必须至少注册一个指纹才能创建每次使用都需要用户身份验证的密钥 - 腾讯云开发者社区

文章/答案/技术大牛

发布

移动端系统生物认证技术详解

简单说就是：我们通过一个只有用户通过身份验证时才授权使用的密钥来加密 Token ，这样不管这个 Token 是否泄漏，对于我们来说都是安全的。...true 时：用户必须通过使用其锁屏凭据的子集（例如密码/PIN/图案或生物识别）向此 Android 设备进行身份验证，才能够而授权使用密钥。...另外可以设置了 setUserAuthenticationValidityDurationSeconds 来要求密钥必须至少有一个生物特征才可用，而一但它设置为 true，如果用户注册了新的生物特征，...：例如是否需要每次都进行身份验证时才可以访问项目；身份验证级别：也就是什么场景下可以访问到存储的信息；举个例子，访问 keychain 首先是需要创建 accessControl ，一般可以通过...：如果未指定，并且该项目需要 authentication 认证，那就会自动创建一个新的 LAContext ，使用一次后丢弃；如果是使用先前已通过身份验证的 LAContext ，则操作直接成功而不要求用户进行身份验证

2.6K2 0

在 Android 中使用生物识别

无论是要求用户每次打开应用都需要登录，还是只要求在安装启动后进行仅此一次的登录，图 1 所示的流程都适用。...△ 图 1: 未使用生物识别的授权流程然而，图 1 这种授权方式有一些弊端: 如果对于每次独立的会话都需要进行验证 (比如银行类的应用)，那么这套流程会让用户感到非常繁琐，因为每次打开应用都需要输入一遍密码...而作为开发者，您要确定您的用户必须要进行重新认证的频率，是一天一次，一周一次还是每次打开应用都需要重新认证。总而言之，我们提供的 API 封装了许多功能，使开发者及其用户获得更加友好方便的登录体验。...如今，许多处理个人数据的应用 (例如邮件或社交应用) 在安装后往往只需要进行一次性身份验证。这种做法普及起来，是因为每次打开应用都需要输入用户名和密码的方式对用户体验造成了不良影响。...举个例子，如果您想执行 10 次加密操作，那么就必须解锁 10 次密钥。因此，auth-per-use 就意味着每次使用密钥时，都必须进行认证 (即解锁密钥)。

1.2K1 1

您找到你想要的搜索结果了吗？

是的

没有找到

Key attestation-Google的密钥认证

这允许密钥的使用被“绑定”到用户的密码 - 它们的PIN，图案或密码 - 或指纹。对于密码认证绑定，应用程序开发人员可以在几秒钟内指定超时。...如果用户上次输入的密码超过了指定的时间，安全硬件将拒绝任何使用该密钥的请求。每次使用密钥时，指纹绑定密钥都需要新的用户身份验证。其他更技术性的限制也可以应用于Android 6.0及更高版本。...一种方法是使用用户的网站密码。但是这对用户来说通常是不方便的，因为网站经常需要长而复杂的密码，这在小的触摸屏上是不方便的。...使用Android Keystore，可以生成非对称身份验证密钥，例如256位ECDSA密钥，并让每个用户使用其复杂的Web密码登录一次，然后在银行的客户帐户数据库中注册公钥。...每次打开应用程序时，您都可以使用该ECDSA密钥执行质询 - 响应身份验证协议。此外，如果您将密钥认证绑定，则用户每次打开应用程序时都可以使用其锁屏密码或指纹进行身份验证。

