文章来源：http://it.sohu.com/20180402/n533768120.shtml
原標題：李雨航：最6的生物識別技術是什麼樣？我是史中，我的日常生活是開撩五湖四海的科技大牛，我會嘗試各種姿勢，把他們的無邊腦洞和溫情故事講給你聽。如果你特別想聽到誰的故事，不妨加微信（微信號：shizhongst）告訴我，反正我也不一定撩得到。李雨航：最6的生物識別技術是什麼樣？文|史中@淺黑科技過年之后的第一周，我飛到了春暖花開的深圳。這次我來找一位“老炮兒”：華為終端公司首席安全科學家李雨航。說他是“老炮兒”，有兩個原因：1、過去20年，他在安全戰略方面的奇思妙想影響了眾多江湖大咖。1998年，他加入了如日中天的美國微軟。最初是憑著興趣“玩票”一些安全技術，沒想到天賦異稟，最終被比爾·蓋茨“欽點”改造了整個微軟的安全架構。隨著對安全的理解越來越深刻，他的戰略思考還影響了美國布什和奧巴馬兩任總統的政策。2、他認定的事，就一定要做到極致。這件事就是“身份認證”。十幾年來，他一直在嘗試用更好的“身份認證”技術來保護數據的終極安全。李雨航李雨航在業內備受尊重，各種頭銜多到無法一一羅列。2016年，他回國加入華為，目前主要負責帶領消費者終端設備（包括你手里的華為手機）的安全研究團隊。簡單來說，如果你有一部華為手機，從你用指紋打開屏幕那一刻起，這位大叔就站在身后慈祥地守護你。為了簡明有趣，我將分為兩個部分講述他的“藝術人生”：1、通過和他有關的三個人，讓你重新認識“身份認證”這種技術的有趣之處。2、通過和他相關的三件事，讓你了解為什麼“生物識別”是身份認證皇冠上的明珠。在李雨航眼里，什麼樣的生物識別技術才是最6的。希望對你有啟發。Let’sROCK第一個人：無名黑客2000年，美國微軟辦公室，一個年輕的華人小伙坐在時任微軟視窗主管李雨航對面。條紋襯衫，一副眼鏡，看上去和微軟那些書呆子工程師沒什麼兩樣。這個人是李雨航約來面談的，他的真實身份是黑客。那是李雨航第一次看到活生生的黑客。李雨航向前探身，壓低聲音，問黑客：“你能不能幫我盜取Windows的源代碼？”納尼？李雨航不是微軟的人嗎？他為神馬要“監守自盜”Windows的源代碼？原來，李雨航剛剛接到一個神秘任務，這個任務的名字叫做“微軟源代碼共享計劃”。簡單來說，這個計劃就是把Windows源代碼開放給指定的政府、高校和企業研究者們，讓這些大佬多多吐槽，改進Windows的各項性能。既然要共享給很多人，就難免要把Windows源代碼放在網絡上，但注意啦，要求是只有特定的人才能訪問，普通的阿貓阿狗是沒有權限查看的。李雨航做了多年的架構設計，這對他來說簡直小菜一碟。他自信滿懷地布置團隊做出一套身份驗證系統。簡單說來，就是一套經典的“用戶名+密碼”登錄系統。不過，就在這套系統上線之前，他隱約覺得有點不安。畢竟是Windows的源代碼，這可是微軟的身家性命，萬一被黑客偷去，自己豈不成了千古罪人？于是他長了一個心眼兒，玩了一手膩害的“貍貓換太子”——先把一套假的Windows源代碼放在網絡中，然后找來一個黑客試著盜取這份源代碼。于是，就有了開頭他和黑客會面的那一幕。接下來發生的事情，讓李雨航驚掉了下巴。沒用幾天，那個貌不驚人的小伙子就給他發來一封郵件，郵件里正是他以為高枕無憂的“源代碼”。。。“我本來覺得他肯定攻不破我的銅墻鐵壁，沒想到黑客這么厲害！幸虧我放了假的源代碼。”回憶起當年第一次領略黑客的風騷走位，李雨航還是贊嘆不已。其實，對方根本沒有采用李雨航預期的“正面進攻”，而是攻擊了微軟旗下一個普通網站，進而一步步使用跳板，從背后迂回到了目標服務器，利用竊取到的密碼，偽造身份輕松登錄，拿到源代碼。