2016-07-10當單一密碼認證不再安全...輔助密碼的身分認證機制，你了解多少？

張貼日期：2016/7/10 上午 11:10:16

系統想要在密碼以外，進一步驗證使用者的身分，採取用戶所有的物品進行再次確認，也是相當常見的做法。在我們生活之中，這種機制隨處可見，例如使用金融卡提款，就必須在提款機插入卡片，並且驗證密碼後，才能執行提款、轉帳，或是帳戶餘額查詢等作業。

其實所謂的二次身分認證的範圍相當廣泛，像是避免機器人暴力測試密碼，要求使用者必須額外輸入圖片中的文字，或是點選含有特定物品的圖片，也符合這樣的定義，只是上述兩種機制的目的，在於確認操作者為人類，因此不足以用來代表某個使用者。

論及代表身分的做法，像我們生活中持有的健保卡、悠遊卡，或是公司門禁的感應卡，其實都是現在相當普遍的例子，在過去5至10年之前，採用感應卡的公司還不多，較早到公司的員工，必須要持有鑰匙，才能進出。但如今可以看到不少人只要利用工作時配戴的識別證，就能進入公司大門，也取代上班打卡或是簽到的流程，這就是我們生活周遭中，利用Token取代存取權限和身分識別的其中一種應用，甚至某些卡片能夠整合上述多張卡片的功能，例如部分信用卡和門禁卡，同時結合悠遊卡和便利超商icash小額付款的功能，這種形式現在也相當常見。

此外，企業想要在內部建立這種身分認證方式，在使用者端常見的驗證工具，還有動態密碼Token、透過USB連接的憑證等，像憑證必須連接電腦使用，甚至需要讀卡機。

而動態密碼Token不像卡片便於攜帶，以往接受的程度較為有限，因此近年來，不少系統也開始在智慧型手機上提供身分認證專用的軟體，試圖提升使用者接受的意願：使用者只需安裝，就能利用iPhone與Andriod手機執行相關的進階身分驗證。

• 以光學感知器加強Token認證的強度

由於Token裝置型式相當多元，也有廠商在這類裝置加入其他功能，增加它的身分認證元素，例如Device 200就以光學感知器讀取閃爍訊號，取代計算機型式的Token在輸入挑戰碼的不便，算是目前相當少見的設計。

大型知名網站服務領軍，開始提供第二階段身分認證機制

在像是Google、Facebook、Twitter、LinkedIn等，納入相關的進階身分認證機制，最常見的一種方式，就是在使用者提供了帳號與密碼之後，要求再輸入一組由系統發送到手機的認證碼。這組密碼只能使用一次，之後再重新登入系統時，必須再取得新的認證資料，才能登入。不過，這項功能並非強制性，因此使用者必須自行啟用，才能享用這樣的防護措施，而且想要使用這樣的服務有個前題，那就是使用者必須擁有行動電話。

在上述提供第二道驗證機制的網站服務中，Google與Facebook都屬於傾向主動提醒使用者啟用相關功能，甚至像前者，自去年開始，每年在全球網路安全日（每年二月的第二個星期二），以贈送2GB雲端硬碟空間為號召，發動使用者檢查帳戶的安全性。但即使像Google採取這種免費大放送的態度，藉著活動讓使用者再次看到他們提供二次身分認證服務，很多使用者可能基於不想提供電話號碼等考量，還是維持傳統帳號與密碼的設定，並未啟用這些服務。

採取獎勵措施，使用者恐怕都不一定願意啟用相關機制，更別說像是Twitter、LinkedIn，這些網站雖然支援第二重的身分認證功能，然而在沒有提醒使用者的情況下，用戶不一定知道網站已經提供這類防護措施，自然也不會採用。

值得留意的是，更多的網站並沒有提供這種二次認證服務，畢竟對於網站服務業者來說，要增加相關認證機制、發送認證碼簡訊都是營運成本，規模較小的網站可能難以負擔這些費用。其中，許多網站支援利用Facebook或Google+等帳號登入的做法，但是，在連接兩個網站帳號的安全性不對等，仍然可能造成網路安全的隱憂。

