苹果、微软、谷歌不再掐架,今年要合力干一件大事
总市值超5.39万亿美元的全球科技三巨头,罕见地放下成见、抱作一团,将枪口对准人类数字生活的虚拟守门人——密码。
在5月5日的世界密码日上,苹果、微软、谷歌共同承诺,未来一年将在它们控制的所有移动、桌面和浏览器平台上建立对无密码登录的支持,以打造更安全的个人信息与互联网环境。
这是一次不容小觑的联合行动。苹果占据高端智能手机市场的六成份额,谷歌开发的安卓系统覆盖了70%的全球用户,微软则是电脑操作系统领域无可撼动的霸主。
三巨头联手,“杀死”密码胜利在望?
罕见的统一战线
无密码比密码更安全,听起来多少有些反常识。但对很多人来说,无密码这一概念并不新鲜。
在PC端登录微信,就是一个简单直观的无密码场景:在PC端点开微信后,手机收到确认信息,然后通过手机认证完成登录。生活中常常用到的指纹解锁、扫脸支付等,也可以归为无密码技术范畴。
事实上,习惯了自动登录和手机验证登录的用户,恐怕已经没有多少人还记得自己的微信密码。在这种情况下,密码还有存在的必要吗?
在普通用户意识到这个问题之前,苹果、微软、谷歌已经为构建一个无密码的世界探索数年。
在不久前的苹果全球开发者大会(WWDC 2022)上,苹果公布了一项名为“Passkeys”的新技术。当用户需要使用某个网站或应用时,iPhone会收到请求,用户可以直接通过指纹或面容ID在iPhone上进行身份验证,从而直接登录。
图片来源:WWDC发布会
这个过程并不复杂,而且有两个好处:一是不需要记住密码,二是整个过程在一部iPhone上就可以完成。这意味着,用户的任何私密信息都不会被第三方的网络服务器储存和泄露,安全性大大提升。
正如苹果互联网技术副总裁Darin Adler所说,Passkeys不会被盗用,因为它永远不会离开你的设备。
在苹果之前,微软与谷歌也早已在无密码领域布局多年。
早在2017年,微软就尝试用Microsoft Authenticator让用户免密登录微软账户。2018年,微软将这一功能升级并应用在Edge浏览器和Windows 10系统上。据微软官方数据,截至2020年5月,每月有1.5亿用户在使用无密码登入。
2021年,微软宣布从当年9月15日起,用户可以完全删除他们的微软账户密码,并选择使用Microsoft Authenticator应用、Windows Hello、安全密钥等方式认证登录设备。
谷歌则在2019年宣布,在Android 7.0及以上版本中,可调用指纹或面部识别等登录某些支持的网站。
在“杀死”密码这件事上,三巨头罕见地达成了共识。iOS与Android、Windows与MacOS,这次不再为市场份额大打出手,而是要实现互联互通。
2013年、2015年和2020年,谷歌、微软、苹果先后加入FIDO联盟。FIDO(Fast Identity Online)联盟即线上快速身份验证联盟,是一家由PayPal、联想等企业于2012年7月成立的非盈利性行业协会,目前成员已扩大至300余家,其中包括ARM、苹果、三星、亚马逊、阿里巴巴、华为、Netflix等知名企业,以及各国政府的标准制定机构和学术团体。
它们共同的敌人,是曾在互联网历史上扮演重要角色,但也给人类带来巨大困扰和安全风险的密码。
天下苦密码久矣
从开机密码、邮箱密码到各类网站的登录密码,密码几乎渗透到了生活的每一个角落。记住各种复杂的密码,则成为人们不得不面对的一大挑战。牛津大学与万事达卡联合进行的一项研究发现,有三分之一在线购物中止,是因为用户忘记密码。
密码管理软件Nordpass给出的安全密码建议是,至少12位数,包含大小写字母、数字及特殊符号,并且每90天要至少更换一次。
达到以上密码安全建议,且不重复使用密码,对普通用户来说无疑是一种负担。
事实上,多数人对于密码安全不以为意。
据微软2016年数据,大约20%的互联网用户正在使用重复密码,另外27%的用户使用的密码与其他帐户密码几乎完全相同。到2018年,仍然有很大一部分互联网用户偏爱弱密码,而不是安全密码。
Nordpass公布的2021年最常用密码榜单显示,“123456”出现了超过1.03亿次,只需要不到一秒钟就能破解。据FIDO官网数据,80%的数据泄露是由密码造成,多达51%的密码被重复使用,而重置一次密码的平均人力成本是70美元。
图片来源:Nordpass网站
一面是多数密码形同虚设,另一面是密码本身的安全缺陷远比人们想象中更大。
