任何一套系統(tǒng)（不管是C/S類型還是B/S類型的）都離不開權(quán)限體系，而權(quán)限體系又依懶于身份認(rèn)證體系。小到大家日常使用的微博、微信、網(wǎng)站等，都離不開登錄場景，大到你的銀行卡都是需要設(shè)置密碼的。所以說身份認(rèn)證對(duì)于一套系統(tǒng)而言是必不可少的，身份認(rèn)證的安全性尤為重要！

何為身份認(rèn)證？

身份認(rèn)證有很多種說法，比如“身份證驗(yàn)”、“會(huì)話認(rèn)證”等，它是指計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)對(duì)操作者身份進(jìn)行確認(rèn)的過程，以判斷操作者是否有權(quán)限進(jìn)行資源的訪問和操作，這樣才能最大程度保證系統(tǒng)和數(shù)據(jù)的安全性。

身份認(rèn)證的方式有哪些？

最早期的身份認(rèn)證機(jī)制很簡單，就是判斷用戶名和密碼是否能和數(shù)據(jù)庫中的記錄匹配上。而隨著網(wǎng)絡(luò)上的攻擊類型越來越多，身份認(rèn)證體系也發(fā)生了不少變化，目前常見的身份證認(rèn)方式有以下幾種：

• 靜態(tài)密碼
  

• 短信驗(yàn)證碼

• 動(dòng)態(tài)口令牌

• USBKey

• 生物識(shí)別（指紋、面部識(shí)別等）

• 多種認(rèn)證的結(jié)合

利用各種加密技術(shù)，確保身份認(rèn)證過程的安全性

上面說到的身份認(rèn)證方式離不開加密技術(shù)，如果要保證身份驗(yàn)證過程的安全就需要確保認(rèn)程過程是在加密環(huán)境下執(zhí)行的，具體該如何在加密環(huán)境中工作呢？我整理出了主要的思路供大家參考：

1、各種密碼要加密存儲(chǔ)以防爆庫、拖庫

特別是靜態(tài)密碼不能明文存儲(chǔ)在數(shù)據(jù)庫中，萬一數(shù)據(jù)庫被爆那所有用戶的密碼全部會(huì)泄露。

2、多重加密方式進(jìn)行混淆加密，增加破解難度

像我們熟知的MD5其實(shí)是不可逆的，但網(wǎng)上為什么有所謂的“MD5破解”網(wǎng)站呢？其實(shí)原理也很簡單，這類網(wǎng)站收集各類密碼，然后以明文和MD5加密的方式共同存儲(chǔ)入庫，下次別人檢索一個(gè)MD加密過的密碼時(shí)就把它和數(shù)據(jù)庫中進(jìn)行對(duì)比，然后找到明文，這種做法在業(yè)內(nèi)稱為“碰撞”。

3、選擇HTTPS而不是HTTP協(xié)議進(jìn)行數(shù)據(jù)傳輸

HTTP協(xié)議在傳輸數(shù)據(jù)的過程中是明文的，如果請(qǐng)求被中間人攔截那黑客可以輕易看到你的請(qǐng)求數(shù)據(jù)（密碼會(huì)直接暴露出來），這是極不安全的；而HTTPS在HTTP的基礎(chǔ)上加了SSL層以保證數(shù)據(jù)是加密傳輸?shù)?/span>，破解起來難度極大（除了在本地安裝證書進(jìn)行抓包，這種不能算的）。

所以銀行業(yè)系統(tǒng)對(duì)外訪問時(shí)都是以HTTPS協(xié)議訪問。

4、避免本地鍵盤勾子截獲密碼

大家有沒有注意到，銀行網(wǎng)銀系統(tǒng)不少都要安裝它們提供的安全控件？安裝了這些控件后才會(huì)出現(xiàn)密碼輸入框？因?yàn)榭蛻舳穗娔X上的安全性是不能保證的，如果客戶電腦上中毒了可能會(huì)被黑客植入鍵盤勾子程度，它可以截獲鍵盤上的所有按鍵輸入！

所以安全性高的站點(diǎn)都會(huì)開發(fā)一個(gè)控件用來輸入密碼，這類控件可以防止鍵盤勾子，從而保證密碼輸入過程中不會(huì)被后門程序獲取到。

以上就是我的觀點(diǎn)，對(duì)于這個(gè)問題大家是怎么看待的呢？歡迎在下方評(píng)論區(qū)交流~我是科技領(lǐng)域創(chuàng)作者，十年互聯(lián)網(wǎng)從業(yè)經(jīng)驗(yàn)，我了解更多科技知識(shí)！