即使網站業者導入了這些驗證措施後，也積極向使用者宣導，甚至希望透過試圖簡化流程的方式，獲得使用者採用的意願。例如，Google也在近期推出了新的進階身分認證方法，使用者也能選用透過智慧型手機確認的推送方式，不需要在電腦上輸入認證碼，這種做法大幅降低這種進階身分認證流程，因此對於不甚熟悉電腦鍵盤輸入的使用者，運用此種措施，也較容易完成第二階段的身分認證。

大多數的網站或是網路服務，或許基於某些考量，往往還是採取鼓勵、非強制的態度，但也有例外。像即時通訊軟體Line以往帳號遭盜用的情況嚴重，因此現在便要求帳號必須與手機結合，而採用帳號密碼登入電腦版Line時，系統便要求使用者必須在這隻手機App中，輸入指定的驗證碼，或是選擇直接以手機App掃描電腦螢幕上的QR Code，電腦版軟體才能正常登入使用。

雖然這種強制性的做法，同時考驗著使用者的接受度，然而，也因為Line擁有一定規模的忠實使用者，換言之，這些人在需要使用的情況下，必須依照相關的流程執行身分認證。在使用者身分遭到竊取及濫用的情況日漸惡化，或許接下來會有更多的網路服務與網站，陸續改用較為強制性的多重身分認證措施。

Google提供多種二次身分驗證措施

在Google的服務中，兩階段身分認證的方式可透過手機，或是專屬的安全金鑰裝置等工具執行。系統預設的是由簡訊發送第二階段的認證碼，然而最近Google推出在手機中的提示功能，用戶只要在手機上確認就能正常登入使用。

企業身分驗證的方法更加多元，不再只是強式密碼

而在企業環境，與一般公開的網站、網路服務有很大的不同。首先是企業內部的範圍，比起供一般大眾使用的服務範圍較為具體，基本的使用成員就是內部員工，其次為外部的合作廠商與客戶等；再者，由於使用者必須配合公司規範，因此或許可以針對高機密的設施，採取較為嚴謹、複雜的身分認證方法，也能採用像是特定的Token與生物感應設備等。

但最基本的設施，就是將使用者的身分統合，最常見的做法就是採用微軟的AD網域服務，或是以LDAP服務，整合使用者在各種應用程式上的身分認證。這樣的做法下，使用者只要通過AD或LDAP的網域服務身分認證，系統就會自動代為登入電子郵件信箱、存取特定的資料和應用程式，可以說是只要一把鑰匙，就能夠取用所有獲得授權權限的系統。

而像AD網域服務而言，可要求使用者採用高強度的認證密碼，並且定期更換，以及密碼不能重複使用等措施，這些規則雖然是老生常談，卻是相當嚴格的密碼管制措施，但畢竟這些政策仍有選擇使用與否的空間，若是出現使用者反彈的聲浪，IT人員最後很可能被迫關閉相關密碼政策。

此外，對於使用者而言，複雜密碼也往往難以記憶，因此儘管系統強制要求做到相關措施，使用者也有對策。最常見的做法之一，就是用便利貼將密碼貼在螢幕邊框上，但這種方式，形同所有看到便利貼的人，都曉得密碼的內容。

對於早期的Windows作業系統而言，最大的罩門在於每臺電腦都有最高權限的Administrator帳號，形同對駭客而言，每臺電腦都有預設的後門帳號，只要猜到密碼，就能取得電腦控制權。雖然Windows 8之後微軟改變做法，使用者並不能隨意登入這個帳號，但由於PC換機潮始終沒有發生，使用者不願採用Windows 8等因素，也連帶影響這種機制的推行。

因為必須克服使用者可能難以落實使用強式密碼的情況，其他的身分識別措施也因應而生。例如採用生物特徵，像是指紋、掌靜脈、臉部辨識等等，但這類設備的建置成本比較高昂，若是企業的規模不夠大，可能也難以負擔導入這些身分驗證機制的費用。

