一直以來(lái)，密碼都是維護(hù)計(jì)算機(jī)安全的核心技術(shù)和黃金標(biāo)準(zhǔn)。
密碼算法和協(xié)議作為解決人、機(jī)、物的身份標(biāo)識(shí)，身份鑒別，統(tǒng)一管理，信任傳遞和行為審計(jì)問(wèn)題，是實(shí)現(xiàn)安全可信、可控的互聯(lián)互通的核心技術(shù)手段。
也正因如此，針對(duì)密碼的網(wǎng)絡(luò)攻擊從未止息，甚至呈現(xiàn)愈演愈烈之勢(shì)。
2020年1月1日正式實(shí)施的《中華人民共和國(guó)密碼法》將密碼分為核心密碼、普通密碼和商用密碼。其中商用密碼用于保護(hù)不屬于國(guó)家秘密的信息。本文討論的密碼主要指商用密碼。
密碼發(fā)展的“冰火兩重天”
隨著新技術(shù)新應(yīng)用的迅速發(fā)展，密碼作為網(wǎng)絡(luò)安全基石，在相關(guān)技術(shù)、標(biāo)準(zhǔn)、應(yīng)用等方面也得到了快速發(fā)展。
近期，中國(guó)軟件評(píng)測(cè)中心、中國(guó)計(jì)算機(jī)行業(yè)協(xié)會(huì)數(shù)據(jù)安全專(zhuān)業(yè)委員會(huì)編制并發(fā)布《商用密碼應(yīng)用安全性評(píng)估白皮書(shū)（2021年）》（以下簡(jiǎn)稱(chēng)《白皮書(shū)》）。
《白皮書(shū)》指出，近年來(lái)我國(guó)密碼算法設(shè)計(jì)分析能力達(dá)到國(guó)際先進(jìn)水平，我國(guó)自主設(shè)計(jì)的ZUC序列密碼、SM2公鑰密碼、SM3雜湊密碼、SM4對(duì)稱(chēng)密碼、SM9標(biāo)識(shí)密碼等商用密碼算法已成為國(guó)際標(biāo)準(zhǔn)，這些標(biāo)準(zhǔn)覆蓋了密碼算法、產(chǎn)品、技術(shù)、檢測(cè)、應(yīng)用等多個(gè)方面，我國(guó)密碼標(biāo)準(zhǔn)體系正日益完善。
在產(chǎn)業(yè)側(cè)，《2020—2021中國(guó)商用密碼產(chǎn)業(yè)發(fā)展報(bào)告》顯示，2020年我國(guó)商用密碼產(chǎn)業(yè)規(guī)模突破466億元，同比增速超33%。
在行業(yè)應(yīng)用方面，密碼技術(shù)和產(chǎn)品已廣泛應(yīng)用在通信、金融、教育、醫(yī)療健康、交通、能源、國(guó)防工業(yè)等領(lǐng)域。
例如，在物聯(lián)網(wǎng)應(yīng)用場(chǎng)景中，傳統(tǒng)身份認(rèn)證方式許多都是采用普通的口令認(rèn)證，密鑰強(qiáng)度低，安全隱患突出。
目前許多專(zhuān)業(yè)安全廠(chǎng)商提供基于商用密碼的物聯(lián)網(wǎng)安全解決方案，覆蓋云管端三個(gè)層面，實(shí)現(xiàn)密鑰安全分發(fā)、身份認(rèn)證、數(shù)據(jù)加密/簽名等安全服務(wù)。
商用密碼在物聯(lián)網(wǎng)領(lǐng)域的應(yīng)用視圖
（來(lái)源：中國(guó)軟件評(píng)測(cè)中心網(wǎng)絡(luò)空間安全測(cè)評(píng)
工程技術(shù)中心）
電信和互聯(lián)網(wǎng)行業(yè)歷來(lái)是數(shù)字化進(jìn)程的先驅(qū)，商用密碼在護(hù)航行業(yè)數(shù)字化發(fā)展，保障用戶(hù)數(shù)據(jù)安全過(guò)程中發(fā)揮著重要作用。
例如，中國(guó)電信提出“商密云”，采用商密云存儲(chǔ)系統(tǒng)的“云+端”架構(gòu)，實(shí)現(xiàn)商用密碼技術(shù)和云存儲(chǔ)技術(shù)的融合。
