哪些流行的在线服务允许使用数字签名进行无密码身份验证？

Question

我正在寻找允许客户端使用数字签名进行身份验证的web服务。

特别是在电子商务和支付方面，客户通常使用名称和密码进行身份验证(有时使用额外的因素)。我正在寻找完全不同的东西:通过对服务器提供的挑战进行数字签名来对客户端进行身份验证的服务，否则根本不提供密码。

我对电子商务领域的web服务特别感兴趣，但我将使用任何著名的web服务来构建mashup演示--到目前为止，我还没有找到任何一个。

你们中有谁熟悉这样的服务吗？

Answer 1

由于保护私钥和管理证书的开销，PKI在企业之外并不是一种非常流行的2个因素认证方法，但是有一些商业解决方案可用。

看看Layer7。

几年前，我曾为巴尔的摩技术 (以第一次立法数字签名(比尔·克林顿和Bertie )而闻名)工作，我们看到的正是你想做的事情。使用数字签名的双因素身份验证。真正的问题是：

• 密钥将在哪里生成和存储？
• 谁能拿到钥匙？和
• 如何在客户端与保存密钥的设备之间进行接口？

这些问题很难回答，但是像TPM这样的技术最终可能会解决其中的一些问题。然而，钥匙仍然不能移动。所以也许最终我们可以用移动设备来存储密钥？但是，当设备丢失/被盗/损坏时会发生什么呢？另外，为了身份验证，我们如何链接到设备到客户端浏览器？

也许我看到的设备身份验证最有趣的实现是由巴克莱银行( Barclays )实现的。PINSentry使用手持设备和银行自动取款机/借记卡向巴克莱在线服务提供认证。看看它。这不是一个PKI实现。它是一个一次性密码应用程序，但应用程序是在智能卡上执行的.

最流行的双因素身份验证方法是一次性密码。它们有多种形式，可以由专用设备或移动设备提供。看看奥西，VIP接入或者Google 验证器。