Fido联盟：密码开始使我们失败

密码时代会过去吗？ 这就是贝宝（PayPal）首席安全官迈克尔·巴雷特（Michael Barrett）在本周于拉斯维加斯举行的Interop展览上最有趣的主题演讲之一中所预测的。

巴雷特说，自1961年以来，密码已被广泛使用，但是云服务的盛行使我们有太多需要密码的站点。 人们输入的密码太多，因此感到沮丧。 结果，他说：“密码开始使我们失败。”

当留给自己的设备使用时，用户将选择错误的密码，并在各处使用它们。 这意味着他们最重要的帐户的安全性将降低到他们使用该密码的最不安全的地方的安全性。 同时，云中包括GPU在内的廉价处理能力的可用性使人们更容易破解密码哈希。

他说，另一种选择是带有密码钥匙圈的两因素系统，这是“监管者的梦想，但用户的噩梦”，因为每个站点可能都有自己的安全令牌系统。

结果，我们还需要其他东西，这就是FIDO联盟的用武之地。用户需要既安全又容易的东西，Barrett说。 任何解决方案都必须提供更强的身份验证，但必须更易于使用，同时还要尊重人们的隐私。

该联盟已经运行了两年多，第一个这样的解决方案即将推出。

在今天的模型中，密码是在设备上输入的，然后通过设备传递到另一端的服务。 在FIDO模型中，用户通过少量设备进行身份验证，而是通过其设备进行身份验证。 然后，设备上的FIDO堆栈会知道如何进行身份验证以返回服务。 用于连接的信息可以存储在PC上的TPM芯片中，也可以存储在智能手机上的安全容器中。

要使用设备进行身份验证，可以使用指纹。 巴雷特建议，苹果可能会在今年晚些时候推出智能手机上的指纹识别器，随后将推出Android设备。 设备还可以使用“语音生物特征识别”（语音打印），眼睛识别或面部识别。 各个站点可以请求他们想要接受的一个或多个这些指示符。

为了使该计划生效，将需要两种设备都支持该标准以及接受FIDO身份验证的服务。 巴雷特说，贝宝（PayPal）正在成为FIDO支持的过程。 启用站点后，如果有FIDO客户端，它将被使用； 否则，它将被忽略。

尽管他认为密码已经用尽，但巴雷特承认，要真正开始被广泛采用，还需要几年的时间。 他说，可能性只有“ 50/50是否可以实现”。

但是，鉴于我们不断阅读的密码被黑客入侵的数量以及我们对当前密码的无奈之情，无可否认，我们中的许多人都想要更好的东西。