首頁 > 資安知識庫 > 系統與平台安全 > 身分認證與存取權限控管、單一登入

解決密碼安全性不足 FIDO挑戰身分認證的未來

作者:花俊傑 -2014 / 06 / 06 列印 加入我的最愛 分享 將這篇文章分享到 Plurk 噗浪
在過去,如果想要購買日常用品,大概都需要走進實體店面,依照商品的價格,支付了等值的現金鈔票之後,才算是銀貨兩訖完成交易。但隨著塑膠貨幣如信用卡的出現,人們生活的交易習慣也突然改變,因為信用卡交易的好處是除了可以免除攜帶大量現鈔的不便,更可以避免現金遺失的風險。

從1980年代開始,電子貨幣也廣泛地受到矚目與運用,包括同樣以卡片形式存在的儲值卡和智慧卡,還有看不見的電子錢包和電子現金。在90年代之後,網際網路和電子商務的興起,讓線上交易變得更加地簡單,即使您人在家中坐,仍可隨心所欲的購買商品,然後要求送貨到指定的地點。

無論是塑膠和電子貨幣,這些都和個人的身分信用息息相關,尤其是在看不見也可能在任何地點的網路另一端,如何確認登入系統和完成付款的人,就是如其表示的真實身分使用者,成為了所有業者的一大挑戰。

身分認證的基本做法

關於如何識別身分,事實上並不困難,重點在於如何預防身分的偽冒,並且讓使用者能夠方便進行,目前,在資訊系統的身分認證方面,不外乎有以下三種方式。

1. 你知(Something you know):這是最普遍也是幾乎所有系統都能使用的基本認證方式,透過使用者知道的帳號和密碼,經系統核對用戶資料庫之後,就能夠確認其身分是否合法,但是如果使用者設定的密碼過於簡單,或是經常使用同一組密碼來登入所有的網站,很容易就會遭到有心人士的破解。

2. 你有(Something you have):這是可以透過使用者所持有的某項獨一無二的物品,進而確認其身分,最常見的像是身分證、提款卡、駕駛執照等,皆可當作使用者合法身分的憑據。

3. 你是(Something you are):這是利用使用者本身所具有的生物特徴,例如指紋、視網膜、臉型及聲音等,就可以辦識其真實身分,也不用像以上兩者一樣,擔心會忘記了密碼,或是忘了攜帶特定的物品,導致無法證明自己就是合法使用者。

基本上,上述任何一種方式都可以當作身分識別之用,但是如果同時採用了兩種以上,其安全強度都會比使用單一方式來得更強,這也就是目前所謂的雙因素驗證方式。但美中不足的是只要其中之一採用了密碼,就有可能因為密碼強度不夠,而遭到破解或盜用。另外,再加上雙因素認證通常只支援特定的服務平台,如果使用者同時採用了多家網路和線上服務,可能就需要分別購買不同的憑證、OTP Token等硬體,造成使用與保管上的困擾。
......《未完》
如欲閱讀完整內容,請成為《進階會員》
推薦此文章
15
人推薦此新聞
我要回應此文章
您的姓名:
回應內容:
  輸入圖片數字

你或許會對這些文章有興趣…