本文来自微信公众号“网络研究院”。
你的物理现实的数字对应物正在惊人地增长。虽然肯定会有积极的结果，但随着互联网的发展，与之相关的风险也在迅速增加。在讨论网络安全风险管理时，首先想到的是密码。但当出现诈骗、网络钓鱼等威胁时，这还不够。
那么，解决方案是什么？
无密码身份验证：它是什么？
20世纪是关于密码的，但现在已经超越了密码。简单来说，无密码身份验证意味着无需使用密码即可在线验证个人身份的方法。无密码身份验证涉及更安全的替代方法来验证用户的身份。
随着越来越多的密码被破解，它们不是保护数据的理想解决方案已不是什么秘密。不仅密码有时难以记住，而且密码也是网络罪犯最追逐的目标。
不同类型的无密码身份验证
现在我们对无密码身份验证的含义有了一个清晰的认识，让我们看一下无密码身份验证的多种类型。
生物识别：视网膜扫描和指纹等生物识别因素可以唯一地识别一个人。被称为固有因素，这种类型的方法根据生物特征授予用户访问权限。即使随着人工智能的兴起，模仿这些方法也非常困难，因此在保护账户安全方面非常安全。
一些常见的生物识别因素是：
●声纹
●面部识别
●心电图
●指纹扫描
●视网膜扫描
生物识别如何工作：
在新应用程序上注册帐户后，用户将需要出示一种生物识别ID，该ID将作为私钥在未来获得访问权限。
为了重新访问特定的应用程序，用户需要出示他们之前注册的ID。
由于生物识别ID是经过授权的生物识别特征，因此它们比其他方法相对安全。
拥有因素：另一种方法涉及拥有或所有权因素，顾名思义，这些因素用于通过拥有的某些设备授予访问权限。例如，手机等设备主要用于此类身份验证过程。注册新应用程序后，用户将通过短信或验证器应用程序的推送通知获得一次性密码。
只有响应这些通知，用户才能访问特定平台。由于黑客需要特定的占有因素来对通知做出反应，因此网络攻击变得极其困难。
一些占有因素包括：
●身份验证器应用程序
●智能卡
●移动设备
●硬件令牌
拥有因素如何运作：
●用户在注册新应用程序时需要验证其拥有系数。这可以是移动设备号码或二维码。
●之后，该应用程序会生成一个仅与拥有事实相关联的私钥。
●如果尝试，应用程序将发送OTP作为PIN、密码或推送通知。
●用户只有在响应特定设备上的通知后才能访问该应用程序。
魔术链接
魔术链接主要涉及用于登录特定帐户的电子邮件地址。单击魔术链接后，应用程序会直接授予用户访问权限。使用魔法链接的热门网站/应用程序有Slack和Medium，仅举几例。
魔术链接如何工作：
首次在应用程序上注册时，该应用程序会提示用户共享他们的电子邮件地址以创建自定义的魔术链接。
单击用户在其电子邮件地址中收到的链接后，用户将通过匹配令牌进行身份验证。
无密码身份验证方法的优点
我们已经介绍了许多可以代替密码访问和重新访问新帐户的方法。但为什么公司更喜欢这种方法而不是前一种方法？让我们一一来看原因。
1.更强的网络安全
随着科技的进步，黑客也在进步。在这种情况下，密码不再是任何在线帐户的强大障碍。例如，员工经常对不同的应用程序使用相似或相同的密码。有了密码，网络钓鱼、恶意软件攻击和暗网列表的机会就会增加。这意味着，使用一个密码，黑客甚至可以访问多个帐户。
另一方面，无密码身份验证完全消除了密码的使用。这会立即消除与重大网络攻击相关的风险，例如凭据填充、帐户接管、密码盗窃/暴力攻击和网络钓鱼。
通过在其网站、工作场所设备和应用程序上实施无密码身份验证技术，您的组织的安全状况将得到显着改善。
2.增加产量
继续创建和记住数百个密码变得不可能。此外，当员工忘记密码时更改密码的过程通常很困难。因此，如果工作人员使用他们能记住的最简单的密码，在所有平台上保持相同的密码，或者在需要时每月添加一个独特的字符或数字，就不足为奇了。
由于无密码身份验证，用户不再需要生成密码或记住密码。相反，要进行身份验证，他们可以使用电话、电子邮件或面部。
如果员工拥有快速、直接的登录体验，他们可以将原本会花在思考或更改密码上的时间花在其他更重要的任务上。无密码身份验证也可以增强客户端体验。
如果客户已经拥有帐户，他们经常会被要求登录您的网站。无密码身份验证有助于降低购物车被遗弃和平台被黑客攻击的可能性。
3.长期成本较低
想一想您的企业在密码存储和管理上花费的金额。包括IT用于密码重置和解决频繁更改的密码存储法律要求的时间。
在可扩展性方面，无密码身份验证可能优于传统的基于密码的身份验证。这样公司就不必维护和管理用户的登录信息。此身份验证提供了更简化的身份验证过程，可以帮助组织在扩展和用户群增长时控制费用。
这种身份验证可以大大减少支持票的数量，包括用于重置密码和故障排除的票，从而减轻支持人员的工作量和相关的运营成本。
密码是用户保留和流失的常见原因。实施无密码身份验证会增加用户返回应用程序的可能性，因为他们无需记住密码。
通过使用无密码身份验证，可以避免所有这些成本。无需再记住密码、重置丢失的密码或担心新的合规性法规。
4.提高用户满意度
在创建满足用户需求的任何程序时，用户体验很重要。无密码身份验证改善了整个应用程序的用户体验，从打开到导航到安全关闭它。
与传统的基于密码的身份验证相比，无密码身份验证更容易设置。与经常激怒客户的耗时密码设置过程相比，这种方法简化了用户入职流程。
方便和受欢迎的用户体验会大大提高应用程序的转化率。采用无密码身份验证的用户不太可能因为在注册基于密码的应用程序时经常遇到的困难而感到恼火。
组织通过消除建立困难密码然后在每次登录时重新输入密码的多步骤过程，降低了用户因对身份验证过程感到厌烦而离开其预期操作的风险。
无密码身份验证的最佳实践
虽然不可否认无密码身份验证方法优于旧密码，但最终，这一切都归结为最佳实践。
组织需要为执行无密码身份验证技术的重大尝试做好准备。如果没有充分的计划，做出错误的采用决定的可能性就会增加，这会导致漏洞而不是保护它们。
占有因素：
●让我们从控球因素开始。最佳实践包括：
●使用经认可的身份验证器应用程序
●接受最新的OTP代码
●最大限度地减少失败尝试并限制代码有效的时间
生物识别因素：
●用户不得共享他们的面部数据或指纹，这是很明显的一点。
●始终有一个备份来处理身份验证时的任何故障
●坚持黑客难以规避的生物识别技术。这些可能包括手掌静脉扫描和步态识别，仅举几例。
魔术链接：
最后但同样重要的是，让我们看一下在处理魔术链接时需要采取的安全措施。
●确保电子邮件传送服务能够快速发送魔术链接。这很重要，因为您不希望链接最终进入垃圾邮件文件夹并延迟电子邮件。
●提供一次性使用并在一段时间后过期的链接。
●强制执行MFA或多重身份验证以确保用户的身份
●通过与电子邮件提供商合作来防止消息线程化。
众所周知，无密码身份验证的好处比随之而来的挑战更重要。随着社会在技术进步中向前发展，现在必须实施多因素身份验证并采用无密码方法。
采用尖端身份验证流程的企业往往不仅通过提供强大的安全性而且通过提供无缝的用户体验来领先于竞争对手。
