我打開瀏覽器，試圖登錄GoDaddy.com去給我的域名續費，卻死活也記不起我的密碼——我有五組常用的密碼，其中一組用來登錄無關緊要的新聞網站或論壇，一組是社交網站通用密碼，兩組用來覆蓋金融與支付業務，還有一組是谷歌相關專用。我嘗試了前三種，沒成功，系統跳出提示：您的賬號已被鎖定，請稍后再試。
我不得不嘗試使用找回密碼服務，這一步倒是很順利；但在重設密碼時，我又遇到了困難。GoDaddy要求：密碼必須在9位以上，必須有一個數字，必須有一個大寫字母，而且，不得與之前使用的5個密碼重復。簡單來說，我常用的密碼組合統統都不符合要求，所以我幾乎可以肯定，我以后還是會忘記這個密碼。
關于密碼的痛苦當然不是我個人的專利，否則這些互聯網產品也不必個個都在賬戶密碼輸入框旁放上“忘記密碼？”的超鏈接。這痛苦亦是進步的源動力，如今，科技行業巨擘與弄潮兒們已開始研究替代產品，試圖徹底干掉密碼。他們的研究已初現端倪：上個月，三星新鮮出爐的Galaxy S5就具備一個激進的功能，它允許用戶靠指紋連接登錄自己paypal賬號。
新時代真的要來了嗎？
真的不安全
新科技從不缺懷疑者。當Galaxy S5的指紋付款功能被拿到媒體上討論時，反對者們立刻開始質疑它的安全性。“要是有人盜用你的指紋怎么辦？”他們問，就好像現實世界跟科幻小說和間諜電影之間并無分別，就好像盜用指紋是一種常見且簡單的犯罪行為。然而，這些充滿想象力的反對者卻忘了問這樣一個問題：傳統密碼又真的安全嗎？
在最近這幾年里，但凡是稍微關注科技新聞的人，都多多少少會知道一兩起密碼泄露事故。2014年4月曝光的“心臟流血”漏洞讓全球幾乎每一個互聯網用戶都陷入危機，攻擊者可以利用這個漏洞竊聽到用戶的敏感數據，其中可能包括了用戶名、密碼、銀行賬號等等。
更要命的是，這個漏洞存在了兩年才被人發現，而且，該漏洞特性決定了黑客可以“隱形”操作，也就是說，從這個漏洞泄露的數據是無法追蹤的。在這樣的災難面前，專家的建議只能是“盡快更換密碼”，因為被竊取的賬號和密碼已不再是你的保護盾，而是交到小偷手上的鑰匙。
誠然，“心臟流血”這樣的災難性事件不會經常發生，但無法回避的是，單個網站的密碼失竊事件層出不窮。由于不少論壇和網站還采用落后的明文儲存密碼方式，數據庫一旦被黑客攻破，賬號與密碼就直接暴露在黑客面前。2011年，國內知名程序員網站CSDN社區數據庫泄露，導致了近600萬用戶的真實賬號、郵箱和密碼外泄，令中文互聯網世界幾乎人人自危，微博上瘋轉各類“設置安全密碼安全守則”，很是掀起了一陣改密碼之風。
如果說數據庫泄露是大面積的飛機轟炸，那么針對個人的黑客襲擊更是極其危險又防不勝防?，F今OpenID協議流行，各大網站都彼此相連。我的郵箱是淘寶、微博與Paypal賬號的恢復密碼手段，而且，用我的微博又能直接登錄知乎、京東和一號店和若干論壇。這也就意味著，一旦我的郵箱被黑客侵入，我的網絡生活就徹底亂套了。于是我必須要知道，侵入我的郵箱到底難不難？
我常用的郵箱是Gmail。根據谷歌的說明，如果我遺忘了自己的密碼，我可以通過備用郵箱找回密碼。我的備用郵箱是一個已經廢棄的hotmail，沒有綁定過手機，可以通過一個問卷調查來找回密碼。黑客只需要知道我的真實姓名、出生日期和所在地，知道我就讀小學的名字以及我10年前的常用密碼組合和常聯系的網友郵箱地址，就能重置我的密碼—這實際上非常簡單，這些信息幾乎都是“百度一下，你就知道”(是的，托CSDN的福，我當年的密碼也并不是我的個人秘密)。于是，大概只需要5分鐘，我的網絡人生就能被黑客徹底接管了。
所以你看，想要通過賬號密碼來冒充你的身份實在太容易了。黑客們并不需要高超的編程技巧，只需要充分利用能夠在網絡上搜到的信息即可。事實上，國外甚至還有專門的黑客網站提供此類服務，一個懶惰的黑客只要肯付出4美元和2分鐘時間，就能得到你的信用卡賬號、電話號碼、身份證信息和家庭住址；再多5分鐘，亞馬遜、Netflix和微軟賬號就歸別人了；20分鐘后，Paypal賬號也將易主。
給密碼加個套
