传统账号认证过程中，不管是静态密码、证书还是动态令牌，都需要把用户持有的凭证传输到服务端进行验证，但在验证过程中存在伪造用户凭证进行攻击的风险。

基于以上问题，派拉软件在统一身份管理系统中紧跟技术前沿，集成FIDO2协议以及AI行为分析模型，在保证用户身份和设备安全的同时可以进行无密码登录，使得账户的安全性和便捷性同时得到保障。

根据Pew Research的统计，在2017年只有12%的受访者使用密码管理器，甚至有49%的受访者把密码写在纸上。Verizon在《2018年数据泄露调查报告》中指出，81.1%的数据泄露事件都是由于密码泄漏而引起的。为提高账户的安全性，账号认证的安全方式共经历了三次进化。

静态密码认证

安全行业有一个共识：密码终将会消失。但是从目前的情况来看，密码的寿命还会很长，甚至在数量上还有越来越多的趋势。静态密码是由用户自己设定的，一些人为方便记忆，将密码设置为生日或是纯数字，结果遭遇不法分子的轻松破解。目前，静态密码存在如下风险：

1.静态密码的易用性和安全性互相排斥，两者不能兼顾，简单容易记忆的密码安全性弱，复杂的静态密码安全性高但是不易记忆和维护;

2.静态密码安全性低，容易遭受各种形式的安全攻击;

3.静态密码的风险成本高，一旦泄密将可能造成最大程度的损失，而且在发生损失以前，通常不知道静态密码已经泄密;

4.静态密码的使用和维护不方便，特别一个用户有几个甚至十几个静态密码需要使用和维护时，静态密码遗忘及遗忘以后所进行的挂失、重置等操作通常需要花费不少的时间和精力，非常影响正常的使用。

静态密码安全由于等级过低很容易被恶意人员或黑客猜到、破解，从而引发信息泄露事件。有调查表明，超过80%的黑客入侵事件，都是利用了被盗口令或者弱口令，目前，身份窃取已成为黑客最主要的攻击点。

安全设备认证

为了进一步提高账户安全性，双因素身份认证应运而生。最普遍的2FA方式就是短信验证码，OTP动态令牌，基于USBKey的CA认证等等。

短信验证码依赖信任手机和SIM卡以及运营商基站，但手机和SIM存在丢失、被盗，基站存在被伪造的情况，甚至黑客可以通过钓鱼网站、中间人攻击等手段获取用户正确的验证码，从而导致短信验证码验证方式的安全性大打折扣；

OTP动态令牌，UsbKey CA证书使用独立硬件作为身份认证的入口，要随身带硬件设备并且依赖负责的后端服务器来管理，成本较大且在使用过程中十分不便捷，同时，没有统一的认证标准各个厂商各自维护自有协议。

生物特征认证

为了账户的安全性和便捷性同时得到保障，使用人体特有的生物特征作为验证手段是非常有吸引力的，随着计算机算法的发展，生物特征识别的准确率越来越精确，而生物识别的硬件设备也越来越便宜高效，大部分手机厂商已经内置了丰富的生物识别设备，使得生物特征认证越来越受到欢迎。目前的一个趋势是采用即插即用的本地身份认证，用户的隐私、生物特征信息及其产生的私钥保存在可信设备手机之中，具有更好的安全性、便捷性、适配性以及隐私保护性。

 FIDO（Fast IDentity Online）

在线快速身份验证联盟立于2012年，它的目标是创建一套开放、可扩展的标准协议，支持对Web应用的非密码安全认证，消除或减弱用户对密码的依赖。

FIDO认证主要是通过无密码UAF和第二因子U2F来实现安全登录。

无密码的UAF

用户携带含有UAF的客户设备(通常手机或pc就已内置有采集设备)

用户出示一个本地的生物识别特征(指纹、人脸、声纹

网站可以选择是否保存密码

用户选择一个本地的认证方案（例如按一下指纹、看一下摄像头、对麦克说话，输入一个PIN等)把他的设备注册到在线服务上去。只需要一次注册，之后用户再需要去认证时，就可以简单的重复一个认证动作即可。用户在进行身份认证时，不在需要输入他们的密码了。UAF也允许组合多种认证方案，比如指纹+PIN。

UAF适用于典型的2C业务场景，基于手机、平板、智能手表内置的生物识别设备进行验证无需增加其他设备。

第二因子的U2F

用户携带U2F设备，浏览器支持这个设备

用户出示U2F设备，浏览器读取设备证书

网站可以使用简单的密码（比如4个数字的PIN）

U2F是在现有的用户名+密码认证的基础之上，增加一个更安全的认证因子用于登录认证。用户可以像以前一样通过用户名和密码登录服务，服务会提示用户出示一个第二因子设备来进行认证。U2F可以使用简单的密码（比如4个数字的PIN）而不牺牲安全性。U2F出示第二因子的形式一般是按一下USB设备上的按键或者放入NFC。

U2F适用于典型的2B业务场景，基本PC用户的使用场景，企业可以为内部人员配备专业的FIDO设备硬件用于应用系统的登录认证。

FIDO认证在整个身份协议栈位于身份鉴别层，派拉软件IAM产品结合FIDO和基于AI行为分析技术，整个用户登录过程如下：

1. 用户登录，通过浏览器获取手机APP，收集客户端信息、设备指纹、上下文、地理位置等信息，提交到服务端；

2. 服务端根据AI及大数据算法模型，对客户端信息进行分析计算风险值，并根据不同的风险等级，让客户端采用不同安全等级的认证方式；

3. 客户端收到认证请求后采用FIDO或其他认证提交认证凭据；

4. 服务端验证通过，给客户端颁发Token。

在互联网时代下，个人生物特征数据的敏感性对身份认证技术提出了更高的要求，坚持统一的身份认证规范和标准，打破壁垒才能真正实现开放共赢。近年来，随着FIDO相关国际标准的发布，FIDO联盟也在吸引着越来越多的互联网巨头加入，FIDO将会在更多的项目产品中落地。