我也被盗号了，不是在lns，是在真实世界

写作|流苏

编辑|图图

这两天DG做了一件大事。DG官方回应是：不是我，不是我的错，是设计者Gabbana老师的lns被偷了。嗯，都是一样的配方，一样的味道，还有“教科书般”的锅折腾。

但是，对不起，黑客不背这个锅。

换句话说，DG真的知道什么是黑客吗？

“偷号”，在梦里和现实里

最近，我一直在做同样的梦。在梦里，我被偷了。

“早晨，第一缕阳光冲破云层，洒在大地上，我睁开了眼睛；窗帘自动缓缓打开，扬声器自动播放舒缓的音乐，榨汁机开始为我准备新鲜的柠檬汁……”

然而，在黑客的另一端，却是另一番景象。

“智能音箱在窃听存储声音，摄像头在默默记录一切，甚至智能门锁都是直接打开的……”

像天空中一双黑白分明的眼睛，注视着一切。

还好，这只是一场关于物联网时代的噩梦。在梦里，我向往的生活变成了变态恐惧的存在。因为黑客，我的一切都被别人默默的看着，操控着。

我以为黑客攻击只会发生在梦里或者加巴纳老师的lns里；然而接下来的事情告诉我，黑客攻击是发生在现实世界中的。

2018年10月，在上海大大会上，一位女黑客不到三分钟就更新了三个智能门锁，轻松得像回了家一样。

观众的惊呼，疑惑，还有那轻易推开的三扇门，给我留下了深刻的印象。

智能门锁已经被轻易攻破，这意味着我被黑的噩梦已经成真：智能门锁把黑客当成了“我”，或者“我”的真实身份已经被黑客冒用。

在即将到来的物联网时代，“我是谁”将会是一个十分严肃的问题，因“盗号”产生的损失也将大的可怕。如果我家的智能设备被盗了号，别人不仅可以开我家的门，“共享”我的智能设备，

甚至能在我毫无觉察的情况下默默注视并操控着一切……

坑越来越多

回想PC互联网时代，似乎每个人都被盗过几次号。就好像没有挂科的大学生活是不完整的一样，没被盗过号的网民也是不“资深”的。

陪着互联网从PC到移动端一路走来，账密层面的盗号和防盗号一直处在你追我赶的状态。尽管彼此都想彻底超越对方，但现实情况是，在无限长的跑道上，双方的差距可以忽略不计，一路纠缠不休。

最开始只有账号和密码，盗号经常发生；然后，“防盗号”这一侧热闹起来——绑定手机号码、动态验证、手机令牌等都出来了，银行还有U盾、电子密码器等。目的只有一个，不让你被盗号。

然而，现实效果似乎也没那么美好。一方面，大家对用起来非常麻烦的U盾等验证手段总是“觉累不爱”；另一方面，窃取附加验证信息的“把戏”似乎总是“魔高一丈”，比如，伪基站可以“钓”走短信验证码……。SO，

盗号还是会常常出现。

如果我们把互联网比作通往罗马的大道，漏洞就是隐藏在路面下的坑，白帽黑客负责找坑。

为了使路更好走，我们会把路修得越来越宽；但，路宽了，可以挖坑的地方也变多了，于是，坑也变多了。

更糟的是，这条路的前方是一个可以预见的未来：物联网时代，碎片化程度比互联网时代更加严重。之前可能只有一条路到罗马；现在，出现了第二条、第三条.第N条，每一条路都和第一条路一样，坑越来越多，

有N条路就会有N的N次方个坑。

从核实账号进化到核实“人”本身

路上的坑再多，罗马总是要去的。

那这些坑怎么办呢？不填不行，单纯依靠白帽黑客找坑再填也不现实，毕竟坑的数量太多了.

回顾来时的路，让我们从曾经填过的“坑”里寻找答案。

2011年，CSDN信息泄露。。爆发，所有在CSDN注册用户的账号密码被人一次性拖了库，并且公开在网上。盗号者终于找着机会来了下狠的，所有在账密库里的人都猝不及防，掉坑里了。

看到自己的账号密码就这样公之于众，那种裸奔的感觉至今令人恐惧。更恐惧的是，这是第一个爆发出来的“天坑”，那还会不会有第二个、第三个乃至第N个？

放弃这条路有点舍不得，继续裸奔，心里已经有了浓重的阴影——当时缺乏风控保护的账密系统就像碗里的那块鸡肋一样，食之无味，弃之可惜。

所幸，还有一部分人看到了：“盗号与防盗”双方再这样纠缠下去没有未来。

于是，安全专家们开始动手改进单纯基于“账号密码”的身份认证。既然现状已经无法改变，那就在另一个维度建立新的身份认证体系——生物识别。于是，就有了我们现阶段使用的指纹识别和人脸识别。

面对“盗号”，人们似乎找到了解决之道：通过生物识别，直达身份认证最本质的问题——从核实一个可能被偷走并冒用的账号，进化到核实操作者的肉身。

这种基于安全的进化，使账号密码还原为一个通道，是否被盗不再那么重要——就算是有人冒名进入这个通道，打算进一步操作或下达指令，也必须在这个通道里，

证明自己是不是“用户本人”——验一下指纹或者刷一下脸。

在真实的世界，伪装成“用户本人”的成本是很高的，比如同时盗取用户的指纹和手机，或把用户打晕刷脸（还得保证晕了以后还睁着眼，闭着眼也刷不了脸），再或者如同《碟中谍》 中的阿汤哥一样，

