编译：对外经济贸易大学金融科技实验室
译者注
个体身份认证是现代化国家与现代性社会的基础。随着人类从线下到线上的迁徙，个体呈现出匿名化到实名化的变迁过程。在世界数字化转型的背景下，可信的数字身份成为经济与政治、企业与国家的共同目标。WEF的《无密码认证——安全数字化转型的下一个突破》报告便是从平台经济的角度，对这一问题开展的最新研究。
该报告开宗明义：身份验证是平台经济的关键，甚至可以说是第四次工业革命的支柱。从需要进行身份验证的机器到机器通信的物联网（IoT）设备，再到将被用于保护和绕过身份验证系统的人工智能和区块链，可信赖的身份验证均是其关键，而其验证又严重依赖于密码。但是，对密码的依赖和使用破坏了用户体验，不仅如此，密码事实上并不能确保安全。绝大多数数据泄露源于身份验证密码薄弱或被盗。为了促进平台经济发展，同时解决密码管理、安全和欺诈风险日益增加的成本问题，需要鼓励开发新的身份验证方法，以削弱我们对密码技术的依赖。
为此，该报告引入了五种无密码身份验证的技术。这种方法给攻击者在可预见的将来提供更高的安全保障。同时，它极大改善了用户体验，大幅降低了密码管理、数据泄露的风险。并且，其支持互操作性，释放企业内部、企业之间以及公共服务的价值，同时支持为获得平台化价值而进行的数字转型。最后，无密码身份验证更加安全。它消除了从凭证信息获取到网络钓鱼攻击的一长串攻击媒介，并使用户重新获得控制权。
——对外经贸大学金融科技实验室
目录
前 言
介 绍
1.为什么认证是数字化转型的基石？
1.1身份验证实践的演变
1.2身份验证是数字业务的关键推动力
1.3平台企业改变了身份验证的格局
2.面向未来的身份验证框架的组成部分是什么？
2.1安全
2.2隐私
2.3可持续发展
2.4包容性
2.5可扩展性
2.6用户体验
3.为什么现在要进行无密码身份验证？
3.1更高的收入，更低的成本
3.2更好的用户体验
3.3互操作性释放价值
3.4密码更少，安全性更高
4.今天如何过渡到无密码身份验证
4.1使用面部生物识别技术进行身份验证
4.2硬件密钥提供额外的安全性
4.3使用QR码认证的用户体验至上
4.4行为分析无缝认证
4.5具有零知识证明的密码更少
结 论
贡献者
尾 注
前言
全球十家最有价值的公司中有七家是平台企业。在各行各业中，全球化公司已经证明数字平台可帮助我们所有人参与互联经济，抓住商机并最终获得竞争优势。因此，首席执行官们（CEO）正在构建或购买平台以实现其数字化转型的目标也就不足为奇了。
身份验证是平台企业安全进行数字化转换的基石，此外，还是第四次工业革命的支柱：从需要进行身份验证的机器到机器通信的物联网（IoT）设备，再到将被用于保护和绕过身份验证系统的人工智能（AI），甚至是区块链系统，对于这些系统，可信赖的身份验证是大规模采用该密钥的关键。
但是，一个关键问题阻碍了继续使用密码作为身份验证的主要手段的持续发展。对密码的依赖和使用破坏了用户体验，正成为最重要的品牌差异化因素之一。而且，自相矛盾的是密码实际上非常难以确保安全：一方面，用户不断重复使用密码；另一方面，公司难以安全地处理和存储密码。绝大多数数据泄露源于身份验证凭证薄弱或被盗。如今，伪造凭证攻击（即利用被盗凭证的攻击）非常普遍，主要零售网站上90％以上的登录尝试都是恶意的，平均成功率约为1％。对于高价值目标，甚至使用被盗凭证进行手动欺诈攻击的现象也在增加。密码不能提供足够的保护。最重要的是，密码每年给公司造成数百万美元的损失，不仅在缓解数据泄露方面，同时也在密码管理成本方面。
为了促进平台经济发展，同时解决密码管理、安全和欺诈风险日益增加的成本问题，需要鼓励开发新的身份验证方法，以消除我们对仅使用密码技术的依赖。但是，要实现这一点需要做些什么呢？在过渡期内以及其后，将面临哪些风险、权衡、成本和挑战？