此外，商用密碼在云平臺(tái)運(yùn)維系統(tǒng)中也發(fā)揮了重要作用，諸如在某運(yùn)營(yíng)商機(jī)房之間通過(guò)專(zhuān)線(xiàn)連接，VPN專(zhuān)線(xiàn)采用用戶(hù)名+PIN+Ukey方式進(jìn)行身份鑒別，系統(tǒng)登錄采用賬號(hào)ID+PIN碼+Ukey方式，通過(guò)發(fā)送隨機(jī)數(shù)字進(jìn)行校驗(yàn)等，全方位保障數(shù)據(jù)安全。
商用密碼在電信和互聯(lián)網(wǎng)領(lǐng)域的應(yīng)用視圖
（來(lái)源：中國(guó)軟件評(píng)測(cè)中心網(wǎng)絡(luò)空間安全測(cè)評(píng)
工程技術(shù)中心）
盡管密碼技術(shù)、產(chǎn)品、標(biāo)準(zhǔn)等發(fā)展迅速，相關(guān)行業(yè)需求也十分強(qiáng)烈，但密碼的發(fā)展在許多方面仍舊面臨諸多問(wèn)題。
《白皮書(shū)》指出，目前我國(guó)商用密碼應(yīng)用領(lǐng)域不夠廣泛，應(yīng)用方式還不夠規(guī)范，應(yīng)用服務(wù)尚不夠安全，應(yīng)用需求難以契合等。
而從全球來(lái)看，來(lái)自密碼的安全問(wèn)題不容樂(lè)觀(guān)。
微軟的一組數(shù)據(jù)表明，幾乎80％的網(wǎng)絡(luò)攻擊都是針對(duì)密碼的，每天有250個(gè)企業(yè)賬戶(hù)會(huì)遭到黑客攻擊。
Verizon 2021年數(shù)據(jù)泄露調(diào)查報(bào)告中的一項(xiàng)統(tǒng)計(jì)數(shù)據(jù)顯示，61%的安全攻擊事件可歸因于憑據(jù)被盜。
身份認(rèn)證領(lǐng)域的密碼安全問(wèn)題始終都是整體安全防護(hù)中的薄弱環(huán)節(jié)。
不僅如此，還有更加令人憂(yōu)心的事實(shí)：My1Login的一項(xiàng)研究表明，雖然有人們都知道什么是強(qiáng)密碼，但53%的員工卻并不總是使用強(qiáng)密碼，并且85%的員工在接受安全培訓(xùn)后仍會(huì)在各個(gè)業(yè)務(wù)應(yīng)用中重復(fù)使用密碼。
也就是說(shuō)，網(wǎng)絡(luò)安全培訓(xùn)很多時(shí)候在提高員工保護(hù)企業(yè)數(shù)據(jù)意識(shí)方面并沒(méi)有達(dá)到預(yù)期效果。
因此，探尋其他有效的密碼管理方式和身份驗(yàn)證手段，成為企業(yè)維護(hù)網(wǎng)絡(luò)安全的當(dāng)務(wù)之急。
探尋身份認(rèn)證新賽道
無(wú)密碼將成新希望？
密碼管理帶來(lái)的成本也是一個(gè)不可忽視的重要因素。有調(diào)查數(shù)據(jù)顯示，全球員工平均每年花費(fèi)11個(gè)小時(shí)輸入或重置密碼。
對(duì)于平均擁有15000名員工的公司，這直接導(dǎo)致生產(chǎn)力損失520萬(wàn)美元。
因此，不僅是安全問(wèn)題，改善用戶(hù)體驗(yàn)也成為越來(lái)越多的人開(kāi)始嘗試新的驗(yàn)證方式的理由。近年來(lái)出現(xiàn)了許多新興技術(shù)和新應(yīng)用方式，正成為代替?zhèn)鹘y(tǒng)密碼技術(shù)的新突破點(diǎn)。
無(wú)密碼（passwordless）技術(shù)作為一種新興的安全技術(shù)和身份認(rèn)證手段，正成為許多企業(yè)和安全廠(chǎng)商研究的重點(diǎn)。
此外，量子密碼作為以量子力學(xué)和密碼學(xué)相結(jié)合的新興技術(shù)，正成為密碼新技術(shù)的一個(gè)重要研究分支。目前業(yè)界的研究主要集中在協(xié)議設(shè)計(jì)與分析、密鑰分發(fā)、身份認(rèn)證、秘密共享、安全直接通信等方面。