花高额成本打印一张“人造脸”。（Gabbana老师，您被“盗号”到底是哪种情况？）

碟中谍6阿汤哥正在扫描、打印人脸

言归正传，有了生物识别的“加持”，身份验证得以在安全层面“进化”了一大步——强化了虚拟和现实的交互确认，也在很大程度上解决了原先停留在单纯账密层面的盗号问题。

标准的诞生

物联网时代，智能设备将会越来越多，相当于“去罗马”的路也会越来越多，而每个智能设备里的芯片、系统、通信协议也不尽相同。就好像修路的人不同，所以每一条路都不太一样。如果每条路又有不同的“坑”，

靠逐一修补显然是填不过来的。

当我们走过一条糟糕的路时，心里想着的是，所有的路都像这条路这么糟糕。就好像我们看到智能门锁被最新，内心对于所有的智能门锁都是恐惧且拒绝的。

那时，劣币驱逐良币的情况就会发生。智能门锁是这样的，那么，智能音箱、智能冰箱也是这样的；木桶理论将会被印证，决定这个行业安全性的是那块最短的木板。

这样的结局伤人伤己，大家也开始意识到，得有个标准来规范所有的路。就像现实生活中，国道有国道的标准，高速也有高速的标准。路是一样的，坑出现了就容易堵上，而且会大大减少成本。

IFAA顺势而生

当人们意识到要建立一个标准时，环顾四周却发现不知道谁来起这个头。

这是在为未来制定一个规则：尽管大家都意识到，将来没有哪个企业能“独善其身”，但也没有哪个企业能仅依靠一己之力就肩负起如此重担，替所有人制定一个面向物联网时代的标准。

所幸，这个问题并没有困扰安全生态太久。2015年6月，。。信息通信研究院、蚂蚁金服、华为、三星、中兴等几位大佬一起坐下来聊了聊，结果让各自都欣喜不已，原来大家心里早就有这个意思了。于是，

几位大佬一起站出来，决定成立一个联盟，共同推动生物认证和身份识别标准的制定。

互联网金融身份认证联盟（简称IFAA）就这样应运而生。

同年9月，IFAA标准1.0版本正式上线。从成立到1.0版本上线，IFAA仅仅用了三个月的时间，在这短短的90天内，IFAA实现了0到1的跨越。

IFAA标准的诞生和不断升级为手机行业带来了实质性的改变，手机接入指纹支付的时间从过去的六个月变成了短短的一天，也让安卓机看到了在生物识别上追平苹果的希望。只要将手机接入IFAA平台，

IFAA上所有的软件都可以和手机连通，于是，纷繁杂乱的安卓生态，在这一刻归于某种标准。

短短3年的时间，绝大多数智能手机都已接入指纹识别或者人脸识别。如果说标准是一把钥匙，打开了卡在脖子上的枷锁，让整个行业为之一变，那么，IFAA就是握着这把钥匙的手。

一个“没有盗号”的未来

2018年，IFAA虽然只有三岁，但其做出的努力和成效已初具规模。IFAA联合产业链上下游合作伙伴，探索生物识别、IoT等网络可信身份技术，推进生态协作，

制定联盟标准等工作已步入正轨并取得了相应的成果。

目前，IFAA联盟已经拥有超过200家成员，36个品牌、380款、超过12亿设备接入了IFAA方案。IFAA联盟安全便捷的“指纹身份校验”和“人脸识别方案”已服务超过3亿用户。

小猪短租与IFAA合作的“智能入住”已覆盖全国近40个城市，在身份安全的前提下实现快捷入住已不再仅仅是一个设想。

IFAA用实际行动证明，安全和便捷不是鱼和熊掌，两者皆可兼得。

在小猪短租的应用场景里，你不用担心在你熟睡时房东用备用钥匙开门“查房”；房东也不用担心退房者私配钥匙。在房门前，你只要拿出手机，打开APP进行刷脸验证，动态数字钥匙就会下发到手机，

而门锁本身并不需要“上网”。

就算别人盗用了你的账户密码，别慌，没有刷到你的脸他进不去；手机不小心被人拿走了，别慌，没有刷你的脸他还是进不去。

2018年9月，IFAA发布了《物联网身份认证白皮书》 ，向物联网时代的安全迈出了实质性的一步。对于IFAA而言，这是小小的一步，而对于物联网而言，却是一大步。

三岁的IFAA为行业普及了安全的本地指纹识别和人脸识别，如今，这两项功能已经成熟并且运用在各种设备上，那么，未来，IFAA又将走向哪里？

“开放、共享”是IFAA的初心，这正是物联网时代IFAA在“人与设备”、“设备与设备”之间建立可信连接的基因。

当生活中的一切连接在一起，并在你我的意愿和授权下发生交互——如此“万物互联”的基础是“万物可信”，唯有可信才能相连，才能交互。

一个没有“盗号”，且可以安全地证明“你就是你”的世界，正是IFAA努力创造的未来。