密码是线上应用安全的关键，钓鱼邮件、垃圾邮件、弱密码等都给用户带来潜在的安全威胁。针对密码相关的问题，W3C 和 FIDO 联盟制定了通用的免密码登录标准——FIDO。近日，三大互联网巨头微软、谷歌、苹果宣布将支持 FIDO 免密码登录。

很多人都很好奇FIDO联盟到底是干什么的，而苹果、谷歌、微软三家巨头的支持对于这个联盟意味着什么。

FIDO联盟成立于2012年7月，是一个致力于“将认证方式与认证协议分离，充分利用硬件设备内嵌的安全能力，为多种设备和多种应用提供对不同身份认证方式的相同支持”的移动身份认证联盟。

2015年，其成员包括英特尔、微软、谷歌、ARM、美国运通、三星电子、中国金融认证中心、阿里巴巴、联想等公司。我们熟悉的支付宝、京东钱包、易付支付，以及国外使用的NTT，都采用了FIDO联盟的相关技术。苹果2022年才加入。

FIDO 联盟成员

FIDO联盟旨在通过“一套开放、可扩展、可互操作的机制和强大、更私密的身份验证标准”来减少对密码的依赖。其实对于普通人来说，我们已经习惯了很多免密码登录的行为，比如早期的USB key、如今的短信验证，都是免密码登录的操作。它的优点是不需要记忆、是动态的、不受位置限制。

FIDO联盟此前的技术分析

如果我们不用输入密码就能登录自己的账号的话，那么某种程度上是不是就可以保证我们的密码永远不会被泄露，我们的账号就更加的安全了？

FIDO 联盟就是这么认为的。

据官方介绍，FIDO联盟的主要目标是“解决由于强身份验证设备之间缺乏互操作性而导致用户在创建和记住多个账户和密码时面临的问题”。

其身份验证协议允许用户无需输入密码即可简单、安全地登录合作伙伴网站和应用程序。

其原理如下，FIDO通过UAF、U2F两个子协议实现安全登录（验证）：

第一个 U2F 标准是关于使用 PIN 和 USB 记忆棒或支持 NFC 的手机；第二个相关协议 UAF 支持指纹、语音和虹膜扫描等生物特征识别技术。

由于无需密码输入，因此不存在忘记密码或者泄露密码的情况。

这次微软、谷歌、苹果想要推广一种新的登录方式，具体来说就是以手机作为登录密钥，通过手机登录账户时会存储基于公钥加密的FIDO凭证，从而在其他设备上访问账户。

这个凭证只有在用户解锁手机时才会显示给在线账户，当你在电脑上登录某个网站时，手机会收到系统提示，我们可以通过验证指纹、面部扫描、虹膜或者设备PIN码来解锁手机，从而在电脑上登录对应的账户。

你可以发现，企业正在让人们从密码认证逐渐转向身份认证，从简单的字母数字字符转向更安全的生物识别设备。毕竟密码只要你知道就可以使用，而你的指纹、面部数据、虹膜，甚至你的手机和电脑，并不是那么容易被复制和获取的。这是这项技术的基本基础。

如今，有苹果、谷歌、微软等巨头的支持，可以加速FIDO身份验证在消费市场的推广，或许在不久的将来，我们将告别手动设置密码的时代，利用虹膜识别实现0.5秒内免密码登录。