11月17日消息，随着数据泄露事件的数量没有减少的迹象，用生物识别认证取代密码的呼声不断高涨。根据MarketsandMarkets的数据，生物识别技术正被广泛纳入，以确保组织免受未经授权的访问，这些安全解决方案的吸引力不断增加，预计到2023年将创造一个价值418亿美元的市场。

密码重复使用是数据泄露事件不断发生的根本原因。近年来，生物识别技术越来越多地被赞誉为比密码更优秀的认证解决方案。然而，生物识别技术也并非没有问题，一旦你看清了它的本质，它就会带来自己的一系列挑战。

有几个缺陷，包括一个具有潜在致命影响的缺陷，是组织在探索生物识别认证时不能也不应该忽视的。这些缺陷包括：

    1. 生物识别技术是永远的  

这就是致命的弱点：一旦生物识别技术暴露/损坏，你就无法更换它。没有办法刷新或更新你的指纹、视网膜或你的脸。因此，如果用户的生物识别信息被暴露，那么任何使用这种认证方法的账户都会面临风险，而且没有办法逆转损害。

生物识别技术的展示，使其有可能被利用。例如，面部信息可以在线或通过某人的照片获得，不像密码，除非被盗，否则密码仍然是私人的。只要对生物识别标记有足够详细的表述，就有可能对其进行欺骗，而随着深度伪造技术的兴起，欺骗生物识别技术将变得更加容易。

由于生物识别技术是永远存在的，因此，如果出现漏洞，组织必须尽可能地让黑客难以破解算法。他们可以通过使用强大的散列算法和不以纯文本存储任何数据来做到这一点。

    2. 设备/服务限制  

尽管带有生物识别扫描器的设备无处不在，支持生物识别认证的应用也很多，但很多设备还是无法纳入这项技术。虽然生物识别技术在智能设备中很常见，但许多台式机或笔记本电脑却不是这样，它们仍然不包含生物识别阅读器。此外，在通过浏览器登录网站时，生物识别认证的使用目前还非常有限。因此，在每个设备和浏览器都兼容之前，单纯依靠生物识别认证根本不可能。

最广泛的面向消费者的生物识别认证方法（苹果的TouchID/FaceID和安卓的对应产品）基本上只在客户端使用--作为一把钥匙，为目标应用或服务解锁本地存储的一组认证凭证。

虽然这种方法对于这种用例来说效果很好，并且具有不在服务器上存储敏感的生物识别签名的优势，但它排除了将其作为唯一认证机制的可能性（即，如果我试图从不同的设备上访问服务，我必须在重新启用生物识别认证之前使用用户名和密码等凭证进行重新认证，假设新设备甚至支持它）。要想真正拥有生物识别优先（或仅生物识别）的认证方式，你需要一种不同的模式--生物识别签名存储在服务器端。

    3. 欺骗威胁  

生物鉴别认证系统的另一个令人关切的问题是，扫描器设备已表明它们很容易被欺骗。黑客已经成功地通过使用有效用户指纹或脸部的铸件、模具或其他复制品，使扫描仪识别指纹。虽然活度检测已经取得了长足的进步，但仍远未达到完美。在欺骗检测变得更加复杂之前，这种风险仍将存在。

    4. 生物识别的变化  

另一个潜在问题是用户的生物特征可能发生变化（例如，指纹受伤或丢失，或脸部受伤），特别是在生物特征认证是唯一使用的认证方法且没有后备方法的情况下。

如果由于生物特征认证而发生漏洞，一旦网络犯罪分子获得访问权限，他们就可以改变这些账户的登录方式，并将合法用户锁定在其账户之外。这就使得企业有责任提醒用户立即采取行动来降低风险。如果出现漏洞，企业和用户都应该立即关闭设备上的生物识别功能，并恢复到默认的状态，通常是密码或通行码。

    采用分层认证方法  

组织需要接受分层的安全方法，而不是寻找一种神奇的认证子弹。在物理世界中，你永远不会仅仅依靠一种解决方案，而在数字世界中，你也应该采取同样的理念。除了这种分层方法，组织还应该专注于硬化每一个元素，以巩固其数字防御。

生物识别技术的简单性和便利性将确保它继续成为企业和用户的一个吸引人的选择。然而，由于上述限制，仅仅依靠生物识别认证是一种高风险策略。相反，企业应该有选择地部署生物识别技术，作为整体身份管理战略的一部分，但它们必须包括其他安全要素，以减轻潜在的风险。很明显，尽管众说纷纭，但2021年不会是生物识别技术取代密码的一年。

无论爱它们还是厌恶它们，密码仍将是我们数字生活中的固定装置。