上周五，三星新推出的Galaxy S5带来了一个出人意料且宣传不足的功能。与iphone5s一样，它也配备了指纹阅读器，但这种阅读器直接**PayPal，PayPal又将你连接到几十个不同的支付系统。这是一个聪明的把戏：你所需要的不是密码，而是一个指纹，带你穿过整个网络。如果它流行起来，很快你就不需要密码了。

这一刻是精心策划的

当然，S5的指纹扫描器可能会失灵——据所有人说，这还远远不够完美——但这并不是我们唯一的机会。谷歌正在开发一种USB键盘，可以让用户登录到他们的谷歌账户；他们正在进行内部测试，应该在年底前推出。微软不愿透露具体细节，但也调侃了一种基于相同规范的“密码替代品”。

如果三星推出S5，它明年可以再试一次

所有的公司在同一时间同一时刻到达，这似乎是好运，但事实恰恰相反。这一刻是精心策划的，建立在一个精致的标准之上，历时两年才建成。自2012年以来，一个名为FIDO联盟（FIDO Alliance）的组织一直致力于这一标准的制定，在三星（Samsung）指纹阅读器等硬件项目和他们所连接的在线服务之间架起了一座桥梁。这项工作得到了科技界和金融界一些最有影响力的公司、谷歌和微软以及美国银行（bankofamerica）和万事达卡（MasterCard）等硅谷局外人的帮助。这种技术的特性使得它很容易**，因此如果三星推出指纹扫描仪，它可以在明年再次推出虹膜扫描仪或NFC代币。

这是一个杀死密码的阴谋，一个花费了数年和数百万美元才启动的阴谋。随着首款采用FIDO规范的主流**galaxys5的推出，这一计划正在进行中。

密码的十亿美元问题

密码的问题显而易见。登录系统最早是在60年代为分时计算机设计的，工作在占用整个实验室的大型机上。要使用这台计算机，你需要输入你的登录名和密码，密码告诉坐在终端的计算机是谁，以及要提供哪些文件。偷别人的密码是一个恶作剧的好方法，但不是很多：只有一台电脑，你可以使用它，没有多少个人信息显示一旦你闯入。

正确的密码几乎可以让你得到任何东西

50年后，正确的密码几乎可以让你得到任何东西。你可以阅读电子邮件，订购新电视，或劫持云存储帐户，直到你访问或删除了一个人的数字生活的每一个痕迹。你可以通过互联网连接在任何地方做这件事-有效地在世界上任何地方-而且很容易隐藏你在哪里做这件事。你可以从数据泄露处获得密码（大多数人仍然在多个服务中使用相同的密码），也可以只是通过社交方式设计一个****代表。这种情况无时无刻不在发生。这些黑客攻击对个人来说是毁灭性的，每年给企业造成数十亿美元的损失。双因素身份验证有助于在两个不同的系统和设备之间分割密码，但这还远远不够完美；最后，这只意味着攻击者必须破解两个代码而不是一个。无论你如何试图修复它，你都会遇到密码的根本不安全。

谷歌去年4月签约；去年12月，微软紧随其后

2010年前后，贝宝决定对此有所作为。首先，贝宝的安全主管迈克尔·巴雷特（Michael Barrett）、指纹安全企业家拉梅什·凯萨努帕利（Ramesh Kesanupalli）和SSL之父、世界上最著名的密码学家之一塔赫·埃尔加马尔（Taher Elgamal）进行了一次对话。Kesanupalli想要一个新的指纹识别标准，这样他的指纹阅读器就可以在没有昂贵数据库的情况下使用。巴雷特希望贝宝能有一种更强大、更简单的登录方式，而拥有传奇密码学背景的埃尔加马尔显然是构建贝宝的人。两年后，该组织发起了FIDO联盟（FIDO Alliance），这是一个开放的组织，试图让企业永远摆脱密码的束缚，资金来自那些认为自己会受益的企业。该集团于2012年与贝宝（PayPal）和五家硬件公司合作成立，但发展迅速。谷歌去年4月签约；去年12月，微软也紧随其后。