本白皮书介绍了无密码身份验证的四个理由。首先，它极大地改善了用户体验。其次，它大大降低了与密码管理和数据泄露相关的成本。第三，它支持互操作性，释放企业内部和企业之间以及公共服务的价值，同时支持为获得平台经济利益而进行的数字化转型工作。最后，无密码身份验证更加安全。它消除了从凭证信息获取到网络钓鱼攻击的一长串攻击媒介，并使用户重新获得控制权。
身份验证比密码要宽泛得多。它是数字信任的基础，是数字经济和第四次工业革命中网络安全的助力者：简而言之，身份验证是未来的关键推动者。
介绍
使用密码进行验证会迫使用户创建和存储由字母，数字，符号和大小写组成的复杂混合体；经常性地更改密码；并尽量避免在各个帐户之间重复使用密码。用户必须管理至少25至多85个密码[Anywherefrom to是指一个范围里的任何一个]，他们需要管理的信息和工具正呈爆炸性增长。想要简单有效地登录数字工具，用户正面临着越来越大的挑战，因此倾向于重复使用相同密码。
密码确实是数据泄露问题的核心。根据2019年Varizon发布的数据泄露调查报告，与黑客相关的数据泄露中有80％与密码薄弱有关，所有数据泄露中有29％涉及使用被盗密码。这种攻击促进了地下经济的蓬勃发展，地下经济又进一步加剧了数据泄露的问题。
随着公司对平台业务越来越多地推动业务估值和业务增长，数字信任问题也在迅速增长，并且打击了整个线上社区的信心。个人对过多地提供个人信息持谨慎态度；合作伙伴担心丢失机密信息和业务流程；当系统和客户受到损害时，全球企业会承担声誉和收入受损的风险。
身份验证必须是用户体验的一个组成部分，这不仅是用技术来回答的问题，它还与系统设计的思路有关。用户体验已经成为强大的竞争优势，成为向无密码技术过渡的主要动力。身份认证应该整体设计，利用开放标准来确保公司内部和外部的互操作性，并以适应性、安全性和隐私意识为构建基础，建立用户信任度，更好地服务，从而成功地通过时间的考验。为什么？为了繁荣与安全相辅相成。
本文的第一部分阐明了身份验证在数字转换工作中的重要性，以支持政府和商业领导人构建其身份验证方式。第二部分介绍了将来身份验证系统的框架，第三部分介绍了无密码验证的案例。本文最后列出了可供使用的五种关键无密码技术。
适应性的重要性值得反复强调：增强安全性是一个持续过程，没有捷径。网络罪犯会适应和发展新的攻击手段，但此处介绍的替代身份验证机制给他们带来了更高的难度，并在可预见的将来提供了更高的安全性。
1.为什么认证是数字化转型的基石？
1.1身份验证实践的演变
身份验证一直是生活的重要需求。动物和人类使用其五种感官相互“认证”对方。
在数字世界中，身份验证是一种过程，通过该过程可以确定提出保护数字身份的身份验证者与最初建立身份是同一实体。
身份验证与身份识别密切相关，并且通常通过身份识别，在给定人群或环境中确认或识别特定人或事物。它通常通过身份验证进行，以验证实体的属性，例如名称、生日、指纹或虹膜扫描。
虽然身份标识和身份验证都很重要，但本白皮书重点关注后者。
随着人类面临的威胁越来越复杂，身份验证方法也变得越来越复杂。考虑到敌人可能会打扮成他们中的一员，罗马卫兵是第一批在夜间换班时使用一个共享的秘密（口令）的人。他们实际上使用了三种类型的身份验证要素，这些要素至今仍构成身份验证的基础
–类型1：我们所知道的东西，例如口令、密码或个人识别码。
–类型2：我们的所有物，例如警卫制服、信用卡或手机。
–类型3：我们自身与生俱来的特征，例如我们的身高、面容、指纹或DNA。
如今，越来越多的安全公司引入了额外的因素来补充这三个因素，但这些因素不能单独使用，可以利用基于行为的信息(见第19页)、或者地理位置、甚至用户的个人关系都可以进一步提高结果的准确性。这有一个很值得强调的重要问题：即身份验证不一定是绝对的，它只需要足够好以达到身份验证目的即可。有时候，达到99.99%的认证准确率比达到100%的认证准确率性价比要高，毕竟所有生物识别都有一个假正率。
确保身份验证过程的安全也变得越来越复杂。安全是一个不断演变的过程，在这个猫捉老鼠的游戏中，攻击者和防御者都试图智胜对方。这一范式在数千年的军事历史中一直适用，即使随着信息技术的不断进步，它也不太可能改变。如果说有什么变化的话，那就是科技将使这些变化变得更频繁、更具破坏性。最为直接的结果是，过去几个世纪的军事理论中出现了另一种概念方法:纵深防御。
