黄酒厂家
免费服务热线

Free service

hotline

010-00000000
黄酒厂家
热门搜索:
行业资讯
当前位置:首页 > 行业资讯

谷歌说要帮你干掉密码听上去好没安全感的样子

发布时间:2020-07-21 10:27:56 阅读: 来源:黄酒厂家

谷歌最近铁了心要和密码过不去。

上周,谷歌刚公布在量子计算领域取得突破性进展,量子计算在密码破解上的巨大潜力,意味着现行加密技术将危在旦夕,本周,谷歌再放大招,宣布他们正在测试一项将要杀死密码的新功能……(谷歌你别闹,这世界已经够没安全感了好吗?)

不用密码登陆怎么玩?

其实没有那么玄乎……这项新功能就是让用户将自己的谷歌账号授权给手机,然后通过手机实现免密登陆。根据The Verge报道,一位刚刚受邀体验这项功能的安卓用户Rohit Paul在Reddit上披露了细节:用户通过在网页端登陆谷歌账号向手机发送短信,然后根据短信内容输入验证信息向手机授权,就和我们输入验证码登陆网银类似。

Rohit Paul体验截图 来源:The Verge

这样,以后用户无需密码就可以在手机上登陆谷歌账号,唯一的屏障就剩下手机本身的锁屏密码。这听起来超没安全感的有木有?但是,谷歌却说这样做才是为了保障用户账号的安全,这到底怎么说?

没有密码竟然更安全?

密码有时就像自行车上的那把锁,无论车被偷过多少次,你依然相信有锁比没锁安全得多。感觉会骗人,数据却不会。

《完美密码》(Perfect Password)的作者、安全研究人员Mark Burnett曾针对600万组用户名和密码做过分析,结果发现,有91%的用户使用了最常用的1,000个密码,有99.8%的用户使用了最常用的10,000个密码。其中,单单是直接将“password”用作密码的人就占到了4.7%。

但有人说,那又怎样,毕竟最常用的1,000个密码也是各不相同的。这就带来了第二个问题:年年岁岁,烂密码相似,岁岁年年,黑客在进步。破解神器Hashcat,每秒已经可以给出300,000种猜测。而同时越来越多的研究表明,人们设置密码的规律,其实比想象中简单,比如使用生日、姓名、常用词汇或键盘上的相邻按键组成密码。

1000万组密码中最常用的词汇及词群 图片来源:

黑客的另一招,就是利用钓鱼网站骗取用户的私密信息。最常见的手段就是用高度仿真的假冒登陆页面,引诱用户输入自己的账号信息。

所以,即使没有量子计算,现代加密技术也早已漏洞百出。绕了一大圈,再来看谷歌要杀死密码这件事,似乎有那么点道理了。至于将把关权利转移到用户的手机上,谷歌是这样考虑的:既然密码已经靠不住,不如让用户把“钥匙”握在手里。

当然,同意授权之前,用户必须先解锁手机,因为使用这项新功能的前提就是手机本身必须有加密措施。而如果监测到可疑登陆行为,谷歌也可能要求用户重新输入密码。另外,遇到手机没带、没电或丢失等情况,用户也依然可以通过密码登陆谷歌,然后进行解绑操作。

我们熟知的密码要进博物馆了?

其实,谷歌不是第一次想要改变登陆方式、提高用户账户安全了 ——前有生成登陆确认码的App Authenticator,后有提醒用户可能需要在第三方网站输入谷歌密码的Chrome扩展程序Password Alert;当然,谷歌也不是科技界唯一一家想要杀死密码的公司。

事实上,一批磨刀霍霍的公司早已为此成立了专门组织。2010年时,大约是有感于传统密码的不靠谱,PayPal信息安全部主管Michael Barrett、指纹识别安全专家Ramesh Kesanupalli以及SSL之父Taher Elgamal进行了一次三人会谈。两年后,三人创建了FIDO联盟,一个致力于使企业放弃使用传统密码的组织,资金将由那些认为自己可以从中获益的企业提供。自成立之日起,FIDO就在连接指纹识别设备等硬件及与之对接的在线服务上,做出了许多努力。包括谷歌、微软、美国银行、万事达在内,越来越多的企业开始加入进来。

不久前在10月份,雅虎也刚刚推出一项新服务“Yahoo Account Key”,允许用户只通过绑定的手机来验证身份(选择“Yes”或“No”)就可以登陆雅虎邮箱,而无需输入密码。

林林总总的“杀密码”手段大致都指向两种趋势:一是去数字,二是让手机来把关。前者解决的是传统加密方式在新技术面前的脆弱,后者则是迎合了手机日益成为钥匙一般贴身物品的现象。

嗯,其实废话连篇的我只得出了一个很爽的结论:以后再也不用记密码了。

python接口自动化测试框架开发

kafka入门到精通

docker

相关阅读