8K9 0

暴力破解安卓指纹，无视锁定机制，最快40分钟：腾讯、浙大新研究

上个星期，腾讯安全玄武实验室和浙江大学的研究人员提出了一种名为「BrutePrint」的攻击方式，该攻击通过暴力破解现代智能手机上的指纹来绕过用户身份验证并控制设备。...BrutePrint 攻击的最后一个组成部分是使用「神经风格迁移」系统，训练一个 AI 模型（CycleGAN 将数据库中的所有指纹图像转换为看起来像是目标设备的传感器扫描的版本。...这使用于攻击的图像效果更好，获得了更高的成功机会。安卓全军覆没，iPhone 坚挺研究人员在 10 台安卓和 iOS 设备上进行了实验，发现所有设备都至少存在一个漏洞。...经过测试的安卓设备允许无限次指纹尝试，因此只要有足够的时间，暴力破解用户的指纹并解锁设备几乎都是可能的。相对的，在 iOS 设备上，身份验证安全性要强大得多，可以有效防止暴力破解攻击。...实验表明，当用户只注册了一个指纹时，针对易受攻击的设备成功完成 BrutePrint 所需的时间在 2.9 到 13.9 小时之间。

1.4K3 0

005_多因素认证在Web3的应用：从传统2FA到去中心化身份的安全演进

去中心化特性带来的差异无中心化服务器：Web3中没有中心化的身份验证服务器，需要在客户端或智能合约层实现验证自我托管身份：用户完全控制自己的身份和认证过程，没有第三方保管不可撤销性：区块链上的操作通常不可逆...个人用户安全实践多设备策略：至少准备一个备用硬件密钥定期测试：每3个月测试一次恢复流程固件更新：及时更新设备固件以修复安全漏洞物理安全：妥善保管硬件密钥，考虑防火防水存储 3....Web3中的生物识别安全模型生物识别认证流程： 1. 用户注册：采集生物特征并生成模板 2. 加密存储：生物特征模板使用设备安全区域加密存储 3. 验证请求：Web3应用发起身份验证请求 4....hardwareVerified) { throw new Error('必须通过硬件密钥验证才能绑定电话号码'); }...基于DID的SIM卡交换攻击防范策略多因素解绑机制：更改电话绑定需要至少两种独立验证因素时间锁定：敏感操作实施24-48小时延迟硬件密钥强制验证：关键更改必须通过硬件密钥确认异常检测：监控异常的地理位置或设备变更

3141 0

安卓应用安全指南 5.7 使用指纹认证功能

要点：声明使用USE_FINGERPRINT权限从AndroidKeyStore供应器获取实例通知用户需要指纹注册才能创建密钥创建（注册）密钥时，请使用没有漏洞的加密算法（符合标准）创建（注册...5.7.2.3 通知用户需要注册指纹才能创建密钥（推荐）为了使用指纹认证创建密钥，有必要在终端上注册用户的指纹。...设计应用来引导用户进入设置菜单来鼓励指纹注册时，开发人员必须记住，指纹代表重要的个人数据，并且希望向用户解释为什么应用使用指纹信息是必要的或便利的。通知用户需要注册指纹 if (!...用户指纹必须在终端内注册。（特定于应用的）密钥必须关联注册的指纹。注册用户指纹用户指纹信息只能通过设置菜单中的“安全”选项进行注册；一般应用不能执行指纹注册过程。...因此，如果应用尝试使用指纹认证功能时未注册指纹，则应用必须引导用户进入设置菜单并鼓励用户注册指纹。此时，应用需要向用户提供一些解释，说明为什么使用指纹信息是必要和方便的。

1.3K1 0

AI驱动钓鱼攻击下的身份安全重构：从被动防御到零信任架构

服务器随后使用预先存储的公钥验证签名的有效性。如果验证通过，则确认用户身份合法。由于私钥从未在网络上传输，且每次挑战都是随机的，攻击者即使截获了通信数据，也无法重放或推导出私钥。...此外，使用私钥进行签名前，通常需要用户通过生物识别（如指纹、面部识别）或设备PIN码进行本地授权。这意味着，即使设备丢失，攻击者在没有生物特征或PIN码的情况下也无法使用存储在内的通行密钥。...该示例演示了如何在浏览器端生成密钥对并处理挑战 - 响应过程。// 注册阶段：创建新的通行密钥async function registerPasskey(username) { // 1....它确保了无论用户身处何地，其身份验证都基于一个物理上可控、密码学上不可伪造的实体。5.3 迈向零信任身份架构未来的身份安全架构必然是零信任的。...依赖用户识别虚假邮件的幻想必须破灭，基于共享秘密的认证体系必须终结。本文通过分析指出，唯有从根本上重构身份验证的信任机制，才能应对这一挑战。