深度防御是建立在这样一种观点的基础上：要么采取多种安全措施来防御最熟练的攻击者，要么给防御者足够的时间作出反应。这种方法在中世纪被用来保护城堡，至今仍被用来保护计算机网络和核电站。
出于身份验证的目的，这意味着需要组合多种类型的身份验证因素。这就是为什么几个在线支付系统需要密码和短信发送的临时代码：密码是类型1的身份验证因素，短信是类型2，假设它是由属于要身份验证的人的移动电话接收的。
尽管如此，纵深防御的概念依赖于这样一个前提，即每一项安全措施都会增加另一种措施安全程度，并且专家们早就指出，基于短信的双重身份验证可以很容易地被破解。
由于数据泄漏中大量密码泄露、计算能力的提高（允许猜测散列密码）以及密码猜测尝试的自动化，密码的使用指数增长已经导致了其健壮性的指数级稀释。
攻击者可以推断密码、窃取密码、暴力破解密码，第一类认证因素已经成为了一堵纸墙。因此，解决方案依赖于综合因素，并且最有可能在未来几年内使用：即类型2+类型3因素。
无密码身份验证（即2/3类型身份验证）实际上仅在最近几年才合并。
密码安全的悠久历史：
公元前11世纪以法雷语测试词
2世纪的布科尔曼守卫口令
18世纪《阿里巴巴与四十大盗》中的“芝麻开门”
1961年，密码被引入计算机安全
1974年First散列密码在Unix操作系统
1994年的数据加密标准
1998年高级加密标准
1998年硬件一次性密码(OTP)
2000年全自动公共图灵测试区分计算机和人类(验证码)
2003年短信二级认证(2FA)
2011年基于时间的OTP
2012年FIDO联盟创建
2013年基于智能手机的指纹认证
2016年短信2FA被宣布不适合使用
2017年智能手机人脸识别
2019年WebAuthn无密码认证标准
1.2身份验证是数字业务的关键推动力
根据《世界经济论坛2019年全球风险报告》的调查，网络安全与气候变化一起位居全球五大风险之列。因此，降低网络风险应该成为企业领导人的首要任务。在平台时代，这要从有效的身份验证开始。
过时的身份验证系统是复杂性的来源，是安全性的已知敌人。复杂性导致了盲点和漏洞，黑客利用这些盲点和漏洞访问公司网络的核心部分。一旦进入，他们可以窃取公司机密信息和个人客户数据，对文件进行加密，索要赎金，发现有关公司的详细信息，并利用这些信息敲诈高管，或利用非法渠道散布全国性的不信任。
平台的本质意味着一个盲点可能会对数以百万计的用户产生影响。
现代的身份验证系统不仅仅是从安全角度来看是必不可少的，而且它是关键的数字驱动器。它使移动性更加无缝，减少了用户摩擦，从而改善了客户和员工的体验。它提高了运营效率并提高了法规遵从性。值得注意的是，身份验证是IAM（身份和访问管理）系统的组成部分之一。筒仓会增加身份盗用和漏洞的风险。
1.3 平台企业改变了身份验证的格局
平台经济正在改变许多公司与客户互动的方式。尽管企业历来都是“由内而外”运营的，即先开发产品和服务然后再尝试营销，但平台企业本质上就是“由外而内”的，先听从市场的声音，然后再开发产品或解决方案。基于密码的消费者身份验证是“由内而外”趋势的遗留问题:身份验证解决方案最初是为雇员设计的，在这种情况下，用户遇到麻烦不是主要问题。如今，消费者行为决定了身份验证解决方案的外观。
密码迫使用户创建和记忆字母、数字、符号和大小写的复杂组合;经常更换;并尽量不重复使用他们的帐户。不同在线服务之间的密码规则差异进一步加剧了这种混乱。
大量的研究和积累的公司经验证明，个人并不以这种方式思考或采取行动。因此，他们反复使用相同的密码，这也是密码成为数据泄露问题核心的原因之一。
尽管采用平台业务正日益推动企业估值和增长，但数字化不信任感日益加剧，侵蚀了整个在线社区的信心：用户对透露过多个人信息持谨慎态度;平台担心个人身份信息的丢失，全球企业面临罚款和声誉及收入损失的风险。
