为了保护应用程序和数据的安全，我们每个人都在使用十多个甚至近百个密码。当用户需要记住数百个用户名和密码组合并定期更改它们时，他们往往会重复使用相同的组合。这使得网络罪犯更容易得逞，Verizon最近的《数据泄露调查报告》发现61%的违规行为涉及登录信息泄露。用无密码登录认证（利用生物识别等因素来实现验证）取代基于密码的认证被认为是应对近期网络攻击激增的有效解决方案。人们期待无密码技术带来易用性、安全性和广泛性等多维度的变化，让用户获得更好的用户体验和安全保障。但根据最近的一项调查显示，近50%的受访企业并未采用无密码登录技术，22%的企业组织不相信该技术的实际应用效果。这种无需密码登录的新兴技术的落地应用，似乎进入了“死胡同”。研究人员发现，阻碍采用无密码登录技术的关键因素不是技术限制或缺陷，而是企业身份和验证控制的现状。在很多企业中，身份管理（证明）和认证还是比较独立的，很多广泛使用的应用在设计和开发时都没有合理考虑如何支持无密码登录。身份证明和身份验证经常被混淆，但两者是不同的概念。身份证明（即确定谁是谁）通常是指一个过程，而身份验证是指在访问网络、应用程序或数据资源时验证访问者身份的合法性和真实性。身份证明通常是组织入职流程的一部分：新员工会收到他们的第一个密码和一张身份证照片——通常由HR或部门在IT人员的协助下处理。人力资源部门负责手动验证这些新员工的真实身份，无论是通过外观相似还是验证政府颁发的身份证件。这仅对公司员工来说很好，但在处理需要访问网络资源的外部承包商、供应商或机器用户时，过程变得更加复杂。身份证明需要根据政府颁发的文件和生物特征来验证某人的身份，这一过程对身份验证过程至关重要。但是一旦注册系统或应用程序的工作完成，证明身份的过程仍然与身份验证工作流分开。每当用户登录到受保护的资源或应用程序系统时，他都需要接受某种身份验证（例如密码、PIN或生物识别）的质询，这些身份验证不再与用户的实际身份相关联。例如，生物认证仍然不能取代密码。虽然它降低了用户登录系统的复杂性，但如果密码被盗，网络犯罪分子仍然可以绕过生物识别认证系统。此外，如果生物识别信息存储在身份验证数据库中，它们也是黑客的高风险目标。无密码认证是解决身份安全、隐私和用户体验等问题的有效方案。但是，只有借助有效的技术手段，解决身份证明与身份验证之间的鸿沟，无密码验证才能真正落地应用。分布式数字身份的概念被提出，将身份注册数据和身份验证结合在一起，使两者密不可分。分布式数字身份由用户控制，而不是简单地向用户询问身份验证因素（密码、PIN或生物识别），该身份验证因素链接到存储在身份提供者（如ActiveDirectory或Google）拥有的中央数据库中的登录信息一探究竟。例如，FIDO2和NIST将私钥存储在安全飞地/可信平台模块(TPM)芯片中，只有当实时生物识别与注册时捕获的生物识别匹配时才能访问该芯片。其他方法将用户的私钥存储在加密的区块链中以增加安全性。参考链接：https://www.darkreading.com/operations/why-passwordless-is-at-an-impasse
