巨头安全策略：IBM、微软为何青睐身份认证安全？

InAuth公司的首席战略官迈克·林奇认为，无论是IBM还是微软的愿景，身份验证和设备认证仍然是安全的一个重要因素。

作者：迈克·林奇（Michael Lynch），InAuth公司的首席战略官，负责开发和领导公司的新产品战略。在加入InAuth公司之前，林奇曾担任美国银行的高级副总裁。

每当一项新技术出现时，它自然就会在公司之间引发一场竞争，成为主导者。因此，区块链作为支撑数字货币比特币的新兴技术，IBM和微软现在正致力于成为主流的商业区块链-服务(BaaS)平台。

为了追求这一目标，微软自2015年以来一直在其云平台Azure中增加区块链模块，而IBM在几周前推出了第一个区块链的商业应用。两者的相似之处在于，它们都基于开源代码，并在云计算中运行，但仔细观察就可以发现，他们对这项技术有两种不同的看法。

在这两者中，微软部署的代码更加公开。因此，它拥有更大的开发人员基础和更多的互操作性，但是当代码中发现潜在问题时，它们很快就会成为公众的知识。IBM的BaaS提供的底层代码具有更大的限制性，这使得开发人员基础更小，并降低了互操作性，但问题并没有公开披露。

谁将赢得这场竞争是一个悬而未决的问题，但这两个系统都有两个弱点:身份和安全。具有讽刺意味的是，在区块链的所有承诺下，它本质上在接入点（数字设备）本身并不具有本质上的安全性，也没有嵌入消费者的身份。

凭借其创新的开放分布式架构，区块链在提高效率和减少涉及多方交易的某些欺诈行为方面有着巨大的潜力。IBM和微软的区块链都在各自的部署中利用这些优势。

但是，这两个系统中的漏洞都是继续困扰着所有支付系统的提供者——你如何知道参与交易的人是被授权执行该交易的人呢?

就像今天的开户过程一样，也就是金融帐户或信用卡开户，必须有全面的流程来了解客户(KYC)协议。在开户时的身份验证包括使用信用数据、文档证据、基于知识的认证(KBA)、社交媒体数据、电话运营商数据和设备智能。

一旦确定了身份，就可以通过使用多因素身份验证(MFA)来确认某人声明的身份。在某人被授权之前，他们必须提供两种或更多的属性——要么是他们知道的东西(例如，密码)，要么是他们拥有的东西(在区块链的世界里，这可能是他们的私钥和设备)，或者是他们个人的内在属性(比如指纹)。一旦将这些属性组合在一起并进行验证，就可以使用该服务。

如果没有身份验证和多因素身份验证，区块链技术不会阻止未经授权的人获得对账户的访问权。

使用正在访问区块链的设备作为MFA的唯一属性，将成为一种至关重要的最佳做法。可以为用户的设备创建永久设备ID的技术来验证用户是否可信或潜在的欺诈风险。

为了抵御安全威胁和恶意攻击，同样的技术可以在授予访问区块链之前检查设备，以查看是否“干净”——无恶意软件，不被欺骗，不会通过一个恶意的应用程序进行交互，尚未被列入黑名单，尚未种植木马或越狱，并执行许多其他层次的风险分析。

最重要的是，这种方法将使得访问区块链时不会出现问题，并增强用户体验，同时增强这一新兴技术固有的安全性。

尽管IBM和微软在创建商业区块链应用程序方面有两种不同的愿景，但人们希望他们能够同意将这些安全最佳实践的要素纳入到它们各自的产品中。

-END-

本文由网安视界（网络空间安全情报站和智库）独家创作整理，转载请注明出处。