引领平台经济的服务提供商陷入了困境。其中包括针对自己的数字社区生态系统的平台的创建者，以及云、移动以及其他技术和基础架构提供商。
这些正是最有可能打破僵局并引导（而不是滞后）为平台经济提供更强大、更简单的身份验证的用户身份验证重新设计的组织。
IAM投资的主要推动力
合规性
·360用户访问和活动视图
·合规性驱动的报告和用户访问认证
·保护敏感信息资产
运营效率
·自动配置和密码管理功能
·闭环认证和补救
·简化的身份生命周期流程（即，加入者，迁移者，离开者）
云
·云资源的访问治理
流动性
·提高生产力和可访问性
·支持BYO和CYO计划设备独立的单用户视图
数字化转型
·侦探性和预防性政策执行
·发现和补救流氓/孤儿/特权帐户
·减轻与BYOD，云和SaaS采用相关的风险
合并、收购和资产剥离
·在人员流失率较高的时期改善访问并降低风险
风险管理
·改善客户体验
·安全性，偏好和隐私管理
2.未来身份验证框架的组成部分是什么？
安全技术往往周期很短，并且发展迅速。无论是运营一年还是十年或更长时间，网络犯罪分子通常都善于寻找规避安全控制措施的方法。身份验证技术也不例外。因此，制定长期安全策略至关重要。
虽然早就应该放弃“私密问题”身份验证方式，并且无密码身份验证是今后的发展方向，原因将在下一节中说明，但在构建能够通过时间考验的身份验证程序时，应考虑六个原则：安全性、隐私性、可持续性，包容性，可扩展性和用户体验。
2.1安全性
在制定身份验证系统策略时，从逻辑上讲安全性是第一位的。身份验证系统的安全性将基于多种考虑，从与其他解决方案相比形成相对优势，到针对已知威胁和系统所面临的新威胁的生存期，以及其解决和引入的硬件和软件漏洞。
身份验证系统的安全性还取决于其在减少欺诈和风险方面的效率，以及其通过记录日志所体现出的可靠性。
–身份验证解决方案是否可以抵御最常见的网络攻击？
–平台或最终用户在使用时面临的风险是什么？剩余风险的可接受程度如何？
–解决方案引入了哪些将来可能会被利用新漏洞？
–解决方案是否符合每个认证方的当前标准？
–解决方案在欺诈检测中的有效性如何？
–解决方案的完整性如何？
–解决方案是否在整个生命周期（包括授权后）提供连续认证？
2.2隐私性
密码已成为众多数据泄露的根源，对全球隐私产生了负面影响。面向未来的身份验证技术应谨记确保隐私所需的各种法规和文化因素，为全球所接受，确保其与最严格的认证技术兼容。尽管部分身份验证解决方案可能属于隐私增强技术的范畴，但不代表全部。
–私人数据如何存储和传输？是否在用户或服务器端执行身份验证？
–如果存储了私有数据，是将其存储在中央数据库还是分布式数据库中？
–解决方案是否一体化或具有统一管理功能？
–解决方案是否为用户提供关于共享多少数据的选择？
–解决方案是否提供增强隐私的功能？
–解决方案的隐私状态将如何影响公司的声誉？
–如果发生违规，解决方案是否为用户提供了实时通知的机会？
2.3可持续性
可持续性是确认技术选择符合长期愿景战略的另一个关键要素。过渡到无密码身份验证可以降低成本并增加收入（请参阅第13页），但是实际的购置成本是多少？对于某些公司而言，其IT系统的庞大规模可能需要分阶段进行，这又需要新的和旧的身份验证解决方案共存。同样，身份验证技术与身份验证和访问管理紧密相关：确保身份验证和认证系统兼容也是取得持久优势的关键。最后，必须考虑身份验证系统的外部性：与其他解决方案相比，负面影响是什么，它会产生多少电力和网络活动等？
–实施和维护解决方案费用是多少？
–实际的投资回报是多少？
–解决方案与旧系统的兼容性如何？
–解决方案如何与公司的身份验证和访问管理框架整合？
–解决方案如何整合或允许内置的欺诈检测功能？
–从环境的角度来看，解决方案的次要影响是什么，例如向员工传送数千个安全密钥？
2.4包容性