專家們都會建議用戶加強對賬戶的保護，比如每三個月就換一次密碼等等。可是俗話說得好，從來只有千日做賊，哪有千日防賊的道理？從用戶角度來說，無論是大規模泄露，還是有心人士的暗算，這都是防不勝防的。所以，為了讓用戶能夠活得更安全更輕松，專業人士們就開始思量著怎樣給密碼加個套。
首先蹦出來的解決方案就是雙因素身份認證。簡單來說，雙因素身份認證就是通過已知信息結合認證設備才能發揮作用的身份認證系統。例如，在ATM上取款的銀行卡就是一個雙因素認證機制的例子，你必須得知道取款密碼(已知信息)，而且擁有銀行卡(認證設備)，才能進行提款及轉賬操作。
目前，市場上常用的雙因素認證技術包括數字證書和動態密碼等等。
數字證書包括軟件證書和硬件證書兩種。軟件證書如同支付寶的數字證書，使用簡單，只要在信得過的電腦上安裝數字證書，就能夠將電腦變成認證設備。然而，這種方式也有很高的風險，一旦軟件數字證書被人拷貝走，認證設備的可靠性就被破壞了。所以目前國內的商業銀行已經相繼放棄了這種方式，轉而使用硬件數字證書，也就是人們常說的USB-key(U盾)。這是一種安全系數非常高的身份認證方式，但制造和物流成本都較高，還需要額外攜帶，所以也并非市場的絕對王者。
對于互聯網公司來說，更常用的手段是動態密碼。以設置了短信驗證的支付寶為例，用戶在每一次用支付寶付款的時候，會通過手機短信接收到一個驗證碼，必須在一定有效時間內輸入正確的驗證碼和支付密碼才能支付成功。當然，動態密碼是有使用成本的。騰訊規定每天只能免費發兩條驗證短信，支付寶在開啟認證之后會每月收取小額費用，最貴的莫過于微軟，微軟的多因素驗證服務使用成本為每月每用戶2美元或者2美元十次驗證。
在雙因素認證系統下，密碼的安全性就得到了大幅度提升。比如說，我開啟了谷歌的短信提醒功能，如果黑客試圖重置我的密碼，我會收到一條提醒短信；我又開啟了雙因素驗證功能，所以黑客在登錄我的賬號時也會遇到麻煩，因為在使用陌生電腦登錄賬戶的時候，谷歌會要求他必須輸入正確的短信驗證碼。
當然了，如果黑客從某個渠道偷到了我的電腦或者手機，又或者能夠像NSA一樣監控我的手機短信，那雙因素驗證也攔不住他們。但至少，黑客付出的花費將遠遠不止4美元和20分鐘。
指紋不會出賣你
還有一種認證方法，就是采用生物識別技術，比如說iPhone和Galaxy S5的指紋識別器，又或是我們在好萊塢電影里常?？匆姷暮缒ぷR別器跟聲紋識別器等。從理論上說，生物認證技術是更安全的認證技術，因為每個人的指紋、虹膜和聲紋都不一樣，被盜用的風險很低，而且不受手機信號覆蓋范圍或者忘帶U盾等問題影響。但它對硬件設備要求較高，故而一度被認為是“短期內無法實現的夢想”。
智能手機的蓬勃發展給生物認證技術提供了前所未有的機會。由于觸屏式智能手機上本來就具有非常多的傳感器，為生物識別和認證技術提供了天然的有利條件。比如說，蘋果在收購指紋感應器制造商AuthenTec之后，就給iPhone 5s增添了指紋解鎖功能。這款手機已經成功證明了指紋認證技術在智能手機上的可行性和易用性，而且，其售價也并不比之前幾代來得更為昂貴。
人臉識別也是一樣。現在稍微好一點的智能手機都有前置攝像頭，可以用來掃描用戶的面部特征細節。在使用過程中，手機可以通過傳感器來掃描、跟蹤和鑒別用戶的臉部動作等一系列快速操作，然后將所獲得的實時數據與記憶存儲進行對比，從而達到辨識不同使用用戶的目的。目前不同手機操作系統平臺上均有此類軟件上架。
虹膜識別的安全性比指紋和人臉認證更高，它是利用人眼的虹膜紋理特征來進行識別，每個人都獨一無二。盡管它對傳感器的要求更高，計算數據也更為復雜，然而也不乏開始嘗試將虹膜識別認證引入智能手機的勇敢者。美國EyeVerify公司就是其中一例，這家專門研究虹膜識別的公司向其他公司提供授權，而一款叫做AirWatch的應用已經獲得了他們的授權，并將在不久的未來推出虹膜身份認證軟件。
還有生物節律識別，加拿大實驗室推出的Nymi已經能夠通過心電圖感應器來檢測用戶的心跳頻率，從而鑒別用戶身份；語音識別方面，天津一家移動支付公司推出“音付”產品，可以將用戶的語音口令存入個人數據庫來進行確認，目前已經應用于話費、網費、快速支付和轉賬。