行云流水，一氣呵成，留下李大叔在風中凌亂。這讓18年前的李雨航意識到三件事：1、說到底，數據才是企業的命根子，得拼命保護好。2、在數據保護工作中，如果“身份認證”做不好，其他的防護都無從談起；3、僅僅用傳統的密碼做身份認證，恐怕擋不住未來黑客洶涌的進攻。于是，李雨航趕快調整了安全架構，不僅把存儲源代碼的服務器和其他服務器做了隔離，還對服務器的登錄方式采取了“多因子認證”。也正是從這件事開始，李雨航對“身份認證”這種技術執著至今。第二個人：比爾蓋茨這里解釋一下，如果用戶要接觸某個數據，只驗證一個因子的驗證方法就是“單因子認證”（相對較弱），驗證兩個及以上的方法就是“多因子認證”（相對較強）。李雨航的“多因子認證”系統，是怎樣工作的呢？每個有權查看Windows源代碼的大牛，都拿到一張“智能卡”。登錄Windows源代碼服務器的時候，需要做兩個動作：1、把智能卡連接電腦；2、輸入密碼。雖然現在看來，這種利用硬件實現的“多因子認證”已經很普遍（工作原理和我們平時用到的銀行U盾相同）。但是在2000年的時候，就連全球最先進的互聯網公司都還沒使用這種身份認證方式。實際上，微軟是全球第一個用硬件做內部身份管理的公司。這也要歸功于微軟老板，大名鼎鼎的比爾·蓋茨大力推動。事情是這樣的。李雨航本來只是利用“多因子認證”技術做了“源代碼共享系統”，但是由于這個項目非常核心，所以比爾·蓋茨親自體驗了一下。蓋茨一用，立刻變成了星星眼，可以說根本回不去了。他告訴李雨航，用更酷的身份驗證方式取代密碼，正是他的夢想。那之后，蓋茨馬上讓李雨航帶著團隊，把微軟所有內部系統都換成多因子身份驗證方式。于是，李雨航就這樣從“視窗業務總管”，直接轉崗成為了“安全專家”。這才有了之后的故事。第三個人：霍華德·施密特這次身份轉變，讓李雨航感覺簡直是如魚得水。他之前雖然領導架構方面的團隊，但卻一直喜歡研究各種炫酷的攻防技術。成為微軟安全專家之后，他終于可以把所有的時間都用在安全研究上來。于是，李雨航這個中國人帶著微軟的一幫美國兄弟，組建了一個名叫“阿基米德”的團隊，專門研究網絡安全架構的下一步棋該怎么走。他的思考大概可以歸為如下三句話：1、網絡安全的本質是防御，防御措施越靠近被保護的目標才越有效。2、過去網絡安全靠邊界隔離，這種粗糙的方案經常引發問題；現在網絡安全的保護圈要縮小到操作系統；而未來這個保護圈要直接部署在數據周圍。3、新的數據保護機制，需要一種更為高效的身份認證技術。很幸運，李雨航在微軟遇到一位知音，他就是霍華德·施密特。霍華德·施密特曾經是微軟安全首席戰略專家，2003年他被小布什聘請為總統安全顧問，離開微軟。而李雨航正好在一年后接替他的職位，之后又歷任微軟全球首席安全架構師，首席身份架構師，首席信息安全官。兩個人前后腳在同一團隊工作，他們的私交很好。李雨航回憶，他和施密特經常在一起討論。兩人有一個共同的認識，那就是：網絡安全是國家安全的一部分，而身份安全是網絡安全的一部分。這一對密友一個鎮守微軟，一個坐鎮白宮，最終推動了小布什政府在2004年簽發了《美國國家網絡安全戰略》。而在2011年，奧巴馬發布《美國網絡空間可信身份國家戰略》，同樣是這一對密友努力的結果。至此，李雨航已經幫你構建了一整套“身份認證”的安全世界觀。但是他還并不滿足。如之前所言，他覺得總有一種技術可以大大改進身份認證的效率。2008年，他等待的機會終于來了，這就是“生物識別”技術。接下來我來說說李雨航和生物識別技術的三個故事。第一個故事：指紋識別、人臉識別開始逆襲剛才說到，李雨航曾經擔任微軟的首席身份架構師，也就是在這段時間里，他發現了一項新技術，就是我們現在耳熟能詳的“生物識別”技術。