近日京東泄露12G用戶數據包的消息成為各大科技媒體頭條，據悉泄露的信息包括用戶名、密碼、郵件箱、QQ號、電話號碼和身份證等多種信息，數據多達數千萬條。京東官方聲明已經承認這些數據來自京東。事實上，不僅僅是京東，近年來中國互聯網包括攜程網、天涯網等發生多起嚴重數據泄露事故，而日益猖獗的網絡詐騙和地下網絡犯罪的“蓬勃發展”與賬戶密碼數據泄露事故有著密切關系。
FIDO扛起去密碼化大旗
白宮美國國家網絡安全委員會近日向當選總統特朗普提交了一份包含十六個安全建議，長達100頁的安全報告，指出2021年美國應當杜絕重大個人身份數據泄露事件，尤其是包含密碼的賬戶信息。
美國國家網絡安全委員會推薦用線上快速認證聯盟FIDO聯盟的技術標準來達成以上目標，在博客中FIDO聯盟為美國政府給出了技術路徑。
在安全業界，密碼面臨的問題有目共睹，谷歌的Oauth和OpenID認證標準開發者Tim Bray曾抨擊“用戶名和密碼是一種愚蠢的方式，而且也跟不上互聯網的規模發展。”FIDO聯盟正是在這個背景下應運而生的一個推動去密碼化的強認證協議標準的組織。
FIDO聯盟的目標是創建一組新的協議，支持對web應用持續的、安全的、無需密碼的訪問。FIDO聯盟目前擁有超過250個企業成員，包括設備制造商、銀行、支付卡網絡、安全和生物認證廠商以及多個政府部門，包括微軟、Google、Paypal、MasterCard等重量級企業都是FIDO的成員。
與白宮“扶正”FIDO的策略相呼應，英國政府近日發布的國家網絡安全戰略白皮書報告中也同樣將FIDO作為“去密碼化”的在線認證技術路徑。
FIDO能否重塑互聯網安全信心
目前FIDO推動的開放安全規范支持廣泛的安全認證技術，包括指紋/虹膜等生物測定、語音和面部識別、以及現有的通訊安全標準如可行平臺模塊（TPM）、USB安全令牌、嵌入式安全要素（eSE）、智能卡、低功耗藍牙（BLE）和近場通訊（NFC）。FIDO的開放規范還將支持未來的創新，同時保護現有投資。FIDO的規范支持在一個互操作基礎設施中各認證技術之間的互動，根據用戶和企業的不同需求支持不同的認證技術選擇。
但是，由RSA、微軟等美國企業主導的FIDO規范能否在全球范圍內取得成功，技術的開放性和先進性也許并不是決定性的因素。
在奧巴馬政府任期期間互聯網安全技術全面“淪陷”，而斯諾登曝光的NSA全球監控項目則摧毀了互聯網安全的信任基礎，FIDO核心成員RSA更是在2013年爆出在產品中植入NSA提供的后門，該丑聞使得硅谷科技公司的聲譽一落千丈，也讓全球安全業界對“美國標準”心存芥蒂。此外雖然FIDO技術規范的基礎協議開源，但是由Nok Nok Labs開發的中間件安全技術屬于私有閉源技術。
特朗普任期能否推動FIDO成為全球新一代網絡身份認證標準，幫助全球企業用戶、政府和消費者重建已經崩潰的信任基礎？目前看來還存在諸多問題和挑戰。
京公網安備 11010502049343號