零知识证明

这个联盟建立在一个简单而有力的想法之上。如果上网者使用本地指纹阅读器登录到他们的电脑，网站就可以使用一种称为“零知识证明”的技术自动登录。它是一个协议，用来证明一个成功的身份已经被**出来，比如指纹或虹膜扫描，而不泄露任何有关指纹或虹膜的细节(这意味着，在令人心碎的场景中，攻击者将无法访问您的实际指纹。）使用该协议，单个本地设备可以对整个web进行身份验证。在移动网络时代，您甚至可能不需要新的小工具。”巴雷特说：“用户有很高的设备亲和力，他们往往有很多设备我在办公室里四处张望，发现离我不到5英尺的地方有一部智能**、两台电脑和一台平板电脑。”

“我们相信，从长远来看，它需要建立在。。。你的智能**。”

这就是我们在S5上看到的：你不仅仅是用你的指纹登录，而是正确的指纹和正确的**的组合。你总是有一个手指和一个电话，所以登录不是一个问题，但这种组合使安全更难打破。任何一个都可能被单独复制（你的**可能被偷，你的指纹可能被复制），但是同时复制两个都是非常困难的。

使用零知识证明，身份验证可以与您想要登录的任何服务共享，无论是使用远程代码还是类似NFC的更直接的服务。这一思路也在谷歌深入人心。谷歌负责公司认证工作的谷歌人Mayank Upadhyay认为，keyfob只是第一步，正朝着每次登录都发生在移动设备上的时代迈进。”我们相信，从长远来看，它需要内置到你已经携带的东西中，那就是你的智能**。”

touch-id问题

苹果可能仍然是FIDO的一个主要问题

虽然FIDO有一些强有力的支持者，但有一个名字却明显缺席：苹果。iphone5s的Touch-ID仍然是我们见过的最有用的移动指纹扫描仪，它与FIDO保持着距离。硬件背后的公司AuthenTec一被苹果收购就退出了财团，此后，苹果和FIDO分别开发了各自的技术。虽然FIDO一直开放自己的规范，但苹果却采取了相反的做法，将Touch-ID与iOS开发者隔离开来。目前版本的Touch-ID只能用于解锁**和登录iTunes，目前还不清楚它将如何或何时进一步开放。这是一个有围墙的花园，在iPhone的全力支持下，它可能成为菲多计划的严重障碍。

“它们像水一样流下山坡。”

但即使FIDO在指纹争夺战中失利，它仍有可能赢得更大规模的认证战。开放标准使FIDO易于**，因此，如果三星决定从FIDO兼容的指纹扫描仪转向FIDO兼容的虹膜扫描仪，就如同更换硬件一样简单。在服务方面，贝宝从不需要知道两者的区别。虽然iPhone在未来几代都被锁定在指纹扫描领域，但其他行业的人可以使用任何可行的方法。目前，这意味着眼睛扫描仪和USB钥匙，但也意味着为尚未发明的技术腾出空间，比如DNA扫描或生物节律标记。只要标准是开放的，它就可以容纳任何东西。

他们可能还是错的。新一代的身份证系统可能会失败，导致大规模撤退和另一个15年的泄漏登录。消费者可能会觉得指纹和眼睛扫描让人毛骨悚然，或是反对他们不能从朋友的电脑上登录的想法。像大多数雄心勃勃的计划一样，这是一个赌注——有几十个理由可能无法实现。

最后，巴雷特打赌新系统将很容易被放弃。一个指纹或一个U盘和30个密码的重量是多少？谁能拒绝一种更简单的登录方式？FIDO可能想要更安全的东西，但客户只想要简单的东西。”“就像水一样，它们从山上流下来，”他说它们流到摩擦最小的地方。”