1891 0

「应用安全」OAuth和OpenID Connect的全面比较

在网站上识别人的最流行方式是请求该人提供一对ID和密码，但还有其他方式，如使用指纹或虹膜的生物识别身份验证，一次性密码，随机数字表等。无论如何，无论使用何种方式，身份验证都是识别身份的过程。...这是“OAuth身份验证”，并且由于“管理用户凭据的任务可以委托给外部服务”以及“新用户开始使用该服务的障碍因为用户而变得更低”等优点而迅速占据主导地位注册过程可以省略。...因此，当与对称签名或加密操作一起使用时，client_secret值必须包含足够的熵以生成加密强密钥。此外，client_secret值还必须至少包含所使用的特定算法的MAC密钥所需的最小八位字节数。...如果访问令牌是随机字符串，则每次都需要查询授权服务器以获取有关访问令牌的信息。相反，如果访问令牌本身包含信息，则无需查询授权服务器。...这使得自包含样式听起来更好，但是因为必须对授权服务器进行查询以检查访问令牌是否已被撤销，即使采用自包含样式，在任何情况下，网络通信也是如此。每次客户端应用程序呈现访问令牌时都需要。

3.6K6 0

告别“密码裸奔”！美国国会急令军方换上“防钓鱼金钥匙”，全球网络安全迎来硬核升级

正因如此，美国国会在这份报告中明确指出：基于密码的身份验证已无法满足现代安全需求，尤其是在国防部这样高价值目标集中的机构，必须优先部署“抗钓鱼身份认证技术”（Phishing-Resistant Authentication...芦笛解释：“它就像一枚‘活’的印章，只在你物理确认时才会盖下，而且每次盖的印都独一无二。”2. 生物识别+设备绑定使用手机或电脑的指纹、面容ID进行登录。...“你的脸不是密码，而是‘生物密钥’。”芦笛说，“黑客没法远程复制你的指纹。”3. FIDO2/WebAuthn 无密码认证一种开放标准，支持“无密码登录”。...用户只需使用安全密钥或生物识别完成注册，后续登录无需输入密码。由谷歌、微软、苹果等科技巨头共同推动，已在Gmail、Microsoft 365等平台广泛应用。“未来，我们可能真的不再需要记密码。”...芦笛总结，“只有两者结合，才能真正抵御钓鱼攻击。”结语：一场静悄悄的“认证革命”从输入密码到刷脸登录，从U盾到安全密钥，身份认证的演变，本质上是人类与黑客在“信任”问题上的长期博弈。

2801 0

SSH(sshd)终极安全加固指南

如果必须使用压缩功能，请使用延迟功能来确保在压缩开始前对用户进行身份验证。...禁用空密码确保任何SSH连接都需要一个非空的密码字符串（这并不会影响SSH密钥认证登录模式）。...用户身份验证后，SSH将使用该用户的权限创建另一个进程。...使用密钥进行身份验证该功能并不一定在所有系统上都可用，但是使用SSH密钥身份验证有很多优点。密钥验证比人类可以轻松记住的任何密码都要强大的多，同时还提供了无需密码的身份验证，使用更加便利。...ssh参数和本需求相关的部分就介绍到这里，在测试的时候还需要注意一点，每次ssh的配置变更，都需要重启ssh服务器才能生效的，重启上也可以使用sshd -T和sshd -t测试配置。

