shè)備本地而公鑰發(fā)送給注冊服務(wù)器。
公鑰相當(dāng)于一個問題庫，私鑰相當(dāng)于一個答案庫。
在 FIDO 1.x 版本中有兩個子協(xié)議，通用身份認(rèn)證框架（UAF）和通用第二因素（U2F）。
UAF：當(dāng)需要認(rèn)證身份時，客戶端設(shè)備通過提供私鑰里的答案來證明自己的身份。而讀取私鑰則需要通過本地的解鎖操作，例如指紋、面部、PIN 或插入二級設(shè)備（類似U盾）。
U2F：當(dāng)使用賬戶時，用戶需使用第二因素設(shè)備（例如 FIDO 鑰匙，其 U 盾）來完成 FIDO 注冊。這種類似于 Steam、Google 等的數(shù)字令牌。
不管哪一種方式，F(xiàn)IDO 的私鑰只存儲在本地可信任的環(huán)境中且不保存用戶的隱私信息。
2019 年發(fā)布的 FIDO2 又新增了身份驗證器協(xié)議（CTAP）和W3C WebAuthn
CTAP：使用第三方設(shè)備來進(jìn)行認(rèn)證，例如我們需要在一臺陌生設(shè)備上登錄賬戶，此時可以使用自己的手機(jī)、FIDO 鑰匙等存儲了私鑰的設(shè)備連接這臺陌生設(shè)備，在自己的設(shè)備上提供認(rèn)證。通過這種方式也可以幫助用戶保護(hù)隱私。
例如現(xiàn)在一些沒有生物認(rèn)證功能的 MacBook 可以通過 iPhone 手機(jī)來提供認(rèn)證，完成 MacBook 上的登錄和付款。
W3C WebAuthn：這是W3C 與 FIDO 聯(lián)盟合作制定的協(xié)議，它的作用是在瀏覽器和標(biāo)準(zhǔn)Web API 中也能支持 FIDO 認(rèn)證，原理是調(diào)用手機(jī)或電腦中的 FIDO 認(rèn)證。
02.如何證明我是我
在各種驗證方式中，都避不開“如何證明我是我”這個問題。
注冊：
用戶選擇一種服務(wù)器接受 FIDO 認(rèn)證策略；用戶使用生物、第二因素設(shè)備、PIN 或其他方式解鎖本地的 FIDO 身份驗證器；用戶的設(shè)備在本地創(chuàng)建唯一的公鑰/私鑰對；
公鑰被發(fā)送到在線服務(wù)器并與用戶賬戶相關(guān)聯(lián)，私鑰被保存在本地并需要解鎖才能使用，且始終不會離開本地設(shè)備。
登錄：
在線服務(wù)要求用戶使用之前注冊的設(shè)備登錄；服務(wù)器根據(jù)公鑰向設(shè)備提出一個只有對應(yīng)私鑰才知道答案的問題；用戶使用注冊時的方法來解鎖 FIDO 身份驗證器；設(shè)備使用服務(wù)器提供的標(biāo)識來找到本地存儲的正確私鑰，并讀取問題的答案；設(shè)備將答案提供給服務(wù)器，服務(wù)器與保存的公鑰驗證后決定是否允許登錄。
03.應(yīng)用的場景
目前已經(jīng)有很多地方使用了 FIDO 認(rèn)證。如果你的 Windows 10 電腦使用Windows Hello 登錄或付款，這其實就是 FIDO 的應(yīng)用。
另外在 Chrome、EDGE、Firefox 和華為手機(jī)的內(nèi)置瀏覽器中，你也可以使用指紋或掃臉來認(rèn)證身份，例如查看瀏覽器保存的密碼。
結(jié)論
目前看來FIDO 認(rèn)證確實比以前大家使用的方法要有效，怎么樣，想試一試嗎？
本文編輯：@ 小淙
?本文著作權(quán)歸電手所有，未經(jīng)電手許可，不得轉(zhuǎn)載使用。
