继苹果微软之后,谷歌也希望你“忘记”密码

2023年05月04日21:54:11 科技 5309

时至今日,“账户”连同“密码”已经关联了我们太多的重要数据,但与此同时,世界上最多人使用的密码又是什么?

2022 年,nordpass 在检索 3tb 容量的全球密码库后发现是:password(密码)。排在“password”后面的还有“123456”“123456789”“qwerty”这类大家喜闻乐见的密码,而这些密码早在十年前就已经“流行”全球。

可想而知地球人是有多懒?十年都不带换。

诚然,懒得花费精力记忆或者琢磨一套个人的密码系统是一方面,但另一方面也是一位因为密码天然存在太多问题,很早就有人主张砍掉“用户名-密码”的安全体系,用“无密码登录”取而代之。

继苹果微软之后,谷歌也希望你“忘记”密码 - 天天要闻

 图/wikimedia commons

赶在今年的世界密码日前,谷歌在官方博客发文宣布,此前在测试的 passkey(通行密钥)无密码登录功能将向所有用户推出,用户可以基于信任的设备直接完成生物验证,而不用输入密码。事实上不仅是谷歌,微软甚至早在 2021 年 9 月宣布了无密码登录功能,还支持用户在账户中完全删除密码,仅依靠生物识别进行登录,自然也就不存在密码泄露的问题。

另外,作为全球最重要操作系统厂商,谷歌、微软和苹果还在去年的世界密码日(5 月 5 日)联合宣布,他们将致力于在未来一年,在其控制的所有移动、桌面和浏览器平台上打造无密码登录系统。

从互联网早期一直流行到今天,好端端的密码怎么就不受大家的待见了?

密码泄露了,拿什么证明我是谁?

去年 6 月,大学生学习软件“超星学习通”曝出了大规模被拖库事件,1 亿 7273 万条用户数据遭到泄露,包括姓名、手机号、性别、学校、学号、邮箱、密码等信息。该消息随后冲上微博热搜,大量超星学习通用户都反映收到了外地乃至境外的诈骗电话,还提到对方能准确报出身份证号等关键信息。

事件发生后,不少高校也都接到教育网的相关通知,显示不仅确认超星学习通泄露了大量用户数据,并涉及全国大量高校,应急安全响应为 a 级。同时通知还提醒老师和同学:

“如果您其他系统密码与超星学习通密码一致,请尽快修改为新密码,严防撞库对自己产生更大危害,谨防诈骗。”

继苹果微软之后,谷歌也希望你“忘记”密码 - 天天要闻

与此同时,过去几年全球不断发生账户密码泄露事件,根据网络安全公司 spycloud 发布的 2023 年身份暴露报告,研究人员仅去年就在网上发现了 7.215 亿个被泄露的密码,其中一半来自僵尸网络——被恶意软件感染并被黑客控制的计算机网络。

如果涉及微信、支付宝、银行和电商平台这类关键账户,不仅会极大地影响日常生活,也触碰到了极为敏感的财产安全,一旦泄露可能引起无可挽回的损失。另一方面,用户也要面对密码泄露的成本,一部分账号或许可以自助修改密码,无非花费一些可预计的时间,另一部分已经被篡改的账号,可能就需要用户提供足够的信息“证明你是你”。

本质上密码就是用来证明身份的工具,问题也恰恰于此——密码说到底也只是一串文本。不管是撞库、钓鱼邮件还是僵尸网络,作为身份证明工具的密码都太容易泄露和盗用,密码管理器和两步验证可以完善对“密码”的保护,但除了较高的学习和使用成本,并不能改变密码容易被盗用和篡改的本质。

个人密码,从入门到放弃

继苹果微软之后,谷歌也希望你“忘记”密码 - 天天要闻

图/bilibili@-xuegao123-

账号密码几乎是伴随着早期互联网而起,最典型的应用就是邮箱,但对中国 90 年后生人来说,可能更多是在 qq 上记住了第一个账户和密码。而即便是在 qq 兴起的新千年初,随着大量网站和软件的涌现,互联网用户注册了一个又一个账户,大部分人事实上只能记住少数的用户名和密码,很多时候都是重复使用同样的密码,或是用上“手写密码”这种笨方法。

但到后来,网络安全的攻防战越发激烈,再加之软件应用的大爆发也带来了大量的账号,于是也就有了 lastpass 等密码管理器应运而生。通过记住一个密码管理“所有账户的不同密码”,密码管理器在一定程度上确实解决了安全和便利的矛盾。

不过风险实际在转移——一旦密码管理器的密码泄露,所有账户都将全数暴露。lastpass 作为用户规模最大的密码管理器之一,就多次遭遇了攻击泄露事件,最近的一次发生在去年 8 月。即便是公认更安全的 1password 和 bitwarden(开源),同样也有可能发生数据泄露安全事故。

