密码的替代品

2015-10-15

CHIP新电脑 2015年10期

仅过去一年间，超过20亿个账户的记录被网络罪犯窃取。单纯这一数字或许还不是很可怕，更高的风险在于，很多人使用相同的密码管理自己所有的账户。许多年来，专家一直呼吁，应该为每一个账户设置不同的密码，并且每一个密码都要足够长，并包含特殊字符、大小写字母和数字。可以理解，许多用户都认为这实在是太麻烦了，为此，为了尽可能地确保用户账户的安全，安全行业必须开发更多额外的验证技术。不过，不要以为这些新的验证方法就是牢不可破的，其中大部分仍然是可以被破解的，真正安全的密码替代品并不是没有，但仍在开发之中。

与此同时，很多服务也开始提供更多的安全措施：两步验证。在这种验证方式下，要通过验证，除了需要正确的密码之外，还需要一个通过短信或者智能手机应用程序收到或生成的验证代码。两步验证方式明显地提高了安全性，但它同样有可能受到黑客的攻击。最常见的方式是利用键盘记录器，攻击者首先通过网络钓鱼等方式入侵目标电脑，并在受害者的电脑上植入键盘记录器等恶意软件，不仅可以读取用户的账户密码，同时也捕获两步验证的验证码。接下来攻击者可以通过中间人攻击登录到用户的账户，获取需要的信息或者直接更改账户密码。

另外，大部分网络账户设有忘记密码时取回密码或者账户的选项，许多用户设置的问题都非常简单，例如母亲的姓，攻击者只需要略做一些调查，即可获得这些信息并取得账户的控制权，根本不需要通过两步验证方式登录。此外，入侵移动系统是非常简单的事情，除了网络钓鱼等方式之外，类似BadUSB之类的恶意软件，只需要移动设备连接到电脑上充电即可感染。在智能手机被入侵的情况下，攻击者可以选择通过智能手机获取两步验证的验证码，也可以选择直接通过智能手机尝试取回账户密码等方式获得账户的控制权。

无需手机的双因素密码

要防止针对两步验证方式的攻击，可以考虑不使用手机作为第二验证因素，改为通过特殊加密的“通用第二因素”（Universal Second Factor，简称U2F）标准USB密钥。以登录Google服务为例，当登录过程中Google要求输入第二因素的验证码时，USB密钥将可以生成它。在这个过程中，数据的传输完全是加密的。但USB密钥也不是完全没有问题的：如果USB密钥被盗，攻击者同样可以使用它，因为U2F标准没有为USB密钥设置安全验证。当然，攻击者还需要知道用户的账户密码，不过，这个对于攻击者来说难度要低很多，而且事情到了这一步，事实上双因素密码保护措施实际上已经宣告失败。除此之外，在一些服务中，谁拥有USB密钥谁就可以重置账户密码。

如果不希望随身携带USB密钥，也可以考虑依靠生物特征识别和身份验证技术。现如今人脸识别非常受欢迎，通过一个内置相机的设备捕获用户的图像，存储用户脸部的生物特征用于身份验证，例如眼睛之间的距离。虽然人脸识别听起来简单、安全，但是它也有一些漏洞。例如来自混沌电脑俱乐部（Chaos Computer Club）代号为Starbug的黑客所展示的方法，通过一张摄像机前用户的照片，即可解锁电脑和登录在线服务。因而，新一代的生物识别验证系统必须通过“生物检测”技术来避免这一漏洞，例如要求用户眨一下眼睛。然而，黑客可以非常容易地克服这些障碍，例如在照片的前面上下移动一下笔。虽然这种破解方法不是总能生效，但对于类似Android的人脸检测之类的很多软件解决方案它们通常都可以奏效。

另一种生物特征身份验证技术虹膜识别可以提供更高的安全性，同时也支持U2F标准。该技术通过摄像头扫描人的眼睛虹膜，并把它作为验证特征。以往，只有专业的解决方案提供虹膜扫描设备，而现在低成本的消费者版本已经推出，甚至在Windows 10中也已经支持虹膜识别验证登录。虹膜识别是非常安全的，1 500万次验证中只有一次错误报告。虹膜扫描仪的制造商投放的广告基本上将其介绍成一种牢不可破的验证技术，但实际上通过分辨率非常高的照片仍然有可能突破防线。例如，从5m左右的距离拍摄德国联邦总理安格拉·默克尔的照片，那么黑客有可能打印虹膜细节用于突破虹膜识别系统。专家警告说，普通的虹膜识别系统是可以破解的。