身份验证系统是数字服务的切入点，因此确保其具有包容性（而不是歧视性）对于平台企业至关重要。这种系统应努力避免任何形式的歧视，无论是由于年龄、文化、残疾、语言、姓名、国籍、医疗条件、出身、宗教信仰、性取向和肤色等等。例如：身份验证技术越来越多地使用人工智能。向在线服务提供认证时，机器学习算法会带来了哪些偏见，从而可能会造成对某些人群的歧视？世界经济论坛牵头研究了关于这些主题的项目，特别是人工智能中的伦理学和面部识别技术的责任限制。
–不考虑用户的财务水平，用户认证的通用性如何？
–身份验证系统在多大程度上歧视某些用户？
–人工智能的潜在用途在认证解决方案中引入了哪些偏见(如果有的话)？
2.5可扩展性
平台经济需要规模化的解决方案。员工和终端用户将越来越多地跨越不同平台进行身份验证。因此，从规模化的角度考虑身份验证解决方案至关重要：平台达到临界量并开始产生网络效应，增长可能是指数级的。认证系统的性能目标需要提前很长时间进行规划，尤其是围绕可靠性和可用性。同样，解决方案的“增长潜力”在随后的阶段也很重要：例如，现成的解决方案可能无法满足运营多个IT环境的大型公司所需的预期定制水平。
–解决方案在纵向，地理位置和人口统计方面进行扩展的灵活性如何？
–整合新型身份验证器的灵活性如何？
–企业管理解决方案的易操作性如何？
–在高需求的情况下，解决方案的最优性如何？
–解决方案的错误率是多少？
–解决方案采用什么样的连续性和恢复策略？
–解决方案的可互操作性如何，它在多大程度上建立在现有标准之上？
2.6用户体验
用户体验不再是一个可有可无、有则更好的选择，它已成为一个关键的差异因素：用户体验的质量决定了用户的选择、偏好和行为。因此，未来的身份验证应努力提供无缝的用户体验以确保适用。
–安装和操作解决方案易操作性如何？
–解决方案如何鼓励用户采用？
–解决方案是否根据用户偏好提供身份验证系统的选择？
–解决方案是否能够始终如一地覆盖所有客户渠道？
–管理解决方案困难程度如何？
–解决方案的便利性、普遍性和可移植性如何？
3.为什么现在要进行无密码身份验证？
尽管制定长期认证策略至关重要，但是专家们认为，下一个数字突破将是无密码身份验证，这主要是出于安全原因，但原因不仅限于此。
与传统的基于个人信息的验证方式（KBA）相比，无密码身份验证具有四个关键优势。首先，无密码身份验证从经济性上讲是有意义的：它增加了收入，降低了成本。其次，从客户的角度来讲这种验证方式是有意义的，因为它提供了更好的用户体验。第三，从战略的角度来看，它可以通过从互操作性中释放价值来帮助重新定义竞争。第四，正如已经提到的，它大大提高了安全性。
3.1 更高的收入，更低的成本
网络安全在传统上被视为支出成本的领域，因此经济上的考量或许是公司应该考虑过渡到无密码身份验证的最显著的原因。无密码身份验证不仅可以降低与密码管理和数据泄露相关的成本，而且实际上还可以通过提高生产力和客户评级来提高收入。
提高员工生产力和客户评级带来的更高收入
根据最近的一项调查显示，全球员工平均每年花费11个小时输入或重置密码。对于平均拥有15,000名员工的公司，这直接导致生产力损失520万美元。过渡到无密码的生态系统会产生一定的成本，但仅通过提高生产力就可以迅速抵消这些成本。
使用FIDO Alliance开发的标准（该标准允许大部分身份验证在用户端执行），密码管理得到了显着简化。系统管理员和呼叫中心运营商将拥有与员工和客户联系的更好的体验，这将间接改善公司的声誉和客户评级。
一家美国金融软件公司已能够将其认证成功率提高到99.9％，并将登录时间减少了78％。由于其更简便的用户体验，该公司还能够引入其他安全功能，从而缩短了身份验证令牌的寿命并大大减少了潜在的攻击面。
数据泄露防控的成本降低
80%数据泄露事件涉及弱密码或被盗密码，29%的网络攻击利用的是后者。2019年，全球数据[应该是指打击数据泄露的成本吧]泄露的平均成本为392万美元，比上年增长1.5％。没有密码可以推断或窃取严重阻碍了罪犯访问和窃取数据的能力。甚至密码散列对犯罪分子也很有用，在没有认证服务器强加限制的情况下，他们可以对其进行暴力破解。从风险管理的角度，这意味着过渡到无密码身份验证将使公司可以把数据泄露风险相关的预算削减4/5。这立即转化为较低的网络保险费。
