大家是不是都对华为手机更新后出现的“FIDO安全密钥”感到疑惑呢？下面就为大家简单解惑一下。
传统手机支付保护
传统手机支付保护缺点太明显，比如：
- 口令：过于简单不安全，过于复杂难记忆；
- 短信验证码：“伪基站”表示它能劫取短信，银行表示每年的短信费有点高；
- 手机盾：随身携带太麻烦，银行表示短信费还没算完就又要买U盾了…
于是，新的安全认证方式就开始出现了，例如利用指纹、人脸等具有唯一性的生物识别特征进行认证。
FIDO联盟
FIDO联盟，英文全称 Fast Identity Online，即线上快速身份验证联盟。成立于2012年，目标是创建一套开放、可扩展的标准协议，支持对Web应用的非密码安全认证。该协议为在线与数码验证方面的首个开放行业标准，可提高安全性、保护私隐及简化用户体验。
FIDO主要通过两个标准协议来实现安全登录（验证）：
- 无密码体验FIDO UAF：指纹—生物识别；
- 双因子体验FIDO U2F标：密码—U盾等设备 ；
1、无密码的UAF(Universal Authentication Framework）
①用户携带含有UAF的客户设备(通常手机或pc，内置采集设备)；
②用户出示一个本地的生物识别特征(指纹、人脸、声纹等)；
③网站可以选择是否保存密码；
用户选择一个本地的认证方案（例如按一下指纹、看一下摄像头、对麦克说话，输入一个PIN等）把他的设备注册到在线服务上去。只需要一次注册，之后用户再需要去认证时，就可以简单的重复一个认证动作即可。用户在进行身份认证时，不再需要输入他们的密码了，UAF也允许组合多种认证方案，比如指纹+PIN等。
UAF适用于基于手机、平板、智能手表等已内置生物识别的设备进行验证，无需增加其他设备。
2、双因子的U2F（Universal Second Factor）
①用户携带U2F设备，浏览器支持这个设备；
②用户出示U2F设备，浏览器读取设备证书；
③网站可以使用简单的密码（比如4个数字的PIN）。
用户可以像以前一样通过用户名和密码登录服务，服务会提示用户出示一个第二因子设备来进行认证。U2F可以使用简单的密码（比如4个数字的PIN）而不牺牲安全性。U2F出示第二因子的形式一般是按一下USB设备上的按键或者放入NFC。
U2F适用于基于PC的使用场景，企业可以为内部人员配备专业的FIDO设备硬件用于应用系统的登录认证。
无密码登录
2019年3月4日万维网联盟（W3C）宣布：Web身份验证API（WebAuthn）现在已成为官方Web标准。
WebAuthn于2015年11月由W3C和Fido联盟宣布，现已成为网上无密码登录的开放标准。它由W3C贡献者支持，包括Airbnb、阿里巴巴、苹果、谷歌、IBM、英特尔、微软、Mozilla、PayPal、软银、腾讯和Yubico。
该规范允许用户使用生物特征、移动设备或FIDO安全密钥登录在线帐户。Android和Windows10已经支持WebAuthn。在浏览器方面，谷歌Chrome、Mozilla Firefox和微软Edge、苹果Safari浏览器都已支持WebAuthn。
安全性
目前，没有比FIDO再安全的了！
总结
FIDO是一种在线验证用户身份的技术规范。在使用它时，需要搭配一种需要随身携带的称为安全密钥的硬件设备，它的外观通常类似U盘、U盾，功能也跟U盾类似。而华为手机上的FIDO安全密钥功能可以在一定程度上代替安全密钥硬件设备。
总之，大多数人都无法记住那么多系统的密码，安全可靠的无密码登录技术肯定是未来的趋势；FIDO相关国际标准的发布，FIDO联盟越来越多的互联网巨头的加入，FIDO将会在更多领域产品中落地。
喜欢“春石秋成”的朋友，欢迎关注我！
閱讀更多 春石秋成 的文章