常用生物特征识别和身份验证技术中指纹扫描是较难以破解的，因而，许多手机、电脑都采用指纹扫描技术，但是指纹扫描同样不是牢不可破的，2013年9月混沌电脑俱乐部的黑客花费几十元买了一点石墨、透明胶片和胶水，轻松地骗过了iPhone 5S的手指扫描仪。除此之外，混沌电脑俱乐部的黑客还表示，通过照片重建指纹同样可以实现类似的效果，并通过德国前国防部长乌尔苏拉·冯·德莱恩的照片进行示范。当然，实现类似的攻击需要大量符合条件的照片，但是这已经足以证明指纹扫描的所谓安全性是具有欺骗性的。

到目前为止，最安全、最成熟的生物特征识别和身份验证解决方案是静脉检测，这种验证方式通过红外光装置检测手部血流的特征进行验证。该验证技术仅有读取装置是不可能被攻击的，黑客需要尝试将其中的数据流转到电脑再进行处理，实现类似的攻击是非常困难的。不过，静脉检测验证的设备非常昂贵，通常只有需要极高安全性的大公司和政府机构才使用这种身份验证技术。

心率作为密码

另外有一些生物特征识别和身份验证技术是基于物理特性的，例如通过专用心脏传感器记录一种特殊的心电图，通过每个人不同的心脏泵血大小和位置作为识别特征。该技术已经完善，能够准确地识别用户，并允许心脏肌肉出现生理变化，例如尺寸和肌肉位置的变化，也能够识别生物特征频带的载体由于应力产生的改变以及物理病变或疾病的影响。

率先启动心脏检测的是一家名为Nymi的加拿大公司，该公司采用臂带测量心脏速率，通过两个电极记录皮肤电导和电压的细微变化，并将这些信息记录下来用于辅助心脏检测。在用户需要验证身份获得授权时，可以让设备检测用户的心脏活动，如果识别为正确用户，臂带将把此前预先保存的一个加密密钥通过加密的蓝牙连接发送到兼容设备，例如智能手机或电脑。

目前，该公司已发布了一个程序员开发套件，一个消费者版本计划于2015年年内推出。这种生物特征识别技术的优势在于，攻击者很难骗过检测设备。根据Nymi的介绍，攻击者确实很难伪造相关的数据，即使攻击者能够模拟用户的脉搏，也无法模拟其他相关的各种数值。根据Nymi公司的介绍，他们认为成功的攻击手段或许不是绝对不可能有，但是必须耗费大量的时间和精力。而盗取用户的臂带是没有意义的，因为数据锁或外壳被打开后臂带将自动锁定，只有在正确检测心脏数据后才能够再次激活。

在未来记住你的密码

伯克利大学正在研究一种比心脏检测更安全的生物特征识别技术，通过脑电图传感器检测脑电波，能够发现用户是否记得正确的密码。这里所说的密码不是字母和数字之类的组合，而是一个脑力任务，类似某种特殊的手势或者某一曲调。用户可以根据自己的喜好选择任何形式的密码，因为由此产生的脑电波才是被检测和识别的特征。但是预计需要再过几年，脑电波检测技术才可以服务于公众，因为该技术需要若干台电脑来评估脑电图。该技术目前被认为是安全的，因为攻击者实在很难实施攻击：既需要为受害者接上脑电图检测电极，还需要让受害人想起自己的密码。

将来有一天，扫描眼睛视网膜也可能会是一个非常安全的密码替代品，该技术将通过红外光扫描记录眼睛血流方向等信息，这些数据对于每一个人类个体来说就像是DNA一样的特别。不过，批评者认为，该技术存在一定的攻击性，目前还没有关于长期扫描视网膜是否有不良影响的研究。

访问控制部分，专家的意见认为未来会通过DNA实现，尽管目前还没有DNA检测的消费产品。由于没有任何人的DNA是百分百的相同，所以毫无疑问通过DNA验证身份极为可靠，但是目前仍然缺少低成本的DNA检测方法，虽然通过皮屑或毛发就可以检测DNA，但也只有装备精良的实验室可以做到。另外，DNA检测用于替代密码，还需要解决一个问题，那就是如何才能够避免攻击者用盗取的头发或其他包含用户DNA的物件解锁。

英国牛津大学研究人员也利用DNA作为密码替代品，不过，他们不需要实验室检测DNA。他们的方法是，通过每一个人使用电脑时按键盘的习惯，也就是研究人员所说的所谓电子DNA来识别和验证用户身份。据Oxford BioChronometrics公司的首席执行官大卫·谢克尔介绍，每一个人的电子DNA都清晰可辨。该项目仍处于研究阶段，但是据著名的安全专家克里斯·米切尔介绍，这样的密码替代技术并不到位，因为电子DNA需要持续的监测，通过用户的行为识别和验证用户身份。不过，该方法的优点是它不需要昂贵的传感器，同时它也很难破解。

责任编辑：金雅文jin_yawen@chip.cn

收稿日期：2015-09-20

技术

从未改变密码

几乎一半的用户从来没有改变自己的账户密码，只有约十分之一的用户遵循安全建议，每两到三个月设置一个新密码。