信息化时代，越来越多的运作方式开始变得简单化，更多的操作流程被向上推到数字世界里。比如，电子身份证通过人脸识别技术，把身份证插进微信、支付宝里，忘带身份证的你不用再折返回家，带着手机就可以现场完成工商注册登记；不需要去线下银行，只需要人脸识别/密码成功登录手机银行APP，即可进行转账汇款等操作。

只需要经过安全的身份认证，系统/机构判断出“你”是你，便可以顺畅便捷地在数字空间完成很多事情。作为安全防护的第一道墙，身份认证开始变得越发不可或缺。那么，是谁在证明“你”是你？又是怎么做到的呢？这些方式的安全性有保障吗？

身份认证（即“身份验证”或“身份鉴别”）是证实个人真实身份与其对外的身份是否相符的过程，从而确定信息是否可靠，防止非法人员假冒其他合法人员获得一系列相关权限，保证信息的安全及个人合法利益。

在现实中，对身份进行认证的方式有很多种，但大多数是基于信息秘密、信任物体、生物特征这三种验证方法。

• 信息秘密如静态密码、共享秘钥、动态口令等，根据已知的信息来证明身份（what you know），设置某些信息只有某些人知道，如登陆邮箱，可通过输入密码来确认邮箱所有者的身份。
• 信任物体如身份证、智能卡、印章等，根据个人所拥有的东西来证明身份（what you have），比如说，当你成为公司员工时，获得能够识别身份的智能卡，证明你属于这个公司，同时记录个人身份信息。
• 生物特征主要是指人脸、虹膜、指纹、声音等等，根据独有的身体特征来证明个人身份（who you are）。以人体唯一不变的生物特征为依据，利用计算机的强大功能和网络技术进行图像处理和模式识别，与传统的身份确认手段相比，具有很好的安全性，可靠性和有效性。

在信息系统中，计算机仅仅识别用户的数字身份，对用户的授权就是对用户数字身份的授权。

当我们打开网页连接到服务器，输入用户名和密码时，系统会对用户进行单向的身份认证，当用户名和密码都通过了验证，用户就可以使用系统分配的权限执行相关操作。

由于用户名和密码属于静态口令，因此很容易被驻留在计算机内存中的木马程序或者网络中的监听设备截获。

在现实生活中，我们每个人可能还会拥有很多的物理身份。为了保证操作者与数字身份相对应，大多数场景应用是通过组合两种或两种以上要素，组合形成安全可靠的身份认证系统。

因此，根据不同的身份认证手段，身份认证技术可分为：

•  根据认证设备，身份认证技术可以分为软件认证和硬件认证；
• 根据认证信息，身份认证技术可以分为静态认证和动态认证；
• 根据验证条件，身份认证技术可以分为单因子认证和双因子认证。

这么多种身份认证方法，在现实中是如何应用的？这里选择了行业里普遍采用的几种认证技术，展开和大家地详细地说一说。

PKI认证技术

PKI（Public Key Infrastructure，公开密钥基础设施）是采用非对称密码算法和技术，来实现和提供安全服务，并具有通用性的安全基础设施，是一种遵循既定标准的密钥管理平台，它能够透明地为所有网络应用提供采用加密和数字签名等密码服务所必需的密钥和证书管理。

完整的PKI系统包括软硬件系统、证书机构（CA）、注册机构（RA）、证书资料库、密钥管理系统（KMC）等。

那么PKI技术是如何实现身份认证的呢？它的安全性如何？

在身份认证领域，PKI主要是用来发行“身份证明书”，其核心内容就是证明书的制作和分发的机制，注册中心（RA）只负责接受用户的注册和申请信息的鉴别，审核用户身份，并决定是否同意认证中心给申请者签发数字证书。

数字证书是一种权威性的电子文档，由权威公正的第三方机构，即CA中心签发的证书。它以数字证书为核心的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证，确保网上传递信息的机密性、完整性。

在PKI机制中，公开密钥可以被任意的自由分发，如果发送的内容被他人盗取了，只要保证接收人的私人密钥不被盗走，其他人也无法破解。

PKI是实现身份鉴别、数据保密性、完整性、不可否认性等安全服务的重要支撑，PKI体系让安全保护不再单一的依托于软件，而是采取硬件形态的安全模块，能够为个人重要信息提供底层的安全加固和更高规格的安全保障。

智能卡认证技术

智能卡是一种内置集成电路的卡片，卡片中存有与用户身份相关的数据，并由特定的制作厂商生产，是不可复制的硬件。

智能卡认证技术是基于信任物体的手段，通过硬件＋软件两种模式，双重保证用户身份信息。

但由于每次从智能卡中读取的数据是静态的，还是很容易通过内存扫描或网络监听等技术截取到用户的身份验证信息，所以通过智能卡进行身份认证仍然存在一定的安全隐患。

动态口令认证技术

动态口令认证是目前被普遍认为较为安全的一种身份认证方式。动态口令认证是基于时间同步方式，产生6位动态数字进行一次一密的方式认证，用户使用时只需要将动态令牌显示的当前密码输入客户端计算机，即可实现身份的确认。

由于用户每次使用的密码都不相同，即使黑客截获了一次密码，也无法利用这个密码来仿冒合法用户的身份。

无论哪一种身份认证，都不是百分百的安全，那我们应该怎么避免这些不安全威胁呢？

诚然，随着网络安全技术的持续发展，身份认证系统的设计也在不断的完善，很多认证系统会选择多个服务器来执行信息密码认证，防止大量的网络钓鱼攻击和按键记录软件截取获得用户密码，确保用户信息不泄露。

但是，身份认证受到的攻击依然防不胜防。在日常生活中，可能很多人在多平台拥有多个账号，各个平台为了提高安全性，提供的认证方式和认证过程会比较繁琐，因此大家经常性地会选择重复使用或创建单一且容易记忆的密码，这会导致账户很容易受到网络钓鱼和攻击。

除了平台提供的完善解决方案，于个人而言，需要提高安全意识。比如在设置密码时，限制多个密码的重复使用，且需要定期修改，最好设置字母、数字、特殊字符等多种组合密码，对特别需要加密的内容设置多道密码，设置高安全度密码并且定期修改，保证个人信息安全。

重要声明：本文来自公钥密码开放社区，经授权转载，版权归原作者所有，不代表开元旗牌观点，转载的目的在于传递更多知识和信息。