知乎日報：別人可以修改你的支付寶密碼漏洞是哪裏出了問題？

　　安全從業者，非阿里

　　支付寶的驗證，其實是個認證問題，它自創了一類認證因子。

　　認證問題是什麼?

　　是你如何向我證明你是你。

　　想象一個外貌口音上你完全沒見過的人，告訴你他代你一個朋友取走存放在你這的錢。

　　OK，你如何相信他?

　　最簡單的確認辦法就是讓他告訴你一個你和你朋友才知道的「秘密」。

　　這個確認秘密的過程就是認證。

　　無論是密碼，或者指紋，或者手機，或者鑰匙，都是用來完成認證的「秘密」。不同的秘密也叫做不同的「認證因子」。

　　確定何時使用何種認證因子，是安全設計中要解決的。

　　想象一下，你顯然不能因為陌生人提了你朋友的名字，就把朋友的錢給他。因為名字這種認證因子 ，並不足夠秘密，在涉及資金時，我們説「認證強度不夠」。

　　當然，如果只是取一塊錢，或者向你問路，提名字這種認證方式還是夠的。這是「根據不同場景確定不同強度認證」。

　　我們回過頭來看阿里在修改密碼這個場景的認證。這個問題火了，是大家在質疑找回密碼場景下，這種認證因子的認證強度不夠。

　　後來又出現澄清，説檢測了網絡環境，這是「補充認證」 ，或者叫「多因子認證」。

　　OK，這涉及到如何評估不同場景下需要的認證因子及其強度。

　　我們做安全，知道危害性取決於：威脅、價值、脆弱性 (或者按其他模型，也是一個意思)。

　　那麼我們怎麼評估不同場景下認證因子的安全性呢。

　　一方面，是考慮場景需要的認證強度，做這個操作，我需要多確定對方的身份? 對應於「價值」。

　　另一方面，考慮認證因子的秘密程度，這個秘密其他人可能知道或猜到嗎?對應於「脆弱性」。

　　再有一個方面，是根據場景考慮認證因子的特點，精液指紋頭髮這樣的東西不是隨便人都能獲得的，只有近距離接觸的人才能獲得的吧? 對應於「威脅」。

　　那我們回來看支付寶找回密碼的這個認證。

　　找回密碼這個場景下，涉及資金，價值大，認證強度的要求應當是高的。

　　那麼兩次九選一，1/81 顯然是脆弱的。

　　但是它另一個認證因子，網絡環境，有效地降低了威脅。也就是説面對的不再是網絡上無數的潛在攻擊者，而是共處一室可追查的幾個人。

　　那麼幾個人中的 1/81，認證強度確實不見得比無數人 1/1000000 猜短信驗證碼低。

　　所以阿里用這種認證因子替代了短信驗證碼，是有一定的合理性的。

　　而不合理的地方在哪呢，是沒有充分考慮這種認證因子的特點，導致可被有心人針對性攻擊，造成「認證擊穿」。

　　所以阿里的產品經理也確實需要提高一下自己的安全設計水平。