也是看到个人密码在安全方面的风险,两步验证开始逐渐流行,比如手机短信和邮箱验证码或是基于时间的验证器密钥(安全性更高)。然而更安全的验证器始终没有流行开来,远比短信和邮箱验证码来得小众,使用成本上也确实更高,需要增加查看和复制一次性密钥的步骤,还要考虑时间。

继苹果微软之后,谷歌也希望你“忘记”密码 - 天天要闻

通行密钥与密码的区别,图/苹果

同样从身份证明这个角度出发,微软、谷歌和苹果主推的通行密钥,则将以往需要储存在服务器端的登录信息,替换为了非对称加密技术中的口令。当用户为某个账户创建通行密钥时,用户设备上会生成一对公私密钥,账户服务器只会获取并存储“公钥”,攻击者无法从服务器上的数据推导出存储在用户设备上,完成身份验证必需的“私钥”。并且因为没有“密码”,通行密钥也不存在“密码强度”“重复使用”等问题。

就像苹果认证体验团队的 garrett davidson 在去年 wwdc 上指出,有了通行密钥,重复使用、撞库、密码泄露和网络钓鱼等问题,都不再可能。

而在使用上,通行密钥与用户可信赖的设备绑定,支持设备上的指纹识别、face id、windows hello 以及 pin 认证等。当然,用户也能将手机作为主要的验证设备,或者说“钥匙”来登录所有账户,不需要输入任何东西,一次识别就能实现身份验证,大大简化了过去两步验证+密码管理器+自动填写密码的形式。同时基于 fido 协议,用户可以使用 iphone 上的通行密钥,在运行微软 windows 的设备上登录谷歌 chrome 浏览器。

凭借更安全的机制、更简单的验证步骤,几乎可以预见,通行密钥将完全取代密码。换句话说,可信赖的本地设备(比如手机)将在真正意义上成为我们不同网络身份的万能钥匙,打开的是一个“无密码”的世界。

题图来自 wikimedia commons

科技分类资讯推荐

Pura80Pro与Mate70Pro,谁是华为旗舰更优解?一文看懂 - 天天要闻

Pura80Pro与Mate70Pro,谁是华为旗舰更优解?一文看懂

每当华为旗舰新机临近发布节点,科技圈的焦点就会转移到“新旧旗舰”之间的对比上,这也是许多消费者最关注的问题之一,比如即将在6月11日发布的“Pura80 Pro”以及已经上市半年的“Mate70 Pro”,一款是华为在影像领域进一步突破的全
周鸿祎:准备干掉360整个市场部,每年能省几千万 - 天天要闻

周鸿祎:准备干掉360整个市场部,每年能省几千万

6月6日晚,360集团创始人、董事长周鸿祎在其个人自媒体账号发文称,“我准备干掉360整个市场部,这样一年可以给公司省下几千万。”他表示从当天起,要做一个挑战,一个人完成一场完整的新产品发布会。“听起来像天方夜谭,但这次我准备动真格的了。”周鸿祎称,过去做一个产品发布会,需要市场部几十号人,忙活大半个月,费...
新疆低空经济加力扩容 - 天天要闻

新疆低空经济加力扩容

天山网/新疆日报记者 马伊宁不久前,“阿勒泰低空飞行服务保障中心”及“布尔津、富蕴低空飞行服务保障站”投入运营。作为拥有世界级旅游资源的区域,阿勒泰地区正构建覆盖北疆的低空飞行服务网络,为通用航空、无人机物流、低空旅游等业态提供全链条服务保
特斯拉“擎天柱”人形机器人项目负责人宣布离职 - 天天要闻

特斯拉“擎天柱”人形机器人项目负责人宣布离职

中新网6月7日电(吴家驹)综合外媒报道,特斯拉“擎天柱”(Optimus)人形机器人项目负责人米兰·科瓦奇(Milan Kovac)周五表示,他将离开公司。 科瓦奇在X平台上发文称,“我不得不做出一生中最艰难的决定,我将离开我的职位。我离家太久了,需要花更多的时间和国外的家人在一起。”科瓦奇称,这是“唯一的原因,与其他任何事情...
512GB售价2039元!3840HZ+7550mAh+极窄直屏,红米手机价格亲民了 - 天天要闻

512GB售价2039元!3840HZ+7550mAh+极窄直屏,红米手机价格亲民了

卡顿可以说是很多消费者使用手机时遇到的最为头疼的情况,好在就如今新发布的机型就算是在长时间的使用之下,也并不会让你出现如此的情况,这就比如说红米Turbo 4 Pro这款机型就是如此,这款机型不仅性能狂飙、续航超长,更有旗舰级配置和贴心细节