智能手機上的這些識別技術有些相對成熟(比如指紋感應)，有的還在完善階段(比如虹膜識別)，但我們可以肯定的是，它們將是未來互聯網身份識別的大方向。行業分析公司Goode Intelligence 的一份研究報告指出，到了2018年，移動領域的生物識別技術就將惠及全球34億移動設備用戶，并創造高達30億美元的總價值。
FIDO聯盟
在三四年前，Paypal就開始琢磨如何利用生物識別技術來徹底地干掉密碼。他們的首席安全專家邁克爾·巴雷特與指紋識別安全專家拉梅什·科薩努帕利，以及SSL之父塔希爾·蓋莫爾進行了一番深入交流。科薩努帕利希望能為指紋識別指定一個新的統一標準，這樣可以讓他的指紋識別器不必再為了儲存數據而發愁；巴雷特希望能夠有一種更安全更簡易的方法來登錄PayPal，而在他看來，蓋莫爾是當今世界上最卓越的密碼學專家，最適合去創建新的認證方法。
他們的交流變成了一場革命。2012年，PayPal和聯想等五家硬件公司聯合成立了FIDO聯盟(FIDO Alliance)。FIDO制定了一種公開標準，所有FIDO聯盟的電腦和手機廠商都將在其產品中植入一顆安全芯片(而現在的絕大部分電腦都內置該芯片)，保證用戶的賬號、信息安全。
這種芯片并不會增加成本，事實上，目前絕大部分桌面電腦、筆記本電腦和少數平板電腦都已經搭載有一顆專門用來進行身份識別的TPM芯片。所以，FIDO聯盟的一個目標其實就是更好地利用電腦硬件中已經自帶但是很少使用的安全設備。另外，FIDO標準還允許手機制造商用NFC技術來達到TPM芯片相應的功能。據了解，ARM和Intel公司都有意愿在未來為手機和平板電腦開發類似于TPM的技術。
與此同時，FIDO還制定了一種新的認證標準。他們完全拋棄了認證因素里“已知信息”的這部分，轉而使用生物特征來標記個人身份。他們亦十分具有安全意識，比如說他們使用指紋或者虹膜認證，但不會讓任何人知道這些指紋和虹膜的細節。(用賬戶密碼的術語來說，就是不會明文儲存用戶密碼，所以在心臟出血這類的漏洞里也不會泄露用戶的真實賬密。)
巴雷特說，采取這種公開標準，任何公司都可以來使用并銷售符合標準的設備。這樣可以擴大新安全技術的使用范圍，最終，用戶只需要掃一次自己的指紋或者虹膜，完全不必輸入密碼，就能在整個互聯網中認證自己的身份。
現在，我們已經看見了依照FIDO協議而誕生的Galaxy S5。蘋果的iPhone 5s只是用指紋來解鎖一臺手機，而S5可以用指紋來解鎖互聯網；而且，S5的重點不是由指紋登錄，而是用“這個指紋”和“這臺手機”登錄——它也是一種雙因素認證，但不再是“已知信息”和“認證設備”的雙因素，而是“生物特性”和“認證設備”的雙因素。這在安全性能上更為加碼，因為你的手機可能會被偷，你的指紋可能會被復制，但黑客和小偷們必須要付出極大的代價才能同時做到這兩點。
FIDO聯盟的野心很大，最開始也引發了一些爭議和懷疑，然而谷歌在去年4月加入，微軟也在去年12月入盟，這兩大科技巨擘的加入，讓FIDO聯盟的底氣也更足了。當然，他們依然有可能出錯。新科技從來不缺懷疑者，而黑客們也向來把新科技當作挑戰，一旦黑客們攻破一次他們的體系，FIDO就會面臨巨大的信任危機。與此同時，消費者的接受度也不好說，他們會不會覺得指紋掃描和虹膜掃描太奇怪了，又或者覺得被侵犯了隱私？如果不能登錄朋友的電腦，這是不是也不太好？在紙面上，FIDO有成就未來的一切可能，但現實世界總是太過復雜，他們能將潛力轉變為成功嗎？
巴雷特并不懷疑FIDO的能量。他的理論是，雖然FIDO成員往往認為這套標準的優點是更為安全，但消費者最終買單的原因，肯定是這套新系統簡單易用，在這個密碼世界里簡直像是難以抵御的誘惑。我得承認，他形容的未來十分吸引人：我的谷歌賬戶專用密碼長達24位，包含大小寫字母、數字和特殊符號，說真的，我幾乎從來沒有辦法一次就輸入正確；如果掃一掃指紋就能搞定，我簡直是求之不得。“水往低處流，”巴雷特說，“人們永遠最愛省力的辦法。”
