演讲人：蚂蚁金服身份安全产品技术专家——辛知
分享：今天的演讲分五个部分
————————————————————————
1、——首先回顾一下互联网身份认证的发展
2、——第二部分讲一下挑战
3、——后面讲一下ifaa的情况
4、——ifaa的开放赋能
5、——最后会展望一下未来
——————————————————————————————
1、互联网身份认证的发展
首先我们看一下现在大家用的比较多的身份认证的手段，大多数是口令居多，要求多一点的会发短信，包括像银行卡的校验，包括一些安保性的问题。
前面很多同学也介绍了，现在这些方法也存在着各种各样的挑战，首先撞库的问题是普遍的问题，很多网站由于用户喜欢用一个口令在多个场景、多个系统中用同一个口令，所以撞库的问题比较严重。短信的问题也存在很长时间了，手机的木马也很常见，银行卡也可能是信息会泄露，泄露会导致被骗。所以现有主流的方法其实都有这样那样的一些问题。
我们对现有的一些方法的看法：认为未来的互联网上的身份证认证手段朝两个方向去努力，第一个对用户的干扰越来越少，第二个更加的精准。
那怎么从这两个纬度做出更好的产品？
现有的口令也好，短信也好，用户首先要记忆，要点击要输入，而且要多次的输入。像U盾更麻烦，要去银行当面的做各种各样的操作之后，可能才会发给你一个，并且U盾本身的使用在移动设备上成为比较困难的事情。
我们对未来的看法是两个方面，前面嘉宾也提到了，第一个是生物识别的方向，这个其实对用户的干扰是比较小的，无论是指纹还是人脸、声纹、虹膜都是人体征的一部分，人自然的反应，相对来说交互比较容易，对人的识别也是做的比较好的。
另一个是行为的识别，包括你习惯用左手还是右手，你习惯点击哪些按键还有滑屏等等一些的习惯，你常出现的地理位置的多维数据等等。但我们目前看到行为识别这方面误识率相对比较高，在目前这个阶段精准性稍微弱一些，所以生物识别是现在比较主流的部分。
我们常见的一些验证身份认证的方法大概就是三类：
一 种是你知道什么，以口令为最明显的代表，OTP也是这样子的。
二 是你拥有什么，举个例子，我们大家今天到云栖大会每个人都要验证一下，最后靠一个牌子进来，就是你拥有什么。这是比较典型的，同样U盾也是这样子的。
最后一个是你是谁，就是各种各样的一些生物特征，相对而言生物识别对用户的应用率会有一些显著的优势。
2、身份认证的挑战
生物识别本身是一个比较新的东西，同时它也面对着很多已有的挑战。
生物特征有很多种，之前嘉宾也提到过的现在比较火热的有人脸、声纹等等。但是这样一些特征在国家目前的法律鉴定上属于弱隐私，大家的摄像头、照相机可以到处采。
另一些数据是强隐私，比如指纹、虹膜，除了你知道，理论上来说，其他的人是不知道的，这个东西的隐私性更强。像指纹因为强隐私的特征，加上法律法规的要求，是不应该离开你的终端的，永远在你自己的设备里。
那就会带来一个问题，如果说这个特征只能保存在终端上，而不能上传服务端的话，那怎么比对让一个终端比对的结果跟服务端上其他的业务信息能够匹配上，并且这个终端匹配的结果服务端是可信的，这对安全来说提出了一个很高的要求。
对现有的这个链路进行抽象之中，它的过程是一个传感器的采集，在录入过程有一个特征的生成和存储，在后续的校验过程有一个比对的过程，以及最后的数据怎么到达服务端的过程。
在这个过程中其实很多的链路都存在着各种各样的威胁，比如有木马的威胁。那怎么样在这样威胁的情况下完成包括生物特征存储的安全，第二个是比对的安全，第三结果能够到达服务端，其实对强隐私生物特征有很大的挑战。
3、ifaa的情况
那在讲怎么解决这个问题之前，先讲讲硬件发展的基础。
现在大家用的手机是arm架构了，后面提出TEE的概念，把手机切成了两块，包括iphone也是同样的一个原理。传统的用户能感知的空间之外，还有一个隐藏的空间。
这个空间有几个特点，第一个是相对封闭的空间，像android有商店可以随意下东西，但在TEE相对比较封闭，不支持动态下发的能力，通常是一个预制的形式。
第二接口更少，我们做安全或者大家开发软件的人都知道，接口越少，那你暴露的风险越低，你的接口越丰富出错的概率越大，那TEE的接口更少一点，并且是从硬件开始隔离的一个方案。这个还不同于现在主流的一些加固的方案，因为加固主要是软件的方案，那软件的方案没有硬件更深层次保护的话，破解难度会稍微低一些。
那TEE可以提供的能力是哪些？有一个隔离的能力，可以把我们认为威胁更大的一些木马横行的空间隔离在外，不会影响到你。第二个是安全的存储，这个存储会有一些硬件级的密钥做一个加密或者签名，而这个密钥不是后续生成的，生成和分发也不够安全。那安全的启动手机本身有一个链条式的校验的过程，安全加解密是同样的。有的厂商提供更高的能力，不止在传统的Android、IOS主流的空间里面提供一些位置或者摄像头的信息，可以在TEE内部提供一个单独的链路，可以把你的位置信息或者你的图象信息抓到这里面，而这个过程中本身是没有经过威胁性更多区域的。所以它抓到的数据也好，图象也好，可能会更安全一些，那如果能够提供这样一个更加安全的链路抓到这个数据的话，其实对整个风控模型，对很多问题（薅羊毛会伪造信息等）都会有更好的一个结果。
刚才讲完了TEE基础的安全能力，以及问题以后，那现在回到这个问题就是ifaa是什么，它解决了什么问题？
