如果把信息安全体系看作一个木桶，那么防火墙、入侵检测、 VPN 、安全网关等就是木桶的壁板，身份认证就相当于木桶底。可以说，身份认证用于解决访问者的物理身份和数字身份的一致性问题，给其他安全技术提供权限管理的依据，而防火墙等技术针对数字身份进行权限管理，解决数字身份能干什么的问题。
    由此可见，身份认证是整个信息安全体系的基础。

 无所不在的身份认证

    相信大家都记得这样一幅漫画，一条狗在计算机面前一边打字，一边对另一条狗说： “ 在互联网上，没有人知道你是一个人还是一条狗！ ” 这个漫画说明了在互联网上很难进行身份识别。

    身份认证是指计算机及网络系统确认操作者身份的过程。计算机和计算机网络组成了一个虚拟的数字世界。在数字世界中，一切信息包括用户的身份信息都是由一组特定的数据表示，计算机只能识别用户的数字身份，给用户的授权也是针对用户数字身份进行的。而我们生活的现实世界是一个真实的物理世界，每个人都拥有独一无二的物理身份。如何保证以数字身份进行操作的访问者就是这个数字身份的合法拥有者，即如何保证操作者的物理身份与数字身份相对应，就成为一个重要的安全问题。身份认证技术的诞生就是为了解决这个问题。

    如何通过技术手段保证物理身份与数字身份相对应呢？在真实世界中，验证一个人的身份主要通过三种方式：一是根据你所知道的信息来证明身份（ what you know ），假设某些信息只有某人知道，比如暗号等，通过询问这个信息就可以确认此人的身份；二是根据你所拥有的物品来证明身份 (what you have) ，假设某一物品只有某人才有，比如印章等，通过出示该物品也可以确认个人的身份；三是直接根据你独一无二的身体特征来证明身份 (who you are) ，比如指纹、面貌等。

    不过，你所知道的信息有可能被泄露或者还有其他人知道，因此仅凭一个人拥有的物品判断其身份是不可靠的，这个物品有可能丢失，也有可能被人盗取，从而伪造此人的身份。

    用户名 / 密码是最简单也是最常用的身份认证方法，非常容易破解，因此是一种是极不安全的身份认证方式。

 IC 卡认证

    IC 卡由合法用户随身携带，登录时必须将 IC 卡插入专用的读卡器读取其中的信息，以验证用户的身份。 IC 卡认证是基于 “what you have” 的手段，通过 IC 卡硬件不可复制来保证用户身份不会被仿冒。然而由于每次从 IC 卡中读取的数据是静态的，通过内存扫描或网络监听等技术还是很容易截取到用户的身份验证信息，因此还是存在安全隐患。

 动态口令

    动态口令技术是一种让用户密码按照时间或使用次数不断变化、每个密码只能使用一次的技术 。动态口令技术采用一次一密的方法，有效保证了用户身份的安全性。但是如果客户端与服务器端的时间或次数不能保持良好的同步，就可能发生合法用户无法登录的问题。并且用户每次登录时需要通过键盘输入一长串无规律的密码，一旦输错就要重新操作，使用起来非常不方便，使用烦琐就有可能造成新的安全漏洞

 生物特征认证

    生物特征认证是指采用每个人独一无二的生物特征来验证用户身份的技术。常见的有指纹识别、虹膜识别等。生物特征认证基于生物特征识别技术，受到该技术成熟度的影响，采用生物特征的认证技术具有较大的局限性。首先，生物特征识别的准确性和稳定性还有待提高，特别是如果用户身体受到伤病的影响，往往导致无法正常识别，造成合法用户无法登陆。其次，由于研发投入较大和产量较小等原因，生物特征认证系统的成本非常高，目前只适合于一些安全性要求非常高的场合，如银行、部队等使用，目前还无法做到大面积推广。

 基于 PKI 体系的 USB Key 认证

    基于 PKI （ Public Key Infrastructure ，公钥基础设施）构架的数字证书认证方式可以有效保证用户的身份安全和数据安全。 目前越来越多的单位和组织开始基于 PKI 进行身份认证。要实现基于 PKI 的身份认证就必须建立一种信任及信任验证机制，即每个网络上的实体必须有一个可以被验证的数字标识，这就是 “ 数字证书 ” 。数字证书是由一个第三方证书授权中心 (CA) 发行的，经 CA 数字签名的包含用户的公钥和与用户身份相关的信息，是一个实体在网上信息交流及商务交易活动中的身份证明，具有唯一性。在基于证书的安全通信中，数字证书是证明用户合法身份和提供用户合法公钥的凭证，是建立保密通信的基础。

    基于证书的认证机制提供了一些良好特性。首先，认证过程中没有秘密信息的传输，用户可以跨越开放的网络向远端服务器认证自己的身份，而不必担心被窃听。其次，用户和服务器没有共享任何长期密钥，因此支持向多个服务器的身份认证。并且，这种机制还支持双向认证，用户在向服务器认证自己的身份时，可以利用相同的机制认证远端服务器的身份。在不久的将来，大多数人都会有自己的数字证书，可以使用数字证书进行身份认证，进行电子商务、电子政务等各种活动。

    使用 USB Key 可以保障数字证书无法被复制，所有密钥运算由 USB Key 实现，用户密钥不在计算机内存出现也不在网络中传播，只有 USB Key 的持有人才能够对数字证书进行操作，安全性有了保障。

    由于 USB Key 具有安全可靠，便于携带、使用方便、成本低廉的优点，加上 PKI 体系完善的数据保护机制，使用 USB Key 存储数字证书的认证方式已经成为目前主要的认证模
式。

 几种身份认证技术特点的比较