从密码到刷脸，身份认证技术的进化史

摘要：

从最早的口令密码，到短信验证码，再到今天的人脸核身，身份认证技术走过了一条怎样的路？这篇文章带你回顾认证技术的进化历程，也看看下个阶段的方向是什么。

一、第一阶段：知识型认证（你知道什么）

最原始的身份认证方式就是"对暗号"——你知道一个只有你（和系统）知道的秘密，系统就认为你是你。

• 静态密码：计算机密码的雏形可以追溯到 20 世纪 60 年代初 MIT 的 CTSS 系统。此后数十年里，"用户名 + 密码"一直是数字世界最主流的认证方式。
• PIN 码：ATM 机的 4 位或 6 位数字密码，简化版静态密码。

但密码的致命问题始终没有解决：容易被猜中、被钓鱼、被泄露。

二、第二阶段：持有型认证（你有什么）

单纯的密码不够安全，于是引入了"你拥有什么东西"这个维度。

• 短信验证码：你拥有这个手机号，能收到验证码，说明是你。
• 硬件令牌/U 盾：你拥有这个硬件设备，插入后才能操作。
• 邮件验证码：你拥有这个邮箱的访问权限。

短信验证码普及最广，但问题也在积累：SIM 换卡攻击、伪基站拦截、手机上木马直接读取验证码。而且每次等短信的体验也很差。

三、第三阶段：多因素认证（你知道+你拥有）

密码 + 短信码的组合，成为过去十年的主流方案。

• 2FA（双因素认证）：密码（你知道）+ 短信验证码/TOTP（你拥有）
• 3FA（三因素认证）：再加入生物特征（指纹/人脸）

多因素认证安全等级高，但用户体验也在减分。每增加一个验证步骤，用户完成率就会下降。

四、第四阶段：生物特征认证（你是什么）

生物特征认证的巨大优势是：你不需要记住什么，也不需要携带什么，你本身就是密码。

指纹识别在 2010 年代率先在智能手机上普及，随后是人脸识别（Face ID 等）。人脸相比指纹有天然的差异优势：非接触、更自然、用户不觉得"在验证"。

至此，身份认证从"主动的繁琐操作"变成"无感的自然交互"。

五、第五阶段：AI 时代的人脸核身

进入 AI 时代，人脸核身成为生物特征认证的主流形态。为了应对日益复杂的伪造攻击，它的技术构成也在不断加厚：

• 活体检测：防止静态照片和视频冒充，确保镜头前是"活人"
• AI 攻击防护：用大模型识别 Deepfake 和 AIGC 换脸
• 设备风险检测：判断设备是否被劫持、是否运行在模拟器中

六、各认证方式对比

七、下个阶段：无感认证

未来的认证方向是"你不需要做任何认证动作，但系统一直在认证你"。这一方向主要由三块拼成：

• 多模态融合：人脸 + 声纹 + 行为特征交叉验证，单一维度被突破也不至于影响整体安全
• 无感持续认证：通过打字节奏、鼠标轨迹、行走姿态等行为特征，在用户无感知的情况下持续确认身份
• 隐私计算：在不泄露原始生物数据的前提下完成验证

当然，在当前阶段，人脸核身仍然是兼顾安全与体验的最优解之一——打开摄像头，对准脸部，一秒完成。腾讯云慧眼人脸核身系列产品覆盖从基础二要素到 AI 防护盾的完整能力，当前限时特惠低至3.3折：https://cloud.tencent.com/act/pro/happynewyears