我们看一下手机本身大概的一个情况，大家都在应用层。作为手机厂商在这些层有自己的驱动，有它的操作系统，下层还有硬件。其实Android的手机很多，市面上的玩家很多，这里面有很多的厂商，在芯片或者操作系统级别也有很多的厂商，以指纹为例的也有很多，其实他们之间怎么样整合能给用户提供一个可用的指纹安全的校验链路，这本身是一个比较大的问题。在支付宝蚂蚁做指纹支付早期，做第一款机器的时候为了打通这个链路，可能有差不多20人做了四五个月，这个时间成本是不可想象的。
大家现在看主流的机器每个月能发七八款的指纹手机，整个研发量负荷很重。为了解决这个问题，才有了ifaa这样一个联盟，ifaa本身解决的问题，是我们怎么样在这个联盟下把这个标准统一起来，不要每一个接口之间都有一套接口或者是标准，那样的话大家的效率都很低，希望在这个层面上所有的产业链上的公司伙伴能够一起把这个标准制定出来，然后所有人都遵循这个标准来做，大家的效率会有很大的提升。
4、ifaa的开放赋能
现在回到ifaa的名称或者是使命了，ifaa本身是互联网金融身份证联盟的一个缩写，15年由蚂蚁集团、华为、三星、信通院联盟发起，主要是解决产业碎片化的问题，通过产业链的整合能够提供指纹，甚至未来像大家看到iphone10的人脸，也是走这个链路，也是未来ifaa要支持的一个方式。
要解决这个问题要联合很多的厂商，现有的ifaa的会员已经达到接近140个，主流的手机厂商、芯片厂商以及产业链的伙伴都在里面了，大家耳熟能详的这些名字都有了，在这个联盟下一起把这个碎片化的问题解决好。
现在把ifaa落地的情况解释一下，根据支付宝自己的数据，已经超过1.5亿用户开通了指纹支付，设备基本上超过230款。从中国市场也好，全球市场也好都是最大的一个标准。
国际上还有一个标准，在支持设备上这一块相对落后很多，因为中国市场互联网的应用是比较蓬勃的，在海外的话本身支付场景就不是很强，所以它对场景的拉动就不是很强，这个特征决定了这件事情能在中国做会更合适一些。
支持的手机品牌也达到36个，Android的设备超过5亿多，这个是活跃设备。大概中国市场上每天按月活在15亿左右，现在达到2/3左右的程度。支付宝自己的数据，其实指纹支付这个产品用户是非常喜欢的，开通之后就不会关掉了，我们看到的数据就是这个比例不断的在上升，现在支付宝自己的交易已经有35%都是通过指纹进行支付的，他们不太用密码了。
简单讲一些技术的问题，那怎么样做这件事情，ifaa本身是个联盟，提到了本地免秘的一个协议，它服务端有终端的，在终端上可信的基础都是基于TEE，要比传统的方案高很多。在服务端相对来说都比较安全，在终端和服务端之间根据一个协议建立一个安全的通道，这个通道中可以传递很多的数据。
当然这里面不包括生物特征的原始的数据，因为我刚才讲过这个是不允许上传的，我们会有校验的结果，设备的信息可以在通道中传输，让这个数据能够安全的到达服务端，再结合的其他的业务就可以完成交易，基本的原理就是双向校验的一个协议。
ifaa通过这个交易和标准，在中国市场面对10亿左右的设备，它的安全性也是比较高的，支付宝在这上面沉淀了很多东西。之前ifaa这个设备主要是支付宝和阿里系自己在用，我们想把这个标准更加的开放，除了能够跟下游的设备厂商有一个整合以外，上游能够引入更多的应用厂商把这个协议用起来，能够让更多的应用把这一类生物识别的技术给开发出来。
我们提供了校验能力，有客户端、服务端一个组合，会提供一个服务，可以支持像支付、登录等等，像文件的审核等等。它的用户场景其实就是跟APP自己相关了，你认为什么样的场景需要一个安全便捷的方式，都可以来使用。而且指纹只是现阶段的一个例子，其实ifaa本身是跟具体的生物特征是不绑定的，未来人脸包括虹膜都是可以替代的。
现有的ifaa支持的设备除了蚂蚁自己的或者阿里系的一些应用之外，也在对外开放。包括银行已经在使用，例如浦发银行信用卡的APP，另外包括像苏宁，和一些相对比较大的市场都在用ifaa的技术了。
5、未来
前面讲过了ifaa的现状，那我稍微展望一下未来。
首先，现有ifaa支持的生物特征主要还是指纹，iphone10人脸的特征其实也是用类似的方案的，它的人脸也是在TEE里面的，它是把人脸识别的模型和抗攻击的模型放在TEE里面，所以可以期待未来只要硬件上是支持ifaa这个协议的，就可以支持更多生物识别的技术。
其次，目前我们是基于TEE的安全能力，未来可以考虑更多。可以把U盾集成在手机里面，像华为、金立一些厂商也已经支持了，这部分我们也在努力通过ifaa这个协议把它支持起来，包括一些MCU的方案都可以替代。
目前在中国市场大部分机器都已经支持ifaa了，不支持的机器非常少了。未来考虑要全球的机器，因为现在很多的应用在纷纷出海，ifaa本身也要更加的国际化。
第四个现有的主要是在某些行业有一些标杆性的案例，跟个别厂商现在有一些合作，未来的话会期望有更多开放的赋能。
最后一点现有的设备纬度来看的话，主要是手机为主，手表有一些，平板也有，那未来可以考虑更多的是IOT的设备，都是可以通过这个协议来支持的。
希望ifaa这个协议能够给更多的应用提供更好的能力。
我就讲这些，谢谢大家。
——————
本文由阿里聚安全整理，转载请注明出处。
