从密码到无密码：账号安全进化史（科普向）

本文为稀土掘金技术社区首发签约文章，30天内禁止转载，30天后未获授权禁止转载，侵权必究！

本文是一篇科普文，五一结束了，大家看点轻松的～

不知道大家在过去半年有没有发现 Github 强制开启了 2FA，而且还不可以关闭的，每次你打开 github 都会提醒你的验证：

简单的说，就是打开 Github 进行验证时，只依靠密码验证已经不被允许，你必须打开你手机上的验证软件，把里面随机码输入到 Github 才能完成身份验证，类似于十年前国内 QQ 安全中心的验证。

这是一种双重验证的手段，用于更好的保证我们的账号安全，今天就以此为引，给大家讲讲账号安全相关发展的历史。

第一幕：密码的独角戏 - 脆弱的防线

在互联网的蛮荒时代，密码就像原始人手中的木棍和石头，是守护账号安全的唯一屏障。然而，这道防线却是脆弱不堪的，面对黑客的攻击，如同纸糊的老虎，一戳就破。暴-力-破-解、字-典-攻-击、社会-工程-学手段，都足以让密码这道防线形同虚设。

1. 暴-力-破-解：暴-力-破-解就是通过遍历的方式尝试出你的密码组合，比如银行的六位取款密码实际上只有 46656种组合，利用现在任何一台电脑或者手机的算力都能瞬间算出来，为了对应这种情况，现在几乎所有网站都有密码输入次数限制。

2. 字-典-攻-击：字典-攻击就是利用常用密码来攻破你的密码，比暴力破解效率更好，比如 123456 这个密码就有很多人使用。

3. 社会-工程-学：社会-工程-学说人话就是套你的话，或者调查你的信息，比如在和你沟通的过程中知道了你的手机号、身-份-证号码、生日信息等，因为有大量的人用手机号后六位、身-份-证号后六位或者生日当作自己的密码，所以这种手段的成功率一般会更高。

在当前这个时代，由于互联网各种 App 的涌入，每个人都拥有大量的账号，如何记忆他们成为了一个难题，大量的人选择对所有网站使用同一个密码，这就又造成了账号安全问题。

重复使用密码就像是使用同一把钥匙开启不同的门，一旦一把钥匙被复制，所有的门都将面临危险。

每年，全球都会发生无数起数据泄露事件，大量的用户名和密码被公开曝光。这些泄露的密码成为了黑客攻击的利器，他们可以利用这些密码进行撞库攻击，尝试登录其他网站。

会在不同的网站使用相同的密码将会导致“一损俱损”的局面。一旦一个网站发生数据泄露，黑客便可以利用泄露的密码尝试登录其他网站，从而获取更多个人信息，造成更大的损失。

第二幕：多因素认证 (MFA) 登场 - 多重关卡，层层设防

所以，为了弥补密码的不足，MFA 应运而生，为账号安全加装了多重门锁。除了密码这把“钥匙”，你还需要其他的“通关密语”才能进入：

• 
  
• 验证码： 这是国内最常用的方式，甚至几乎所有 App 都已经不需要你记忆账号密码，只需要一个手机验证码即可，国外使用手机验证码的很少，因为他们更多使用邮箱来注册账号，比如我现在在使用的编辑软件Craft 在登录时就要求你提供邮箱验证码，它甚至不能设置密码。
  
• 指纹识别： 你的指纹独一无二，所以它就像是你的专属的“魔法印记”，轻轻一按，就能保证你是你。
  
• 面部识别： 对着摄像头眨眨眼，你的面容信息也是你的专属印记，苹果手机上甚至使用了虹膜识别来检测你是你，而不是别人。
  
• 安全令牌： 一个小巧的硬件设备，可以生成一次性密码，就像古代的“虎符”一样，只有拥有它才能调兵遣将。令牌可以有软件和硬件两种方式，软件就是 Google Auth 这种软件，而硬件则是我们早古互联网时代网上购物常用的网银 U 盾形式。
  

在开头的时候，我曾提到了 2FA，它和本节的 MFA 听名字非常相似，实际上说的也几乎是一个东西。

2FA 是指：需要两种验证，才能完成整个验证，一般是密码和动态安全令牌。

MFA 是指：需要两种或以上验证方式，才能完成整个验证，一般也是密码和动态安全令牌。

所以在大多数语境下，这俩说的其实是一个东西，有些验证方式将两个验证方式合而为一，比如手机/邮箱验证码。

因为多因子验证的核心是：一个你知道的凭证 和 一个你刚刚才知道的凭证。

我们一开始就知道的凭证往往是邮箱 + 密码，一个刚刚才会知道的凭证往往就是动态安全令牌码了，所以手机验证码登录的方式也是 2FA，还是属于比较方便的那种。

注：我这里说的手机验证码登录是真的发给你验证码，而不是国内的那种手机号一键登录。

第三幕：单点登录 (SSO) 崛起 - 统一管理的钥匙

其实随着 MFA 的出现，安全问题已经不需要太担心了，所以接下来账号安全开始朝着：安全 + 高效的方向开始发展，所以开始出现了 SSO。

SSO 的第一个阶段是内部互信，它的概念最早可以追溯到 1990 年代，随着企业内部网络的发展而兴起。

后来随着互联网的发展，一个公司往往同时拥有多个业务，比如十年前还是百度的天下的时候，我们会同时使用百度知道、百度贴吧、百度网盘这些产品。

你只需要在某一个百度旗下的产品登录一次，打开其他产品的时候往往也会自动识别到你的账号。

比如你在百度贴吧登录了，此时你打开网页版的百度网盘你自动就是已登录状态。

不要以为这是一个 So easy 的操作，它的原理其实是使用你存储在同一个主域名下的 cookie 实现的。

比如百度贴吧的域名是：tieba.baidu.com/，而百度网盘的域名是：pan.baidu.com/，它俩都属于主域名 baidu.com，所以通过携带同域名下cookie 的方式，让同域名下的其他服务也能正确识别当前账号。