密码重置费用节省
对于IT部门和呼叫中心，公司平均花费2.5个月来重置内部密码。IT服务台所有呼叫中，20％至50％与密码重置有关，单个重置的成本估计在30到70.18美元之间。LastPass是一家著名的密码安全公司，估计公司平均每年花费100万美元在密码帮助服务台的工作人员配置上，来处理密码重置问题。
一家《财富》500强的美国健康保险企业于2018年过渡到无密码身份验证。在这种类型的部门中，用户间歇性地登录关键服务。因此，在客户重新注册期间，密码重置和服务台拥塞十分普遍。这种类型的商业模式和用户体验会导致成本激增，并降低整体认证频率。
3.2 更好的用户体验
便捷，无缝的用户体验对于广泛接受和使用身份验证至关重要。
体验经济
体验日益比价格更为重要。86%的客户确实愿意为更人性化的体验付费。这意味着，如果平台的身份验证体验不佳，则某些客户将更喜欢服务质量较差但身份验证体验更好的平台。
无密码身份验证是无缝的。它模仿了人类几千年来彼此认可的方式：通过寻找具有识别性的财产或个人特征（例如制服，身高或体形）来进行认证。
换句话说，无密码身份验证正在成为一种竞争优势，也是数字化转型领导者的关键考虑因素。它是在线服务的入口。
Google员工使用基于FIDO的安全密钥进行内部身份验证。使用安全密钥进行身份验证的总时间减少了近三分之二。最重要的是，认证失败为零。对他们身份检查的时间段进行研究，发现基于OTP[OTP指一次性验证，只能用于某一次登入的身份验证。也称为动态密码。]的身份验证的失败率为3%。
从用户体验的角度来看，还有许多其他好处，最显着的影响是，在切换到安全密钥后，没有任何员工帐户遭受网络钓鱼攻击。
用户不太可能尝试规避安全措施
当用户被迫记忆100多个证明信息和密码时，他们自然会寻找办法减轻负担，比如重复使用密码，选择弱密码，或者在手机、电子邮件地址或键盘下方记录密码。更好的用户体验意味着身份验证系统能够得到合其初衷的适用：减少规则数量，提高用户认可度，进而反过来提高安全性。
普遍性
无密码身份验证以客户为中心。利用快速便捷的解决方案，依靠许多人每天使用的相同设备（例如智能手机），无密码验证技术可以在任何地方适用。
3.3 互操作性释放价值
互操作性允许可扩展性
标准使互操作性成为可能。FIDO联盟是一个开放式行业协会，也是著名的无密码倡导者，其已为在线和移动服务的无密码认证创建了开放标准。它最流行的标准“FIDO2”是由万维网联盟（W3C）开发的，并于2019年3月成为Web标准。
这种身份验证利用了公共密钥加密技术，即可以与任何人共享的公共密钥。所有者在其设备（例如手机，计算机或安全密钥）上的“身份验证器”中安全地持有的关联私钥。
当用户向支持FIDO的站点进行身份验证时，可以通过简单的操作（例如扫描指纹或触摸安全设备）来验证其身份或存在。网站和用户的身份验证器之间进行“询问-响应”，以验证用户是否拥有正确的私钥。每个服务使用唯一一对密钥，并且私钥永远不会离开用户的设备。
每个服务使用一个唯一密钥对，并且私钥永远不会离开用户的设备。
所有领先的网络浏览器均支持FIDO2，使其在现代设备上的普及几乎无处不在。
登录步骤：
1.在线服务要求用户使用以前注册的设备登录
2.用户使用与注册时相同的方法解锁FIDO身份验证器
3.设备使用服务提供的用户帐户标识，选择正确的密钥并签署服务发出的询问
4.客户端设备将签名的询问发送回服务，服务使用存储的公钥验证该询问并登录用户
互操作性提供了选择
采用基于标准的方法意味着执行工作已经大部分完成，服务提供商可以更快地入门无密码身份认证。服务和技术提供商可以按照通用标准开发解决方案-包括Web开发人员可以轻松利用的公共API[应用程序编程接口]，从而消除了对密码的依赖。FIDO通过已建立的认证程序实现互操作性，该程序见证了650多种产品完成了一致性和互操作性测试。