但近幾來，情況開始改觀，在消費端的應用中，2013年推出的iPhone 5s，開始內建指紋辨識功能，算是一般使用者開始能夠感受到生物辨識普及的開端。

此外，臺灣也有一些企業開始針對顧客，提供這方面的簡化身分認證作業流程。像中國信託推出指靜脈ATM，使用者只需要透過手指靜脈辨識，就能提款或轉帳，皮包裡就不需要再攜帶提款卡；而花旗銀行則是將使用者的聲音辨識運用在客服系統，客服人員可以快速得知來電者的身分，免去確認消費者個人資料所造成的不便。

雖然採用使用者的生物特徵，較具識別性，然而對於不願意導入此類技術的公司而言，也能利用派發給使用者特定的辨識設備，就像是古時候驗證身分的信物一般，做為第二個身分認證措施，其中，我們前面提到的門禁卡就算是其中的一種。

但自從2011年的RSA SecurID憑證外洩事件之後，使用者對於這類產品產生信任危機，或許也是以前這類身分認證工具並未非常普及的因素之一。然而，近年還是有廠商試圖改良這種身分認證機制，例如今年引進臺灣市場的新興資安品牌Datablink，他們主打的就是支援光影閃爍辨識功能的Device 200，它能藉此取得畫面上的特定驗證資訊，產生供使用者執行身分認證的認證碼。

此外，這種特定的閃爍訊號，也可以讓Device 200同時取得畫面中的多筆資料，像是網路轉帳可能會包含轉入的分行、帳號、交易金額等內容，做為進一步比對的資訊。Datablink支援這些做法的主要目的，是設法避免過程中，遭受中間人竄改與身分認證資訊沒有直接相關的交易資料，藉此一併驗證傳送前後的相關內容，是否符合。

多元的Token裝置可供選用

Token的型式相當多元，像圖中SafeNet的型號就多達6款，包含卡片的型式、附數字鍵盤的計算機Token，也有像隨身碟的Token，企業可依據登入需求採用一種或多種Token。

平板電腦內建人臉辨識技術

微軟在Windows 10中內建了Windows Hello生物辨識功能，而Surface Pro 4是搭配相關辨識硬體的示範性機種之一，包含平板機身提供的臉部辨識功能，以及連接特定鍵盤保護套後，也能以指紋辨識的方式使用Windows Hello登入作業系統。

透過指靜脈辨識身分

一般而言，生物辨識大多針對單一特徵進行採樣，然而也有採取兩種方式結合的做法，例如NEC指靜脈辨識器就同時辨識指紋與指靜脈，並且為非接觸式讀取設計，減少接觸辨識時，可能會殘留指紋的情況。此外，NEC也研發人臉、聲紋與簽名等生物辨識的技術。

掌靜脈身分辨識也能透過滑鼠執行

在研發掌靜脈辨識領域中，富士通算是相當知名的品牌，這類身分認證往往用於門禁管制設備，而後來富士通也將這樣的功能整合到筆電中，但對於沒有內建的這種辨識裝置的電腦，使用者只要透過PalmSecure滑鼠，還是可以執行這種方式的身分認證。

企業除了自行建置身分認證措施，也能選擇隨租即用的解決方案

想要導入相關的身分認證措施，企業也會考量建置成本，若是一旦有任何狀況，很可能前期的付出就成為浪費。因此，有些身分認證的解決方案，也走向管理後臺隨租即用的模式，試圖減少導入初期的負擔。

例如，前述整合使用者身分的AD網域服務，也有雲端服務的解決方案Azure AD，它可以與企業內部AD整合，以及串接如Office 365等雲端服務，並支援多因素驗證等功能，只是想要用它來取代傳統AD，除了列管設備必須連上網際網路，目前只有執行Windows 10作業系統的電腦，才能加入Azure AD網域，比起傳統AD而言，作業系統的要求較高。

而在專精於身分與資料安全公司Gemalto，旗下的SafeNet就有提供雲端認證管理平臺，在臺灣這個服務由是方電訊代理，採取以使用者人數計價、隨租即用的策略，對於不想初期就投入大量建置成本的企業，也許可以採取這種解決方案。

身分認證管理平臺也能從雲端提供服務

SafeNet提供無需自行架設管理後臺的進階身分認證解決方案Authentication Service，在儀表板中，管理者可看到使用者執行認證的狀態，或是輸出報表、制訂相關政策等。此外，這個平臺也支援透過發送認證碼簡訊的方式，進行身分認證。