苹果谷歌微软计划“干掉”密码 这对你意味着什么？

本文转载自澳大利亚广播公司ABC中文，仅代表原出处和原作者观点，仅供参考阅读，不代表本网态度和立场。

去年，一家密码管理公司和一组研究人员发现，世界上最常见的密码是123456。他们说这一密码出现了超过1.03亿次。

排在第二的是123456789。

排在第三的是12345。

这很能说明大多数人是如何使用密码的，还有数百万用户借助于password或qwerty等词语来保护他们的在线账户。

无论你把密码记在脑子里，写在某个地方，还是使用密码管理软件，这项技术都有一些重大的缺陷。

这就是为什么一些世界上最大的科技公司正在进行一项罕见的合作，旨在消除密码，而且其第一阶段的发生比你想象的要快来临。

那么，为什么我们要摒弃密码而采用密钥（passkeys）？这对我们的数字生活又意味着什么？

密码的问题与困惑

计算机密码自20世纪60年代以来一直存在，但它们远非完美。

微软表示，在截至5月的12个月中，黑客每秒钟试图窃取密码约921次，这一速度在这一年中翻了一番。

以下是密码存在的一些主要问题：

• 简单的密码很容易被人猜出来

• 数据泄露可能导致密码被网络犯罪分子买走和出售

• 同一密码经常被同一个人在不同的服务和设备上重复使用

• 骗子可以利用社会工程或网络钓鱼（假装自己是某人）的骗局来让某人泄露密码

埃迪斯科文大学（Edith Cowan University）的网络安全教授保罗·哈斯克尔-道兰（Paul Haskell-Dowland）说：“在过去十年中，我们与密码相关的行为并没有什么变化。

为了避免这些问题，行业领袖承诺，密钥将允许在各种设备和平台上进行无需密码的账户创建和登录。

什么是密钥？它们是如何工作的？

要在一个应用程序或网站上创建和使用密钥，你将使用生物识别技术，如你的指纹或面孔，或在某些情况下使用你的设备密码。

比方说，你要在你的手机上建立一个新的Instagram账户。

以下是创建密钥的一些步骤：

• 你的设备将使用生物识别信息来验证是你，而不是创建一个密码，然后生成一个私人密钥，并将其安全地存储在你的设备上，然后它将通过云端与你的其他设备同步

• 当你下次登录时，Instagram将向你的设备发送一个独特的数学问题

• 设备会扫描你的生物特征，以确认是你，然后使用它存储的密钥来完成这个数学问题，并将结果（但不是密钥本身）发回给Instagram

• 如果结果符合Instagram的要求，这就证明是你，你就可以登录了

• 如果你想在别人的设备上登录你的账户，就会显示一个二维码（QR code），你可以用你的一个设备扫描它，确认是你。

看一看在iPhone上使用密钥会是什么情况，请看这个例子：

“你可以认为它有点像密码，但它是一个永远不会离开你设备的密码，”哈斯克尔-道兰教授说。

在今年5月份的一份联合声明中，苹果、谷歌和微软表示，他们致力于密钥背后的标准，该标准由FIDO联盟和万维网联盟（World Wide Web Consortium）创建。

“通过跨平台的社区合作，我们终于可以实现这个愿景，并在消除密码方面取得重大进展，”微软身份项目管理副总裁阿历克斯·西蒙斯（Alex Simons）说。

以下是密钥的一些主要好处：

• 你无需记住一堆（预计不仅不同而且非常复杂的）密码

• 在应用程序和网站的数据泄露中不会有任何东西被盗，因为它们不存储你的个人密钥

• 如果有人偷了你的设备，他们仍无法拥有你的生物识别信息

• 你不会被诈骗透露密钥，因为你不知道它是什么（只有你的设备知道）。

• 密钥是加密的，所以没有人（甚至是苹果、谷歌或微软）可以读取它们

• 如果你愿意，你可以与你信任的其他人分享密钥

• 最终，你可能会在几乎任何设备上登录应用程序和服务，无论其平台或浏览器如何。

“它消除了服务器被侵入的状况，服务器遭侵入意味着你的信息可能在网上被泄露。”

与任何新技术一样，密钥也有一些灰色地带。

以下是迄今为止人们对它们提出的几个问题：

密钥会不会把我锁定在一个大的技术生态系统中？

这是到目前为止最主要的担忧之一。

目前，还没有明确的解决方案可以在不同的技术生态系统之间移动你的密钥，比如说，如果你想从苹果设备换到谷歌设备。

但FIDO联盟表示，它正在为实现这一目标而努力，并认为科技公司并没有试图锁定人们。

“对于跨平台的兼容性会有一个非常大的推动力，现在开发的任何东西如果不支持这种兼容性，那么就不会有很长的寿命。”

生态系统之间的密钥传输也需要足够安全，以防止黑客在传输过程中获取数据。

一些生产密码管理软件的公司也加入了FIDO联盟，这可能有助于为消费者提供更多的选择，以防止人们感到被锁定在一个生态系统之中。

如果我丢失了装有密钥的设备怎么办？或者丢了我所有的设备？

科技巨头表示，他们将在云端的加密服务器上保存密钥备份。

这可能会引起一些用户的安全担忧，但这些公司表示，即使他们也无法访问这些服务器上的密钥，而且如果你失去了对设备的访问权，要找回这些密钥将是一个复杂的过程。

但这可能是一件好事。

哈斯克尔-道兰教授说：“正在采取的方法似乎是非常严格的。

“虽然总是会有风险，而且迟早会有绕过其中一些控制的策略或技术，但目前看来，这会是一个相当有‘抵抗力’的方法。”

如果我得到一个新设备怎么办？

如果你得到一个新设备，那么你将能够使用旧设备（或你的另一个设备）将你的密钥转移到新设备上。

你也可以从云端获取它们，所以你很可能仍然需要使用密码来保护你的设备的用户账户，至少在目前。

预计在未来12个月左右当苹果、谷歌和微软发布支持该技术的新软件时，向密钥的过渡将迈出重要的第一步。

苹果公司说，密钥将在其iOS 16和macOS Ventura软件中出现。它们可能最早在9月发布。

谷歌说，它的目标是在密钥上市之前，“在2022年底”在安卓和Chrome软件上提供对密钥的支持，供开发者测试。

微软表示，它计划在Windows和其Edge网络浏览器上支持密钥。

为什么密码目前仍将继续存在？

尽管科技巨头争先恐后地实施密钥，但很明显，密码不会很快消失，而且可能需要几年时间才能让大多数应用程序和网站摆脱密码。

“它消除了障碍，消除了风险，表示要采用这种新技术也是一个很好的公关行动。”

“他们可以很容易地做到这一点，可能不会有很多麻烦，而且他们有足够的经济和技术资源来这样做。

“但是，你会有20或30年的转换时间，因为一些网站和服务可能根本没有资源和能力来实施它。

因此，当我们等待密码缓慢死亡之际，现在可能是一个好时机确保你不使用123456作为密码了。

本文转载自澳大利亚广播公司ABC中文，仅代表原出处和原作者观点，仅供参考阅读，不代表本网态度和立场。