尽管标准可以为采用无密码技术提供可扩展的框架，但是还有许多其他流程可以帮助实现企业环境内的快速实施。这些流程包括供应商评估，用户体验建设，内部用户教育，路线图以及从现有解决方案和调整到改善登录流程的迁移。
随着在线服务成为公民与其政府之间互动的主要方式，公共部门也在大力投资数字项目。政府数字服务的安全性是一个主要问题，正促使许多公共机构重新审视其国家身份认证方案。GOV.UK Vertify是英国公民和居民获得政府线上服务的方式。它建立在一个以标准和指导文件为基础的信任框架之上，这些标准和指导文件确定了参与框架的规则。身份验证和证明信息管理的良好实践概括体现了对GOV.UK Vertify身份信息提供者关于用户身份验证的要求。相关要求包括有关使用行业标准的建议，这些建议适用于保护对在线服务（例如FIDO技术详述和认证）的访问。此类指导旨在同时满足国家的要求和在国际上可无操作的要求。
互操作性打开进入新市场的大门
互操作性使新用户可以访问某些服务，它允许现有用户进行更多交易，还允许数字服务为他们的用户提供新的交易方式。公开标准大大缩短了开发时间，并提供了进入正在采用已认证解决方案的新市场的机会。它允许国际兼容性和扩展。
GDPR等法规会影响为欧洲用户服务的企业，无论企业本身在何处注册。无密码身份验证使遵守此类国际法规变得更加容易，这是在不同地区扩展数字业务的关键。
3.4 密码更少，安全性更高
企业通常会在平衡安全性和易用性之间做出权衡。如前所述，无密码解决方案可增强用户体验，但是这样做会牺牲安全性吗？
减少企业的攻击界面
当公司过渡到无密码解决方案时，它们遭受数据泄露的风险会大大减少。与将客户密码存储在服务器上的公司相反，无密码解决方案不需要出于身份验证目的而存储任何个人信息。
在用户侧实施身份验证程序，不会在互联网上传输任何个人信息，从而使中间人攻击实际上变得不可能。
身份验证数据（例如用户的生物特征）保存在用户设备上，网络罪犯就没有任何收集点可以用来获取客户的生物特征数据集：该数据集不存在。结果，在线欺诈和身份盗用的风险概率大大降低了。当然，也存在不利的一面：如果用户丢失他们的身份验证器（例如身份验证器与物理设备绑定在一起），则重置访问权限比密码重置更为麻烦。
更好的终端用户安全性
随着犯罪分子和计算机在窃取和猜测密码方面变得更加有效，密码安全[确实有password hygiene这种说法，但是没有检索到“密码卫生”这类翻译方式，还是暂时使用密码安全更易于理解]规则也在飞速发展。认识到这些规则难以执行，最近专家呼吁简化密码管理协议，这使事件达到转折点。使用无密码的身份验证解决方案，没有任何密码可供网络罪犯从平台服务器中窃取，没有公司储存的信息可能被黑客利用来推断或暴力破解密码。因此，可以更好地保护用户。
隐式多因素身份验证
大多数无密码身份验证都同时利用生物特征以及特定的设备或应用程序——与用户绑定的身份验证器：这是两个不同的身份验证因素，它们提供的保证比单个共享机密要强得多。例如，与输入密码后SMS发送的一次性密码不同，无密码身份验证解决方案是无摩擦的，因此比以往任何时候都更快地促进了多因素身份验证的采用。
这是网络犯罪经济的障碍
银行或Uber账户的登入证明信息在暗网上以7美元甚至更低的价格出售。对于要出售其登入证明信息的用户来说，无密码登入是一个问题，但另一个问题是，此类交易产生的收入助长了网络犯罪和恐怖活动。因此，替换密码会增加有组织犯罪集团的成本，影响地下网络犯罪经济，降低其利润，打压实施网络犯罪的动机。
4.如何过渡到无密码身份验证
有许多技术可以替换密码。这些技术各自都有优点和缺点，这取决于使用它们的组织自身的环境、原来的系统和目标等。以下清单包含世界经济论坛过去几年使用的一些技术。
4.1 使用面部生物识别技术进行身份验证
智能手机相机和机器学习模型的最新技术进步意味着现在面部识别和文档扫描可以用于远程大规模验证人员。简而言之，在在线服务上创建新帐户时，用户会为拍摄其政府ID，应用程序将图片与拍照者进行比较。通过使用面部生物特征进行认证，用户不再需要将密码与其帐户关联。
