身份认证从来不是输密码那么简单

昨天加班到九点，手机弹了三次异地登录提醒，分别是外卖账号、云盘账号、还有公司的内网VPN。我第一反应不是赶紧改密码，是盯着那三条弹窗愣了半天。 现在的身份认证，到底哪一步出了岔子？

你以为的验证，其实是在赌概率

很多人对身份认证的刻板印象，还停留在“输对密码就是你，输错就不是”的阶段。但实际上现在早不是单因子的时代了。你输对密码之后，系统还要算你这次登录的设备指纹、IP归属地、甚至你平时按键盘的力度、滑动屏幕的速度，这些东西攒起来算个分，过了阈值才给你进。

很多人吐槽现在登录太麻烦，动不动要收验证码，还要刷脸，其实麻烦的根源不是厂商想折腾你，是之前单因子验证的逻辑根本兜不住现在的黑产攻击规模。 挡不住的。真挡不住。 之前见过黑产团队批量撞库的操作，几万条从各个泄露数据库扒出来的账号密码挨个试，要是系统只认密码，哪怕密码要求大小写加特殊字符，也根本拦不住。 当然，现在的风险引擎看起来聪明，也有代价。比如你换了个新手机，哪怕输的密码完全正确，系统也可能直接给你拦在外头，要你走人工申诉。我上次换手机，云盘给我弹了三次安全验证，最后还是让我拍了张手持身份证的照片才过，折腾了快四十分钟。 说白了，这就是取舍——要么你多花点时间过验证，要么厂商承担账号被盗的风险。没有两全的事。

那些被你忽略的验证细节，才是安全的核心

很多人觉得刷脸是终极安全，其实根本不是。我之前跟做生物识别的工程师聊过，他们说现在的人脸验证，最大的漏洞根本不是普通的打印照片，是那种3D打印的头模，甚至是屏幕上播放的高清视频，只要算法稍微松一点，就能过。 真的，别觉得刷脸就万无一失。 现在很多支付场景的身份认证，已经不是单看人脸了，是结合你平时的消费习惯：你平时买东西都是几十块的奶茶、水果，突然跳出来一笔几千块的境外消费，哪怕人脸刷对了，系统也会临时给你转人工核验。

很多人反感这种“被监视”的感觉，觉得系统怎么随便拿我的行为数据算来算去。但换个角度想，要是哪天你的手机丢了，别人拿着你的手机，就算知道你的锁屏密码，刷了你的脸，系统因为发现他的操作习惯跟你不一样——比如你平时打字都是九键，他突然切到全键，你平时打开APP的顺序是微信、外卖、导航，他先点开了银行和支付软件——这时候系统弹个二次验证，其实是在帮你挡损失。 当然，这里也有坑。很多小公司做的身份认证系统，根本没做行为基线，就拿个开源的人脸识别SDK嵌进去，别说识别操作习惯了，连活体检测模块都是最基础的点头、摇头要求，对着视频晃一下头就能过，这种才是真的不安全。

没有绝对安全的验证，只有能承担的风险

很多厂商做产品的时候，总想着找一个“一劳永逸”的身份认证方案，觉得上了指纹、上了人脸、上了硬件密钥，就再也不会有账号被盗的事。 根本不是。 我之前采访过一个做安全的老工程师，干了快二十年，说过一句特别实在的话：所有的认证机制，本质上都是在算投入产出比。比如你家里的门锁，你要是装个价值几万的虹膜识别锁，小偷大概率不会来撬，但你平时开门都要站那等三秒识别，出门倒个垃圾都得掏钥匙刷脸，时间成本算下来，可能你自己都嫌麻烦，最后把锁常开。 放到互联网产品里也是一样。比如你做个笔记类的APP，要是要求用户每次打开都刷脸、输动态口令，用户可能直接就卸载了；但要是完全不做验证，只要输密码就能进，万一账号泄露，用户存在里面的私人笔记全被看了，那也是事故。 之前遇到过一个很极端的案例，某个面向学生的在线教育平台，为了降低用户流失，把所有的二次验证都关了，用户只要输对手机号和初始密码就能进账号，结果被黑产爬了几十万条用户信息，里面有学生的姓名、学校、家长的联系方式，最后平台赔了一大笔钱，还被监管点名。要是当初他们愿意多花一点成本，在登录环节加个简单的设备验证，根本不会出这么大的事。 很多人觉得硬件密钥太麻烦，还要插电脑上，跟个U盘似的。但真的用习惯了，你会发现它比收短信验证码靠谱多了——短信验证码从设计之初就存在被截获的风险，之前见过不少案例，就是骗子冒充运营商给用户换了SIM卡，然后把所有的验证码都收走，把账号里的钱转空。但硬件密钥是跟你的设备绑定的，就算你密码漏了，骗子没有那个物理的硬件，根本登不进去。 当然，这东西也有代价。比如你把那个密钥丢了，那你可能得走半天的账号找回流程，比收验证码麻烦多了。 前几天跟朋友吃饭，他说现在最烦的就是每次登录都要应付各种验证方式，一会要收短信，一会要刷脸，一会要输动态码，感觉自己像个被反复盘查的嫌疑人。我跟他说，其实反过来想，这些看起来麻烦的步骤，本质上是在帮你筛掉那些想随便碰你账号的人。你现在觉得多花十秒钟收个验证码麻烦，真等到账号被盗，存在云盘里存了几年的照片被删了，绑定的银行卡被刷了，那时候的麻烦，可比这十秒钟大多了。 你仔细想想，从最早的输用户名密码，到现在的多因子验证、行为分析、硬件密钥，身份认证的演化从来不是为了折腾用户，是在攻击手段不断升级的环境里，找一个刚好够安全、又不会太打扰人的平衡点。 哪有什么绝对安全。 不过是大家都在权衡。