一种无需密码的开放协议登录方式

互联网上到处需要密码，为了方便记忆人们喜欢用同一个密码，一个网站被黑客攻破后你的密码就泄露，其他网站也关联被攻破造成更多隐私泄露。

后来出现了 OAuth 登录方式，但这种方式是一种中心化的登录方式，中心平台决定了用户信息的提供，比如微信决定给开发者提供什么样的权限，而且随时可以以各种借口屏蔽、限制开发者或用户的账号，从而造成服务的中断。
这就使得用了 OAuth 登录的网站或 APP 为了双层保障又让用户重新填写提供邮箱、手机和密码。

于是，我在思考，有没有一个更好的方式来解决这个问题。

受到比特币去中心化方式的启发，我们都知道比特币最重要的是它的开放协议，不同的客户端有不同的实现方式，但它们都遵守同一协议，它们就可以实现通信。
所以，我就在想，我们是否能实现一个这样的标准化登录协议，接入协议的无论是网站、开发者、用户，就能实现统一的登录方式，因为是开放的协议，所以就不再受制于任何一个平台。

具体实现：
1，用户要登录网站时，网站生成一个登录码（其实是一个 api 接口）,任何实现了登录协议的客户端收到接口后都可以向接口发送加密数据（包括登录、授权信息读取、退出、永久注销等等功能）。
2，本地客户端收到登录码后从本地选择一个账户或生成一个新的账户私钥，通过一定的方式生成加密数据发送给网站，网站收到数据后解析出公钥、登录有效时间等信息完成登录。
3，各个网站的登录私钥、以统一的格式保存在本地客户端。
4，用户可以随时加密导出私钥数据包，导入到其他客户端。
---------------------------------------------------------------------------------

整个登录过程，用户不再需要提供密码，各个网站的登录信息，用户自行保管。

我们唯一需要留意的是客户端的安全，通过社区开源、社区鉴别等方式能让用户自由选择一个安全可信赖的客户端。
而且，因为是去中心化的，即使某个用户的终端被黑客攻破，不会对其他用户产生影响，不会出现大面积的数据泄露的情况。

sean10

2020-10-09 01:19:12 +08:00

基本上就是，把我们去密码管理器里输入主密码，找到网站的用户名密码，再填到网站的过程，这部分由一个客户端自动生成保存密钥，并这个客户端有和各服务网站对接，或者反过来，服务网站提供这个渠道登录。

但是这个就引申出一个问题，如果保障用户使用不同设备时登录相同的账号，这就意味着需要一个同步盘来同步这个客户端对接的数据库。

从上面这个角度来说，我感觉苹果的生态最容易无缝迁移的实现这个标准和功能

yyfearth

2020-10-09 01:30:25 +08:00

其实没必要那么麻烦
其实就算是 1Password 或者 lastpass 这种也可以做到去中心化
因为他们无非就是把用户的所有数据加密存在自己的数据中心
那么把整个数据中心存储变成 ipfs 类似的去中心化的存储方案不就解决了
只要客户端连接到这个中心化的存储加上账号+主密钥+主密码来解开就好了
只要“账号+主密钥+主密码”不泄漏那么就算你的加密数据是公开的也没有关系啊
反过来如果“账号+主密钥+主密码”泄漏不管数据是公开的还是私密的中心化的还是去中心化的都没救了啊

weitch

2020-10-09 02:12:14 +08:00

@yyfearth #3
重点并不在于去中心，而是把整个系统变成一种协议，类似于 TCP/IP，只要遵守协议任何开发者都可以开发出他们合适的客户端，而且数据通用，不依赖于任何第三方。

我具体没用过 1password，但我想它只是一个产品而不是协议，这样你就无法得知产品背后的人会不会作恶偷偷保存你的密码信息，而且你不能把它的数据倒入到其他同类型的客户端。

yyfearth

2020-10-09 05:34:49 +08:00

@cmdOptionKana 这些都是可以解决的
首先网站肯定任然会提供密码登陆的方式也可以使用扫码登陆的方式

用 fido 的话也是可以的
fido 硬件设备不一定是用来打开应用或者网站的设备
说白了 fido 硬件就只是一个有线或蓝牙(可以支持 NFC)的键盘用来动态生成和输入密码
你用别人的设备只要插上或者配对上你的 fido 硬件任然可以正常使用
比如在公司或者图书馆用公共 PC
只要你用 fido 设备插入 USB 或者 NFC 蓝牙配对就可以登陆了
这样也就解决了多用户或者小号的情况

对于 fido 设备被盗丢失很简单你任然可以用其他途径就像忘记密码一样来禁用被盗或者都是的 fido 设备

gps949

2020-10-09 07:53:04 +08:00

ca 行业表示总感觉自己做的内容也没啥新意千篇一律很老套，为什么还总有客户需要我们给他们设计呢？听到 fido 、ifaa 之类的感觉和一直在搞的没太多区别，只是方案级的整合而已，听到零信任感觉也只是个概念也没提出什么新技术啊，为什么客户会对这些兴趣昂然呢？

搞久点才知道，原来是因为这个圈子比较封闭，圈外人听这些就会觉得很新鲜，殊不知一些新名词对应的技术早用了二三十年

lvybupt

2020-10-09 08:58:04 +08:00

基于 password 的认证和密钥协商本身才是很小的一部分，计算机或者信息系统里大部分认证登录密钥协商密钥分发本身就不用 password 的。

自己系统里存的私钥证书临时会话密钥等等本身就可以随便导出。

至于服务器端，自我阉割中心的问题本身就不是个技术问题。
我为啥要要在我提供的服务里去掉我自己的中心呢？？？我又不靠去中心化融资骗钱。

密码学研究了认证和密钥协商几十年，依然认为基于口令的加密不够安全，但行业根本抛弃不了，还不是因为它便捷易用。