无论在工作还是在家中，只要想访问信息系统，我们都需要某种身份验证流程。我们也清楚为何要这样做：确保自己能够访问自己的数据，同时让未经授权的人无法访问。
那么，既然网络安全专业人士不断给出 相关建议 ，内容多次强调 使用高强度密码的必要性 ，并要求经常更换，我们为何仍习以为常地忽视这些建议？看来我们的实际做法与内心诉求之间存在明显分歧：我们究竟是在追求安全，还是在追求可用性？
目前我们遇到的大多数身份验证，通常采用以下三种方式中的一种（或多种）：
你所知道的信息（例如普通的密码）
你所拥有的物品（例如智能卡）
你的生物特征（例如指纹）。
许多系统采用用户名/密码组合进行访问控制，主要原因在于大多数系统的交互界面通常是某种键盘。部分智能手机使用PIN码或指纹，银行自动取款机则结合使用你所拥有的物品（银行卡）和你所知道的信息（PIN码）。
密码的问题
使用较长的随机密码是很好的建议。它能在一定程度上保护重要信息的访问安全，例如你的网上银行账户。
遗憾的是，面对需要记住多个十五个字符随机密码的情况（字符包括A至Z、a至z、0至9，以及各种其他可打印字符，如 ! @ # $ 和 %），大多数用户会根据密码所保护信息的价值进行判断，并相应地采取行动。
有些账户的密码可能相对较弱，原因在于一旦账户被入侵，所带来的不当信息泄露或对所有者造成的伤害代价相对有限。其他账户则可能设置较强的密码，因为用户不希望资金被网络罪犯转移。这些都是基于对信息感知价值的判断。
你的密码有多安全？
如果必须使用密码，什么样的密码才算好？密码能以多快的速度被破解？
有几家网站会 发布常见密码列表。我与珀斯的一家科学探索中心合作，曾使用一份包含1400万个密码的列表进行测试。
中心的参观者（多为高中生）被要求输入他们认为安全的密码，并与该列表进行比对。如果密码未出现在列表中（这种情况很少见），则会将该密码发送至一台高速计算机做进一步处理。
这台计算机只需不到两秒，即可破解一个六个字符的随机密码。它采用暴力破解方式，依次尝试匹配“aaaaaa”、“aaaaab”、“aaaaac”，直至穷举所有六位字符组合。
令人惊讶的是，这台高速计算机几乎无需费力。许多用户认为，取自知名文学作品的词语或短语在某种程度上是安全的。事实并非如此（《指环王》和《战争与和平》中的内容都不要用）。
密码越长，破解所需时间越长。一个随机的15个字符的密码可能需要一周时间，但这又回到了信息的时间价值问题上。如果网络罪犯需要等待一周，你的账户仍然存在，那么你会每周更换一次这个随机的15个字符密码吗？
为密码增加一层额外安全保障的方法之一，是启用任何 两步验证功能，即在输入密码后，系统会向你的设备（例如手机）发送另一组验证码。 许多在线服务 已提供这一功能。
我们需要其他形式的身份验证
如果因可用性问题，普通密码并不适用，那么也有其他替代方案，例如 pay wave 非接触式支付系统，适用于 银行卡和交通卡，小额交易无需输入密码。
风险在于，如果钱包或钱袋被盗，账户在被冻结之前，少量资金可能会被转走。尽管如此，刷卡 事实证明颇受欢迎 ，消费者和零售商都对此表示认可，因此便利性战胜了安全性。
生物识别方法，基于人体的某种生理特征，因其无需记住密码或携带卡片而颇具吸引力。智能手机和计算机操作系统 已经采用指纹扫描仪 ，以提供简单而有效的身份验证方式。
目前使用的其他生物识别设备包括 视网膜扫描仪、 虹膜扫描仪 和 语音识别。尽管流行电影中常有相关画面，但没有人喜欢眼睛被激光照射，因此 语音识别 或许是未来的发展方向。
但生物识别技术也存在 一些已知问题 。不过，这些问题同样存在于任何身份验证系统中。目前，单指纹设备的错误率最好也仅约为2%，尚不足以单独依赖。
有些系统并不依赖比对实际指纹，而是比对用户的其他行为特征。例如，指纹扫描时的角度和速度因人而异，且可被测量和重复，这些特征能够抵御物理攻击，例如为冒充他人而取下他人手指的行为。
回到自动取款机的例子：目前，由于银行卡和PIN码的维护与生产成本较低，我们仍需依赖它们。从客户的角度看，若能在确认与账户绑定的声纹之后，直接对自动取款机说话并请求取现，会更加简便。这将是一个更加便于用户使用（也更为安全）的未来。
归根结底，在更稳健的安全替代方案获得广泛认可（并能以低成本实施）之前，那些仍然无视密码建议的人，必须认真思考自己更看重安全与可用性之间的何种平衡，以及他们愿意为薄弱的安全付出怎样的代价？
本文与 The Conversation合作发表。刊发本文并不意味着世界经济论坛认同文中观点。
如需及时了解议程动态， 请订阅我们的每周电子通讯。
作者： Mike Johnstone，安全研究员，软件工程高级讲师， Edith Cowan University
图片：在柏林拍摄的这张插画中，一个放大镜置于电脑屏幕前。REUTERS/Pawel Kopczynski