具体识别方案一般有两种：

无论使用哪种方案，携带 cookie 这个操作必不可少，所以这一阶段的 SSO 是基于 Cookie 的。

可能还有一个词大家比较常见：SAML，SAML标准也是用于内部系统互信，做的事和基于 Cookie 的 SSO 都是一样的，所以这里我不再赘述。

第四幕：OAuth 协议的诞生 - 授权管理的桥梁

经历完 SSO 的第一个阶段之后，我们就来到了 SSO 的第二阶段：外部互信。

由于 Web 互联网的兴起，这一阶段也被称为基于 Web 的 SSO，这一阶段的代表是OAuth。

你有没有想过，如果我们在所有平台都使用同一个账号多好，就不用在记忆那么多的应用账号密码，减少心智负担。

在国内互联圈地的情况下，这种情况并没有实现，也可以说通过手机号实现了。

但是在国外，Google 账号体系几乎就是事实上的一号通行，你注册一个 Google 账号之后，几乎可以通过这个账号登录所有的网站，这就是 OAtuh 的作用。

想象一下，你拥有许多宝藏，分别存放于不同的宝库中。比如，你在 Facebook 上存储着你的社交关系，在 Google 上存储着你的邮件和文件，在 Spotify 上存储着你的音乐喜好。

现在，你想要使用一个新的游戏应用，而这个应用需要访问你在 Facebook 上的好友列表，以便你能够邀请好友一起玩游戏。

这时，你面临一个两难的选择：

• 
  
• 分享密码： 将你的 Facebook 密码告诉游戏应用，让它直接访问你的好友列表。但这存在着巨大的安全风险，一旦游戏应用泄露你的密码，你的所有 Facebook 数据都将暴露无遗。
  
• 放弃使用： 由于担心安全问题，你放弃使用这个游戏应用，从而错过了与好友一起游戏的乐趣。
  

为了解决上面这种问题，Google 等公司在 2010 年发布了 OAuth1.0，由于它存在许多问题，所以又在 2012 年发布了 OAuth2.0。

所以在现如今，几乎所有公司都接入了 Google 的 OAuth 登录，当你在第三方平台想使用 Google 账号登录时，OAuth 协议会引导你到 Google 进行授权。

平台会询问你是否同意授权第三方应用访问你的部分数据 (例如好友列表)，如果你同意，平台就会发放一个临时的“通行证”给第三方应用，让它可以访问你的数据，但不会泄露你的密码。

所以 OAuth 的核心是授权而非共享。

第五幕：无密码时代的曙光 - 告别繁琐的密码

我相信当大家看到第四节的时候，大家就会觉得应该就这些了，没有别的新意了，恰恰相反，为了彻底摆脱密码的束缚，世界巨头们正在探索新的“魔法”，那就是无密码。

在 2019 年，WebAuthn 标准被 W3C 以建议的形式发布，它是 FIDO 联盟下 FIDO2 的核心组件，旨在减少人们对于密码的依赖。

它带了以下三个好处：

• 
  
• 消除密码依赖： 通过使用更加安全的认证方式，例如生物识别技术 (指纹、面部识别) 或安全密钥，消除用户对密码的依赖，降低密码泄露和网络钓鱼攻击的风险。
  
• 提升用户体验： 简化登录流程，无需记忆和输入复杂的密码，只需轻触指纹或插入安全密钥，即可完成身份验证。
  
• 增强安全性： 使用公钥加密技术，确保用户的认证信息不会被窃取或伪造，有效抵御网络攻击。
  

如果大家有在 Mac 上的 Safari 浏览器登录苹果账号的经历，就会发现它不需要你输入密码，只需要一次简单的指纹验证：

这时你通过验证你的指纹就可以顺利登录成功，这就是基于 WebAuthn 标准的 Passkeys。

目前苹果、谷歌、微软等几乎所有大厂都支持了Passkeys，，由于它也是一个 W3C 标准，所以你可以通过这个网站查看支持列表。

看起来指纹验证就像开头我们说过的 MFA，但是它比 MFA 多了一个东西就是设备，通过生物信息 + 受信设备的方式完成了它的整个认证流程，它拥有两个比较大的特点：

• 
  
• 提供了一套标准化的用户界面和用户体验，简化了无密码登录的操作流程。
  
• 将用户的登录凭证 (私钥) 存储在用户的设备 (例如手机、电脑) 中，并通过云端服务进行同步，方便用户在不同设备上登录。
  

说回我们开头的 Github 的 2FA，其实 Github 也接入了它，如果你完成 2FA 之后，之后就可以在浏览器中通过指纹验证登录。

身份认证的未来已来，无密码的出现，为我们在登录授权流程中带来了许多方便～

好了，以上就是本篇文章的全部内容了，希望大家多多点赞支持，我将更快提供更好更优质的内容。

注：本文小标题是借助 AI 能力起的，部分描述也借助了 AI 美化，AI 美化生成内容不会超过 300 字（本文 4000 字），请大家放心食用。