過去五年以來，發生了一系列備受矚目的賬戶挾持事件。網絡安全專家群體中逐漸形成了一個共識：即使是隨機產生的冗長密碼也不能百分之百保證電子郵件以及其他的網上資產的安全?；谶@個共識，網絡安全專家們認為這些網上資產需要第二層身份驗證來提供額外的保障。
一個為期兩年，有超過50,000名谷歌員工參與的研究結果表明，以密碼學為基礎制造的實體安全密匙在安全性上超越了以移動電話為代表的其他雙重驗證方案。
這些實體安全密匙是以Universal Second Factor (U2F)技術為基礎。U2F是一種能夠同時滿足終端用戶易用性和軟件工程師易嵌入性要求的開源標準。當被插入標準USB接口的時候，實體密匙提供一種基本不可能被襲擊者猜中或者毀壞的加密聲明。賬戶可以在普通用戶密碼之外，要求用戶在登錄的時候提供這樣的密碼鑰匙。Google, Dropbox, GitHub和其他一些網站已經在他們的平臺上實施了U2F的標準。
經過超過兩年的公開推行和內部調研，Google的安全架構師宣布實體安全密匙成為他們首選的雙重身份驗證方案。架構師們的評估是基于幾個關鍵因素，包括使用和部署密匙的便捷性，應對身份仿冒及其他形式的密碼襲擊時所提供的安全性，和其他雙重身份驗證所不具備的、針對個人隱私更強的保密性。
在一份最近發表的報告中，研究人員寫到：
我們已經在Chrome瀏覽器中添加了支持實體密匙的功能，并將其使用在Google內部的登錄系統中，同時在Google的Web服務中使實體密匙成為可使用的第二重身份驗證方式之一。在這篇報告中，我們展示了實體密匙在降低保障成本之余，提供了更強的安全性能和更好的用戶體驗滿意度。
其他的雙重身份驗證形式包括使用移動電話的短信功能收取一次性的密碼，或者使用智能手機來生成類似的一次性密碼。在登錄時，用戶需要提供這個額外的密碼。第二種形式使用的是同樣可以提供加密聲明的智能卡。第三種形式使用的是基于網絡傳輸層安全協議的數字證書，使用保密密匙來驗證終端用戶在登錄一個服務或者賬號時的身份。
使用電話來做雙重身份驗證存在各種問題。其一，一次性的密碼經常會被網絡釣魚攻擊，攻擊所使用的方法與欺騙用戶透露普通密碼的方法是相同的。同時，使用智能手機需要面對惡意軟件的威脅，這會危害到一次性密碼的保密性。使用電話短信收取一次性密碼的形式是特別危險的，因為除了以上提到的風險之外，短信被攔截接收的危險也是存在的。我們無法保證電話永遠都有信號，同時電話有可能耗光電量，這樣限制條件會導致電話在用戶需要登錄的時候無法使用。
根據Google研究人員的報告，智能卡也會存在問題，因為智能卡的使用通常會要求在任何用戶可能用來登陸的電腦上安裝特制的讀卡器和驅動程序。這使智能卡在大規模設備上的使用變得尤為困難。除此以外，在一些國家，這樣的智能卡是需要由政府來提供。這樣的情況讓人不免擔心智能卡可能會被用來追蹤用戶的網上使用行為。
使用安全傳輸層協議（TLS）證書來驗證用戶身份的形式多年以來都作為一個選項存在，但它們從來沒能變的流行起來。研究人員提到，這有可能是因為證書的生成對于普通用戶來講是十分困難的。同時，使用TLS證書有很大機會造成用戶身份的泄漏。TLS驗證證書會向任何網絡上的敵人透露用戶的身份。此外，證書是不可移植的，這讓普通用戶很難在多個設備上使用它。
對比其他的選擇，實體安全密匙提供了安全性、易用性和私密性的最佳組合。雖然一些流行品牌的密匙產品售價為18美元，比如Yubico生產的U2F密匙，普通密匙的售價基本低至10美元。這些密匙體積比門鎖鑰匙還要小，可以很便捷的插入電腦的USB接口，同時不需要電池。
當美國總統候選人希拉里克林頓的競選主席的Gmail賬戶被以簡單的仿冒手段攻破之后，越來越多的人意識到了雙重身份驗證的重要性。雖然有很多不同的形式來實現雙重身份驗證，研究報告中以令人信服的案例說明了基于U2F標準的實體密匙是最好的選擇。
京公網安備 11010502049343號