在数字化时代，我们每天都需要登录各种各样的在线服务，从电子邮箱到银行账户，从社交平台到工作系统。传统的密码认证方式不仅繁琐易忘，而且存在着严重的安全隐患。根据 IBM X-Force Threat Intelligence Index 报告，近三分之一的网络攻击涉及劫持有效用户账户。正是在这样的背景下，FIDO 协议应运而生，为我们带来了更安全、更便捷的无密码认证体验。
FIDO 的基本概念
FIDO（Fast Identity Online）是一套开放的身份验证标准，由 FIDO 联盟于 2012 年 7 月成立后推动制定。该联盟旨在解决强身份验证技术之间缺乏互操作性的问题，并减少用户对多个用户名和密码的依赖。
FIDO2 是 FIDO 联盟与万维网联盟（W3C）共同制定的无密码认证开放标准，于 2018 年发布，取代了 2014 年发布的首个 FIDO 1.0 标准。FIDO2 的核心由两个协议组成：Web 身份验证（WebAuthn） 和客户端到身份验证器协议第二版（CTAP2）。这些协议协同工作，使用户能够在不使用传统密码的情况下登录网站或应用程序。
FIDO 如何工作：公钥密码学的妙用
FIDO2 认证利用公钥加密技术生成一个称为“通行密钥”（Passkey）的唯一密钥对，该密钥对与用户账户相关联。这个密钥对包含一个存储在服务提供商的公钥和一个驻留在用户设备上的私钥。
当用户希望登录其账户时，服务提供商会向用户设备发送一个质询（通常是一串随机字符）。设备会提示用户通过输入 PIN 码、使用生物特征认证（如指纹或面部识别）或使用安全密钥来验证身份。
如果用户成功通过验证，设备将使用私钥签署该质询，并将其发送回服务提供商。服务提供商使用公钥验证是否使用了匹配的私钥，并据此授予用户访问其账户的权限。
由于私钥始终存储在用户设备上且永不离开，大大降低了安全漏洞的风险。即使服务提供商的服务器被入侵，黑客也只能获取公钥，这对他们来说几乎无用。
FIDO 的优势：为什么比密码更好
与传统密码相比，FIDO 认证具有多个显著优势：
- 增强的安全性：FIDO2 认证器确保加密登录凭证对每个网站唯一，且始终保存在用户设备上，绝不存储在服务器上。这种方式可以有效防止钓鱼攻击、密码盗窃、凭证填充和重放攻击。
- 便捷的用户体验：用户可以通过简单的内置方法（如指纹识别或面部识别）进行身份验证，免去记住复杂密码的烦恼。一项研究表明，FIDO 认证提供了一种比传统密码和短信双因素认证更安全、更便捷的替代方案。
- 隐私保护：FIDO 认证通过确保加密密钥是网站特定的，防止跨站追踪。当使用生物识别时，生物数据不会离开用户设备，提供了额外的隐私保护。
- 互操作性与可扩展性：FIDO2 标准已获得大多数用户设备、网络浏览器、单点登录系统、身份与访问管理解决方案、网络服务器以及操作系统（包括 iOS、MacOS、Android 和 Windows）的支持。在网站上启用 FIDO2 密码钥匙也非常简便，只需一个简单的 Java_script_ API 调用。
FIDO 的实际应用案例
FIDO 认证已经在多个行业和场景中得到广泛应用：
- 金融行业：台湾的伟康科技携手全台六成金融业者，包括合作金库银行、兆丰银行等，领先导入金融 FIDO 服务。兆丰银行和兆丰产险于 2023 年 6 月首先导入金融 FIDO，应用于云端柜台金融往来信息更新、证券线上开户及交割账户绑定等场景。
- 支付服务：韩国最大的支付处理公司 BC Card 在其移动支付应用程序 paybooc 中采用 FIDO 认证，使用指纹、面部和语音生物识别技术进行登录。截至 2018 年 5 月，已有超过 120 万用户使用生物识别身份验证在 paybooc 注册，每月进行超过 100 万笔交易。
- 企业安全：HID 公司推出了新一代 FIDO 认证产品系列，并加入“企业密钥管理”（Enterprise Passkey Management，EPM）功能，协助企业以更有效率的方式部署和管理密码钥匙。根据 FIDO Alliance 的研究，目前已有约 87% 的企业开始采用密码钥匙技术。
FIDO 的未来发展
随着数字身份的不断发展，FIDO 标准也在持续演进。2023 年 6 月，FIDO 联盟的两项规范 FIDO UAF 1.2 和 CTAP 2.1 被国际电信联盟电信标准化部门（ITU-T）认定为国际标准。这一里程碑将这些标准确立为国际电信联盟的正式标准，用于全球信息和通信技术基础设施。
FIDO 联盟标准开发高级总监 David Turner 表示：“FIDO 联盟正在通过基于公钥加密技术的开放标准改进在线身份验证，使身份验证比密码或一次性口令更强大、更易用。”
结论
FIDO 协议代表了一种更加安全、便捷的身份验证方式，它通过公钥密码学和现代生物识别技术，为我们提供了一种无需记忆复杂密码的认证体验。随着网络安全威胁的日益复杂和数字化生活的深入，FIDO 标准的普及和应用将会越来越广泛，成为构建安全数字世界的重要基石。
无论是个人用户还是企业组织，了解和采用 FIDO 认证都将有助于提升在线安全性，同时提供更流畅的用户体验。随着技术的不断发展和标准的日益完善，FIDO 有望彻底改变我们对在线身份验证的认知和实践，真正实现无密码的未来。
