漫谈身份认证所运用的那些科技

猿团 | 2016-01-14 11:59:05

现在身份证不仅可以用于购买车票、住宿、上网等,在不久的将来,也许人们能拥有一张像“居民身份证”那样权威、统一、普适性的“网络身份证”,互联网上的身份认证和个人隐私保护将会变得更简单、更安全。

身份认证,即:核实一个人是否是他/她所声称的那个身份,这一直是安全领域的关键问题之一。这里说的安全领域,不仅是网络或信息安全,也包括人 身安全、财产安全等多方面。身份认证也并不只存在IT系统中,每人的日常生活中都在自觉或不自觉地进行着身份认证的过程。下面举三个身份认证的例子。


第一个例子:我们到银行ATM机取钱,需要将银行卡插入ATM机,然后再输入正确的取款密码。为什么凭密码就可以取款?因为正常情况下,密码应该只有卡的主人知道,因此如果取款人输入了正确的密码,一般就可以证明该取款人为卡主,于是ATM机便将钞票放行。

第二个例子:我们在淘宝、京东等网站购物,时常会收到一条网站下发的短信验证码,需要将验证码输入到网页上才能进行登录或者支付。为什么要有这一个 步骤?因为我们最初在网站注册时,填入了自己的手机号码,这时就相当于将手机号与账号注册者的身份在网站上进行了绑定。在之后的购物过程中,系统下发的短 信验证码被正确输入到网站,就可以证明当前交易者是持有该手机号的人,即是账号注册者。

第三个例子:小明放学回到家,他妈妈给了他下个月的零花钱。为什么小明妈妈能够放心的给小明零花钱而不怕给错人?因为小明妈妈通过观察小明的容貌、 听小明说话的声音等等一系列行为特征,和自己记忆中的小明的特征进行比对,从而确定此人的确是自己的儿子(虽然大多数情况下,这种比对都是下意识的),这 才掏钱包给钱。如果是小刚到了小明家,小明妈妈不会以为他是小明而给钱,因为小刚的特征不与小明妈妈记忆中小明的特征吻合。

以上三个例子不仅说明了日常生活中我们遇到的身份认证的情况,同时,上面三个场景也分别使用了身份认证技术中的三个认证方式:基于知识的 (knowledge)、基于所有权的(ownership)和基于特征的(characteristic)。这三个认证方式也可以称之为“知道什么”、 “拥有什么”和“是什么”。

基于知识的认证方式,最常见的便是密码。上面的第一个例子就是采用此种方式。此种认证方式是三种认证方式中成本最低的,但是可靠性也最差,因为密码管理从来就是一个困难的问题:太长太复杂自己记不住,写下来容易泄密;太短太简单别人又容易猜到。

基于所有权的认证方式,常见的是工牌、令牌、钥匙等等。上面的第二个例子中的手机号码也是其中之一,因为如果不持有该手机号码,就无法接收到下发的短信验证码。

基于特征的认证方式,一般有指纹识别、虹膜识别等比较高大上的科技,所需的设备价格不菲。当然,第三个例子中的人工识别也是基于特征,这个的成本也 不小。因此,此种认证方式是三种认证方式中成本最高的,但是可靠性也是最好,因为所识别的指纹、虹膜等特征一般都是较持久且不易被复制冒用的。

身份认证中的三个认证方式各有优劣,如果需要更可靠的认证,又该怎么办呢?我们可以将几种方式结合起来,以提高身份认证的可靠性。采用至少两种认证 方式的认证过程,我们就称之为“强认证”或“多因素认证”。具体来讲,如果一个认证过程采用了三种认证方式中的任两种,我们就称之为“双因素认证”。同 理,“三因素认证”便是同时采用了三种认证方式。

上面的第一个例子中,ATM机其实不仅采用了密码这种基于知识的认证方式,也采用了基于所有权的认证方式——没有银行卡,有密码也没用。因 此,ATM机取款可以认为是采用了双因素认证。第二个例子同样采用了双因素认证,因为购物时先需要登录账号,输入密码才能登录,因此网上购物也同时采用了 基于所有权和基于知识的两种认证方式。在第三个例子中,如果妈妈不仅从小明的外貌、口音,也从他的穿着、书包等方面判断拿零花钱的是不是小明,那也是采用 了双因素认证(基于特征和基于所有权)。

  • 城市合伙人