4.2 硬件密钥提供额外的安全性
在最近的一项研究评估中，Google将密码身份验证的标准与安全密钥，基于智能手机的一次性密码（OTP）生成器以及通过SMS进行的两步验证（2SV）进行了比较。虽然没有选择是完美的，任何形式的2SV都比没有更好，但是Google发现安全密钥提供了最强的安全性，同时还提供了可用性和可部署性的最佳组合。
安全密钥的形式多种多样，它们可以是驻留在用户钥匙串中的小型USB，NFC或蓝牙设备，也可以内置在用户手机中，在用户需要登录新设备时进行安全身份验证。此处的共同要素是，进行身份验证时，设备必须同时于物理上于本地存在。
4.3 使用QR码认证的用户体验至上
复杂的动态QR代码也可以用于无需密码的身份验证。登录的用户使用智能设备扫描QR码，将会话绑定到他们的用户身份。然后确认消息会显示在设备上的应用程序中，以验证身份验证，从而触发生物识别扫描，以确认用户就是他们所说的身份。然后，将经过身份验证的会话传递给依赖方，用户进而成功登录。
动态QR码扫描具有许多优点，例如可以防止会话劫持或会话重播攻击。由于该代码具有动态效果，独特且寿命很短，因此它为绑定会话提供了一种安全的方法进行身份验证，同时提供无缝的体验，无需在设备之间进行复杂的配对。
4.4 行为分析无缝认证
行为身份验证使用不可识别但对于个人而言独特的因素来确认身份。用户可能看不到密码登录，但是他们将在后台使用各种因素进行身份验证，例如从鼠标移动到打字速度和习惯，登录历史记录，网络详细信息（例如IP地址），使用的浏览器等不可识别的行为属性。尽管这些无法识别的因素中的单独一个都不足以验证身份，但是当它们组合成一个安全网格时，身份验证既安全又不可见。
所有这些因素都可以整合到一个大数据集中，并应用人工智能和机器学习技术来分析合法用户，并准确区分犯罪分子和欺诈性身份验证，无论提供的证书如何。
4.5 具有零知识证明的密码更少
零知识证明（ZKP）是一种质询/响应身份验证协议，其中要求各方提供其机密信息的正确性，但又不泄露这些机密信息。它允许用户进行身份验证，其方式使密码永远不会离开用户设备或浏览器。简而言之，ZKP身份验证过程可以将密码转换为复杂且唯一的抽象字符串，例如具有完全随机模式的魔方。该抽象形式被传输到服务器并存储。这种方式的挑战在于，通过生成与双方魔方向匹配的一系列随机序列，来证明客户端上的魔方多维数据集与服务器上的多维数据集相同。
这样，整个模式就永远不会转移，但是您仍然有高度可能性证明两个模式是相同的。主要优点之一是验证者无法从身份验证过程中了解任何信息。
ZKP技术可以消除私人用户数据在验证或身份确认过程中的暴露问题。它甚至可以用于验证之外，从而允许用户回收和控制其数字身份的使用。
结论
迄今为止，身份验证解决方案主要是基于对个人信息的、依靠单一因素的方案，导致了无数问题，问题包括客户流失、声誉损失、服务台人员配备和数据泄露的高额费用。对于渴望过渡到新数字时代的公司，超越密码应该是一个短期目标。
企业正在意识到在寻求利用平台经济机会的过程中，认证是要走的第一步。作为与客户的首次接触，认证是体验的关键，也是第四次工业革命中的竞争优势。
但是，无密码身份验证所能提供不仅仅是用户体验。新的互联网标准以低廉的成本为平台企业提供了无处不在的身份验证，从而实现了跨平台的互操作性和跨国扩展，同时在安全方面的表现要好得多。
如果确实要进行无密码身份验证，那么它本身并不是目的。犯罪分子会适应新环境，而安全控制往往是短暂的。这就是为什么健全的身份验证系统应该建立在长期愿景之上，以促进安全性、隐私性、可持续性、用户体验、可伸缩性和包容性。
身份验证的未来将引领人们走上许多道路，我们只是开始探索一些路径，例如基于区块链的自我主权身份和零信任网络。但是，平台企业着手进行的新旅程正在逐渐抛弃密码。
声明：本文来自数字经济与社会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
