上周在新街口附近的写字楼蹲了一下午，就为了看某安全厂商演示的新一代门禁系统。说出来好笑，现场有人拿自己三年前的一寸证件照对着摄像头晃，居然真开了！
周围围观的人哄堂大笑，厂商的工程师脸都绿了，蹲在地上调了二十分钟算法，才跟我们解释，是演示模式下为了追求通过率，把活体检测的阈值拉得太低了。
哦对，这就是我们天天打交道的身份认证，说起来好像是个高大上的技术，实际上落地的时候，全是这种鸡零狗碎的破事。
密码早就不是安全的唯一解
最早大家对身份认证的认知，就是输对用户名和密码就行。太容易撞库了。去年帮朋友排查过一次账号被盗的事，他就是把外卖平台的密码和网银设成了同一个，外卖平台被拖库的第二天，他卡里的三万块就被转去了境外的虚拟币账户。
后来大家开始搞动态口令，就是那种每分钟变6位数字的硬件令牌，再后来就是大家更熟悉的短信验证码。说真的，现在谁没接过那种半夜发的验证码短信？我之前有次手机丢了，在营业厅补卡的时候，前面排了三个大哥，全是被人用假身份证补了卡，转走了银行卡里的钱。
现在行业里聊得最多的多因素身份认证，说白了就是别只靠一种东西验证——要么你知道的密码，要么你拿着的硬件令牌，要么你天生带的指纹人脸，凑够两样，才算过。
对，这个逻辑没什么问题，但麻烦就麻烦在，你要是把验证流程设得太复杂，用户根本不想用。我之前见过某金融公司要求员工每天登录内部系统，必须输12位带特殊字符的密码，再输硬件令牌的6位动态码，还要回答三个预设的密保问题，结果不到一周，所有人都把密码和密保问题写在工位的便签纸上，贴在显示器边上。那点安全防护，还不如全公司都用同一个简单密码呢。
所谓无密码登录根本不是取消验证
最近这两年厂商吹得最凶的，就是无密码登录。很多人以为无密码就是以后不用输任何东西，刷个脸就完事，其实根本不是。说白了，只是把你记不住的那串字符，换成了存在你手机或者电脑里的加密密钥而已。
现在大家用的Windows Hello，手机的指纹解锁，还有刚推出来的通行密钥（Passkey），本质上都是这个逻辑。你不用记密码，密钥存在本地的安全芯片里，别人偷不走，就算某个网站被拖库，人家拿到的也只是一串加密的公钥，根本没法用来盗你的号。
但这事也不是没毛病。我前阵子换了新手机，导数据的时候才发现，之前存在旧手机里的通行密钥根本导不过来，找了半天客服，才发现要每个网站单独重新绑定，折腾了快三个小时。我前阵子在珠江路的电脑城逛，还看到有人摆小摊卖几十块钱的硅胶指纹膜，说能开所有的指纹锁，买的人还不少。更别说那些家里老人用的智能手机，指纹识别经常因为手干识别不出来，刷脸又因为戴口罩识别失败，最后还是得退回去输那串记了好几年的简单密码。
还有更离谱的，去年有个做智能家居的朋友跟我吐槽，他们家的人脸门锁，被人用打印的高清照片就破解了。原因是他们为了让用户开门快，把活体检测的功能默认关了，用户要是想开，得自己去设置菜单里翻三层，大部分人根本不知道有这个选项。
身份认证的核心从来不是技术本身
这事没那么玄。我做了快八年的安全领域采访，见过太多公司花大价钱上了最贵的认证系统，最后效果还不如一个简单的规则。
之前有个做互联网运维的朋友跟我说，他们公司去年上了全套的生物识别系统，进门要刷脸，登服务器要刷指纹，连开个内部文档都要扫动态码，结果呢？有个运维嫌麻烦，把所有系统的备用恢复码全存在自己的私人云盘里，云盘的密码还是自己的生日。上个月他的私人云盘被人撞库盗了，整个公司的后台权限差点全泄露。
你看，所有的身份认证技术，最终的对手从来不是什么高深的黑客攻击，是用户的惰性。你设计的流程反人性，就一定会有人找各种离谱的方法绕开它。
之前有个做了二十年安全的老大哥跟我说，他见过最离谱的绕开验证的方法，是某公司的财务为了省时间，把自己的动态口令令牌直接放在了共享抽屉里，谁要转账自己拿了输就行。那套花了几十万上的认证系统，跟摆在那儿当装饰没区别。
现在大家聊数字身份，聊去中心化的身份认证，说来说去，本质上还是要解决那个最老的问题——怎么在不让人觉得麻烦的前提下，真正确认屏幕那头的人是你。
我上次在那个安全厂商的开放日上，最后走的时候，那个调算法的工程师跟我说，他们现在做的所有优化，都不是为了把黑客挡在外面，是为了让普通人用的时候，不会觉得麻烦到想找便签纸把密码写下来。
真的。
哪有什么一劳永逸的安全方案啊。身份认证这东西，本来就是在便捷和安全之间走钢丝，从来没有什么完美的答案。