考虑到生物鉴别的问题，我们如何消除密码？

Question

我读过文章，它暗示密码最终会像恐龙一样，被生物识别技术、PIN和其他认证方法所取代。这个片状声称微软、谷歌和苹果正在减少对密码的依赖，因为密码是昂贵的(更改密码)，并且具有很高的安全风险。另一方面，计算机亲民的迈克·庞德博士声称我们将永远需要密码(我认为这是正确的视频)。

但是正如这奇妙的安全StackExchange线程所指出的，生物识别技术并不完美。诚然，这些批评大约有六年之久，但仍然站得住脚。此外，也许我对生物特征数据的存储方式有一个根本的误解，但是如果这些信息被破坏了呢？更改密码可能是繁琐而昂贵的，但至少可以更改。我不确定生物鉴别如何解决这个问题--因为我不能改变我的脸、虹膜、指纹等等--或者它是否需要解决这个问题。

那些认为我们可以消除密码的人过早地打开香槟酒瓶，还是他们的预测是正确的？

Answer 1

首先，让我们记住，生物识别解决方案的供应商在恶意攻击密码以推广他们自己的产品和服务方面有既得利益。这关系到钱的利益。他们有东西要卖给你，但这并不意味着你在购买他们的东西后会更好。因此，人们不应从表面上接受供应商的索赔。

此外，也许我对生物特征数据的存储方式有一个根本的误解，但是如果这些信息被破坏了呢？更改密码可能是繁琐而昂贵的，但至少可以更改。我不确定生物鉴别如何解决这个问题--因为我不能改变我的脸、虹膜、指纹等等--或者它是否需要解决这个问题。

这正是生物识别的最大问题。受损的“令牌”不能被撤销。已经发生了大规模的违规事件。一个破坏性的事件，将有许多年的后果是OPM数据泄露。

面孔不能被保护。它们实际上是公共知识。如今，许多人在互联网上露面。指纹可以从玻璃杯上检出。这些不是秘密。

最重要的是，收集生物特征数据是大规模监视个人的有力工具。即使是最民主的政府也不能被信任。技术也改变了政府和社会互动的性质--并不总是好的方式。

我们必须考虑权衡:与你可能失去的东西相比，你有什么收获。方便值得冒险吗？并不是每个人都相信。

因此，这不仅是一个技术问题，也是一个具有巨大影响的社会问题。提示:中国是基准。

假阳性率或阴性率也是一个问题。有些人因其身体特征而无法入学。密码是明确的。你要么知道，要么不知道。生物特征=概率的计算。

仅依靠生物识别技术是不明智的关键应用程序。因此出现了多因素认证。

例如，3因素身份验证将是：

• 你拥有的东西:例如智能卡
• 你是什么:这就是生物识别技术发挥作用的地方。
• 一些你知道的东西:例如密码

客观地说，生物特征识别技术在一些市场/应用中正在取得势头，而没有完全取消密码。这不一定是零和游戏。

Answer 2

但至少可以改变

它们经常变化--取决于你吃了多少/喝了多少。环境照明有很大的影响。年龄。执行测量的设备的变化。生物特征识别的工作是由测量的属性足够接近一些基线记录，以被认为是软件匹配。“足够近”并不适用于加密密钥--仅用于身份验证。这是一个更糟糕的问题，对2FA令牌-这只是证明你拥有一个秘密分享的秘密。身份验证过程的两端都需要以纯文本形式提供秘密。

密码有问题。2FA令牌存在问题。生物识别技术有问题。缺乏DNA测序(不可行)，最可行的方法，以强大的安全性是结合不同的方法。

Answer 3

我不太明白修改密码的代价是从何而来的，在密码存储和网站登录更改密码的过程中工作并不是很昂贵，比打开一个新的web选项卡和接收一封电子邮件更昂贵。

PIN本质上是较弱的密码(至少作为我对"PIN“的定义)。

生物识别技术有一个问题:如果它们被破坏了，你就不能自愿地迅速改变它们。此外，一旦有人能接触到你(比如你被捕时)，他们就可以利用你的生物特征，进入你所有的账户。

减少依赖。许多公司正在减少对密码的依赖，并已开始使用双因素身份验证。它有很多种形式，但可能是通过电子邮件链接确认更改，输入文本发送给您的代码，或者有一个特殊的应用程序来确认您的决定。双因素认证是不完善的，有几个缺陷，是烦人和冗长，但也是相当有效的。

生物特征存储。这是粗略的部分。尽管密码可以以超级安全的方式存储，但生物识别技术并不能真正做到这一点，因为您需要将配置文件与输入进行比较，这意味着该配置文件可能会被窃取。生物识别技术也是相当脆弱的，因为它们在你身上经常可见。(指纹，虹膜，DNA，语音，面部识别)这使得窃取/复制它们变得很容易，如果密码管理得当的话，密码就更难了。

总之，如果正确使用密码(大多数人不这样做)，那么密码就很好了，并且可以使用两个因素身份验证(或者@匿名者指出的更多的因素)来大大改进密码。