無(wú)密碼身份驗(yàn)證通常包括面部生物識(shí)別、硬件密鑰、動(dòng)態(tài)二維碼認(rèn)證、行為分析認(rèn)證和零知識(shí)證明等技術(shù)。
面部生物識(shí)別（人臉識(shí)別）在當(dāng)下已得到廣泛應(yīng)用，并在許多場(chǎng)景下取得不錯(cuò)的體驗(yàn)。
雖然面部生物識(shí)別在識(shí)別準(zhǔn)確性與抗攻擊等方面仍存在不足，但隨著技術(shù)的提升，該項(xiàng)技術(shù)在發(fā)展前景上非常值得期待。
硬件密鑰或基于硬件的一次性密碼（OTP）形式多樣，可以置于小型USB、NFC或藍(lán)牙設(shè)備，也可以?xún)?nèi)置在用戶(hù)手機(jī)中，在本地物理設(shè)備上實(shí)現(xiàn)對(duì)用戶(hù)登錄的身份驗(yàn)證。
動(dòng)態(tài)二維碼認(rèn)證也可用于身份驗(yàn)證，用戶(hù)通過(guò)掃描綁定到用戶(hù)身份的二維碼，觸發(fā)生物識(shí)別掃描來(lái)確認(rèn)身份。
行為分析認(rèn)證通過(guò)某些獨(dú)特因素諸如鼠標(biāo)移動(dòng)、打字習(xí)慣、登錄歷史記錄等，并配合其他驗(yàn)證手段來(lái)確認(rèn)用戶(hù)身份。零知識(shí)證明（ZKP）身份認(rèn)證是將密碼轉(zhuǎn)換為復(fù)雜且唯一的抽象字符串，通過(guò)相匹配的隨機(jī)序列來(lái)證明客戶(hù)端與服務(wù)器上的相應(yīng)的數(shù)據(jù)集相同。
此外，還有企業(yè)嘗試?yán)糜缮疃壬窠?jīng)網(wǎng)絡(luò)驅(qū)動(dòng)的聲紋算法，實(shí)現(xiàn)特殊的語(yǔ)音認(rèn)證解決方案，以解決用戶(hù)身份驗(yàn)證與欺詐問(wèn)題。
在國(guó)外，Ping Identity、RSA、Okta、微軟和Duo等公司都已為客戶(hù)提供了自己的無(wú)密碼平臺(tái)，例如微軟的用戶(hù)可以使用AzureActive Directory以及微軟民用服務(wù)進(jìn)行無(wú)密碼登錄。
Ping Identity為用戶(hù)提供一種多步驟的無(wú)密碼方式，它通過(guò)將身份驗(yàn)證手段相集中，并將基于風(fēng)險(xiǎn)的MFA和FIDO登錄密鑰用作不同級(jí)別的驗(yàn)證。
當(dāng)前無(wú)密碼技術(shù)尚處于不斷摸索和完善過(guò)程中，許多方面也存在一些爭(zhēng)議，但業(yè)界很多人對(duì)此保持樂(lè)觀(guān)。
Ping Identity公司的創(chuàng)始人兼CEO Andre Durand預(yù)測(cè)，在未來(lái)三到四年內(nèi)，無(wú)密碼安全將成為常態(tài)，但只有在不犧牲安全性的情況下方能消除對(duì)它的爭(zhēng)議。
誠(chéng)然，企業(yè)過(guò)渡到無(wú)密碼解決方案需要一定的成本與投入，不過(guò)從某些程度上來(lái)說(shuō)也是值得的。
無(wú)密碼技術(shù)不僅可以減少企業(yè)的攻擊面，增強(qiáng)終端用戶(hù)安全性，同時(shí)也促進(jìn)了多因素身份認(rèn)證的采用以及遏制網(wǎng)絡(luò)經(jīng)濟(jì)犯罪。但總體上講，無(wú)密碼技術(shù)的普及尚需時(shí)日。
密碼是既古老又新穎的一項(xiàng)安全技術(shù)，步入智能時(shí)代，密碼技術(shù)不會(huì)隨著新安全技術(shù)的發(fā)展而消失，密碼安全也并非單純追求密碼“有無(wú)”的問(wèn)題，如今它依舊不可或缺，并將通過(guò)新的方式換發(fā)新生機(jī)，最終完成在解決安全問(wèn)題的同時(shí)能為用戶(hù)帶來(lái)良好體驗(yàn)的使命。