于是他馬不停蹄地對微軟的身份管理系統進行了升級，加入了當時剛剛出現的指紋識別技術。在他眼中，身份認證的模型并不復雜，它只需要驗證你的四類因子：你所知、你所有、你所是、你所為。例如，密碼就是典型的“你所知”；而生物特征，比如指紋就是“你所是”；而之前微軟所用的智能卡就是“你所有”的例子。他說。而隨著技術的發展，李雨航發現：在諸多類型的“因子”中，生物特征是最理想的一個因子。如果要做單因子認證，那么最好是通過人臉或指紋這樣的生物特征；如果要做多因子認證，那么最好其中之一是生物特征。乍一聽起來，你可能會疑惑：李雨航這位大叔為什麼對于生物識別這么情有獨鐘呢？其實，他得出這個結論，是有實踐依據的。在2017年，李雨航把研究方向聚焦到華為消費級產品安全領域之后，他感受到了一個巨大的挑戰：以前在做企業級安全產品的時候，對方會明確給你他們的需求，你要做的只是找到最好的方法把它實現；現在到了消費級產品安全，用戶需要什麼樣的安全，他們自己也回答不上來。但用戶會用腳投票，如果你的產品在用戶體驗或安全性上任何一點做得不夠，他們直接會放棄使用。當然，一個優秀的安全專家自然明白如下的道理：產品的安全性和易用性好像蹺蹺板的兩端。安全性提高，就要增加驗證，一定會犧牲易用性。而增加易用性，則一定要簡化安全驗證流程。所以，安全考驗的絕不僅是專家的技術水平，更是他對用戶感受的直覺，在此之上對“安全易用”蹺蹺板擺出一種精妙的平衡。知道了這些，你就會明白為什麼李雨航對于生物識別有如此大的興趣。因為生物識別是所有驗證方式里，給用戶體驗減分最少的一種，你既不需要背下一串16位大小寫交替數字字母混合的密碼，也不需要站立坐臥永遠帶著一個U盾。尤其對于終端消費者來說，自己身上的特征不會變也不會丟，方便極了。這也是最近幾年全球手機廠商都在快馬加鞭上線指紋識別和面部解鎖功能的最根本原因。但是，就在華為全線手機產品進軍指紋識別的時候，發生了一個不大不小的風波。這就是我要說的第二個故事。第二個故事，華為指紋識別被鼻尖攻破2016年10月，“極棒”黑客破解秀現場。來自美國Shellphish團隊的一名黑客站在臺上，對下面黑壓壓的人群宣布：我已經破解了華為P9Lite的指紋識別，隨便一位觀眾的鼻尖都能解鎖這部手機。一位觀眾上臺，鼻尖一碰，手機應聲解鎖。這件事瞬間在朋友圈爆炸，華為內部的微信群里，大家也激烈討論這件事。（這里需要補充一句，極棒官方宣布，雖然黑客向公眾展示了破解指紋的效果，但是不會向大眾透露漏洞細節，漏洞細節只會被交給廠商，也就是華為。所以童鞋們不必擔心這個漏洞被不法分子利用。）雖然從處理方式上來說，華為非常專業。他們第一時間和極棒溝通，拿到破解漏洞的詳情，然后快速推出補丁，沒有造成任何用戶的損失。但說到底，這對于華為手機的品牌形象有一些影響。實際上，在這件事之后一年，李雨航才進入消費級產品安全團隊。但作為華為人，當這件事發生的時候他就思考了很多：首先，安全從來不是絕對的，再安全的指紋系統也有被攻擊的可能。這理應是安全人的基本心里建設。其次，指紋識別系統是一個手機安全的最關鍵部位，即使對手是全球頂尖的黑客，也不應成為指紋系統失守的理由。（因為看到新聞的普通用戶根本不會聽你的解釋）也就是說，生物識別技術的安全性，確實還有提升的空間。提升生物識別的安全性，李雨航是認真的。他是怎樣做的呢？為了解釋清楚，這里需要先科普一些技術。一般的手機，里面并不是只有一個系統，而是有三個。以華為手機為例：最大的系統環境是Android，這大家很熟悉了，是一個純軟件環境。所有普通的信息都在這層環境中交互。