据路透社报道,2020年6月,世界著名网络安全组织Awake Security发布的一份公开报告指出,谷歌公司旗下的浏览器Chrome存在严重漏洞,使上千万用户的个人资料遭黑客窃取。经统计,恶意的后台程序至少被下载了3200万次,这意味着3200万用户的密码很有可能已被黑客窃取。
2014年9月,苹果的iCloud遭到黑客攻击,导致密码泄露,大约200位名人明星的私密照片在互联网上传播。
2018年,由于苹果在线商城和手机保险公司Asurion网站存在的漏洞,造成约7200万 T-Mobile运营商用户的密码泄露。
日益严峻的密码安全问题不仅给个人和企业带来风险,甚至可能威胁国家安全。
据中国网络安全审查技术与认证中心发布的信息,来自AntiSec组织的攻击者曾向美国政府军方承包商 Booz Allen Hamilton 进行攻击,并发布9万个美国军方电子邮件地址和密码,包括美国中央司令部、特种作战司令部、海军陆战队、空军部队以及国土安全局的账户密码。
天下苦密码久矣。面对层出不穷的密码安全事故与隐患,苹果、微软、谷歌亟需将更安全、更高效的无密码技术推向前台。
2022年,FIDO联盟的技术革新加速了这一进程。
在5月5日的世界密码日上,三巨头联合宣布扩展对免密码登录通用标准的支持, 预计在未来一年内解决跨平台认证的痛点。
与以往不同的点在于,此次FIDO在跨平台运行上取得了两个新的突破。一是允许用户在多台设备、包括新设备上自动访问FIDO登录证书,而不必重新注册每个账户;二是允许用户在移动设备上使用FIDO认证,以通过附近的设备登录App和网站,无论这些设备运行哪种操作系统平台或使用哪种浏览器。
一个月后,苹果率先在WWDC交出了第一份答卷。Passkeys不仅支持苹果全家桶中的iPhone、iPad、Mac、Apple TV间跨设备认证,同时用户也可以用iPhone解锁FIDO联盟中的其他非苹果产品。
但“杀死”密码,没那么容易。
“杀死”密码不容易
上世纪40年代,为破译德军密码,英国研制出了大型电子运算装置科罗萨斯(Colossus),这是人类历史上第一台可编程的计算机。计算机因破解密码而生,并随后孕育了互联网。
80年后,互联网诞下的科技巨子们却要“杀死”密码,打造一个更方便、更安全的无密码世界。这是一个无比艰巨的任务。
比计算机还要年长的密码,早已渗透到生活中的各个角落。“杀死”密码,不止是技术升级,也是改变一种生活习惯,而这并不容易。正如FIDO联盟的执行董事、CMO Andrew Shikiar所说:“几乎所有用户要做的第一件事就是设置密码,我们需要做的是打破这种习惯。”
2020年,Windows 10的活跃用户数量首次突破10亿。而当年5月微软公布的每月无密码登入使用人数是1.5亿,只有约15%。此时,距离微软在Windows 10上推广无密码登录已经过去近两年。
除了用户习惯难以在短时间内被改变外,横亘在三巨头面前的另一座高墙是:若要实现无密码登录,首先要拥有一部智能手机。
据Strategy Analytics统计,截至2021年,全球有39.5亿人用上了智能手机,普及率约为50%。此外,并非所有智能手机都能运行无密码技术。苹果即将推出的Passkeys需要更新iOS 16版本才能使用,而iPhone SE 2016、iPhone 7之前的老款手机均无法获取iOS 16的更新。
这意味着,如果在全球范围内推广无密码登录,现时将会有至少一半的人无法使用。
此外,虽然FIDO联盟在跨平台应用上取得了进展,但跨平台的密钥转移依旧是一大痛点。简单来说,虽然苹果手机可以在FIDO框架下解锁非苹果产品,但当用户更换成安卓手机后,保存在终端上的密钥也需要批量转移。
专注于报道苹果新闻的外媒9to5Mac表示,FIDO目前提供的解决方案,还无法在不同生态系统之间批量传输密钥。如果想从Android手机切换到iPhone(反之亦然),用户将无法移动所有密钥。相比之下,密码则更容易转移。
正如苹果互联网技术副总裁Darin在WWDC上描述的一样,脱离密码的转型是一场旅程。在这场旅行中,不仅需要苹果、谷歌、微软,也需要全球的企业和用户共同参与其中。
2022年历史的车轮格外喧嚣,iPod、IE浏览器、中国区Kindle先后被无情碾过。如今,密码也看到了远处扬起的沙尘。只是这次,科技巨头“三英战吕布”,密码还远未见到白门楼。
本文系作者授权本站发表,未经许可,不得转载。