另外還有一個小系統環境叫做TEE（TrustedExecutionEnvironment可信執行環境），這是一個基于硬件的“半軟半硬”的執行環境。聽這個名字“可信執行環境”，就知道它用于處理一些敏感的信息。實際上華為目前全線產品的用戶指紋信息都在這個環境里存儲和調用。更小的環境是安全芯片，這就是一個純硬件環境了。最敏感的信息，例如“根秘鑰”會在這個區域處理。這三個系統環境的安全性是遞增的。也就是安全性：Android。說回被黑客破解的華為P9Lite。李雨航說，黑客利用了8個連環漏洞，才最終從TEE里拿到了指紋，這一串動作的難度已經非常高了。如果能進一步把用戶的指紋放到純硬件的“安全芯片”里處理，黑客攻擊的難度就會指數級提高。聽上去很簡單。你一定會問，為什麼華為沒有在一開始就把指紋識別系統設計到安全芯片里呢？我們接著來看下一個故事。第三個故事，通過IFFA聯盟布道芯片級安全剛才說過，手機被黑客攻擊的可能性，廣泛存在于每一部手機上，無論是蘋果還是Android。回答剛才提出的問題：之所以很多手機廠商沒有把指紋識別系統放到安全芯片里，是因為安全芯片的容量和運算速度實在讓人捉急。所以目前主流手機保存密碼的位置，都是權衡了安全性和易用性的TEE。也可以說，目前的方案是一個權宜之計。如果把中國各個手機廠商比作葫蘆兄弟的話，從出貨量和硬件實力上來看，華為無疑是“大娃”。而后面二娃三娃四娃五娃都在期待華為能夠在安全技術上引領創新。所以，把生物識別模塊放進安全芯片，并且同時保證用戶完美的體驗，就是李雨航和華為終端安全團隊的下一個研究目標。這項技術正在變成現實，一個最明顯的例證就是：華為安全團隊正在IFFA聯盟里不斷為“純硬件安全環境”打Call。為了防止有的童鞋還不知道IFAA聯盟，這里還是簡單介紹一下。在我之前的文章里曾經提到，IFAA聯盟在大力推行一整套利用生物識別來進行的身份驗證體系。它的成員包括華為、三星、ARM、OPPO、vivo、螞蟻金服等等，在國內身份識別技術領域有著巨大的號召力，聯盟所認可的技術，也會成為大多數企業采納的標準。（有關IFAA，還可以查看另一篇文章《上海CA王天華：如何把鑰匙裝進手機》）而華為作為IFAA的發起會員之一，也作為“本地免密”小組的組長，有很大的動力把最新的安全架構傳遞給行業。生物識別技術雖然前景廣闊，但如果沒有標準，就會變得非常復雜。就像微軟早期，雖然使用了生物識別技術，但是設備需要自己研發，應用也需要自己編寫、調試，一整套方案都要靠自己，這樣的成本實在太大。而IFAA聯盟的意義就在于，成熟的軟硬件企業可以一起探索出一套最成熟的方案，然后提供給市場。李雨航希望IFAA聯盟提供的“基于安全芯片的生物識別”方案，能夠成為未來行業的通用方案。到那個時候，李雨航離他的理想技術世界就更近了一步。但這還遠遠不是終點。觀察最近幾年的行業可以發現，各大技術聯盟的技術從1.0到2.0到3.0不斷演進。從指紋、人臉到虹膜、靜脈，再到基于人工智能的持續身份特征識別。無論是支持更先進的驗證方法，或是支持更多的技術標準，它們的終極目標都是一致的，那就是用更簡單的方法保衛每個人的安全。生物識別技術的演變永無止盡。重要的是永遠對新技術保持好奇心。他說。再自我介紹一下吧。我叫史中，是一個傾心故事的科技記者。我的日常是和各路大神聊天。如果想和我做朋友，可以關注微博：史中方槍槍，或者加我微信：shizhongst。不想走丟的話，你也可以關注我的自媒體公眾號“淺黑科技”。返回搜狐，查看更多責任編輯：聲明：本文由入駐搜狐號的作者撰寫，除搜狐官方賬號外，觀點僅代表作者本人，不代表搜狐立場。閱讀()
關鍵字標籤：http://www.kebao.com.tw
|
最新消息