6.3K6 0

Ansible 客户端需求–设置Windows主机

指定较新的版本将导致脚本失败。注意在 username和 password参数都存储在注册表中的纯文本。确保脚本完成后运行清除命令，以确保主机上仍没有存储凭据。...WinRM侦听器 WinRM服务在一个或多个端口上侦听请求。这些端口中的每个端口都必须创建和配置一个侦听器。...注意创建HTTPS侦听器时，需要创建一个现有证书并将其存储在LocalMachine\My证书存储中。如果此存储中没有证书，则大多数命令将失败。...您可以使用纯文本密码或SSH公共密钥身份验证，可以将公共密钥添加到用户配置文件目录authorizedkey的.ssh文件夹中的文件中，并可以sshdconfig像在Unix / Linux主机上一样使用...当将SSH密钥身份验证与Ansible结合使用时，远程会话将无权访问用户的凭据，并且在尝试访问网络资源时将失败。这也称为双跳或凭据委派问题。

11.4K4 1

九、从华为HMS快速身份验证能力FIDO2看密码学知识

根据华为开发者文档介绍如下 FIDO2线上快速身份验证客户端：提供基于WebAuthn标准的FIDO2线上快速身份验证客户端实现，为应用及浏览器提供安卓Java API 支持使用USB...BioAuthn本地生物特征认证：将系统完整性检测结果作为使用本地生物特征认证的前置条件，保证生物特征认证更安全。基于密钥校验机制，保障认证结果安全可信。 ...用户登录和用户支付时，需要验证使用者是否是服务的合法用户，就需要FIDO2线上快速身份验证能力。这些能力最常见的就是指纹验证。...还有其他的蓝牙、NFC、USB验证，验证方式就是使用物理的安全密钥，这个可以在淘宝买到，比如Yubikey，是形状类似于U盾或者动态令牌的认证器。 ...我的通俗解释如下，以华为厂商为例： 1.付钱每次输入密码很麻烦，还容易被别人看到，现在我想输入指纹或者面容。

1.2K1 0

双因子认证是什么

如今，大多数常见应用，如网站和APP，在用户首次使用时通常都需要注册。一般会使用邮箱作为账号，用户再设置一个容易记住的密码。...用户不仅要输入密码供系统审核，还需要提供第二种认证方式，最常见的就是智能卡。这就像使用银行卡在ATM机上取款一样，需要插入卡片并输入密码，只有通过了这两重验证，才能成功取款。...多因子认证则是比双因子认证增加了更多的验证因素。认证因子的种类用户需要记忆的类型这指的是用户必须自行记忆的认证内容，例如：用户的账号及密码。...当然是指纹或面部识别这方面的验证才会让用户更加方便使用。...在大多数情况下，智能卡并不会单独取代密码认证机制，而是与用户记忆的密码结合使用，只有两者都正确，才能访问卡内数据。

1.4K1 0

2FA双重身份验证工具 - GitHub、google、微软、百度、腾讯等全面启用

2FA 的定义双因素身份验证 (2FA) 是一种身份和访问管理安全方法，需要通过两种形式的身份验证才能访问资源和数据。2FA 使企业能够监视和帮助保护其最易受攻击的信息和网络。什么是2FA？...传统的身份验证通常只涉及输入用户名和密码，但这种方法可能存在安全风险，因为密码可能被猜测、盗取或者破解。通过使用双因素身份验证，用户需要提供两个不同类型的身份验证因素才能成功登录。...当用户进行登录时，除了输入用户名和密码之外，还需要提供另外一个因素进行验证。这使得攻击者更难以入侵用户账户，因为他们需要获取并使用第二个因素才能成功登录。...现在，越来越多的在线服务和应用程序支持 2FA，推荐用户启用 2FA 以增强账户安全性现在目前github、微软、谷歌用的是手机验证应用程序生成的一次性密码（OTP），断网情况下依然能使用，每次打开生成一个...2FA在线生成器双重验证码/二步验证码获取工具（相当于谷歌身份验证器的网页版），使用时任选1种方式输入密钥获取即可。无须安装任何应用，方便快捷。

3.9K1 0

“PoisonSeed”钓鱼套件横空出世：一键生成、MFA绕过，网络犯罪也“平民化”？

但“PoisonSeed”的出现彻底改变了这一局面。它提供了一个类似SaaS产品的控制面板，用户注册后即可“一键生成”针对Gmail、微软365、银行App、主流SaaS平台等的仿冒登录页面。...每次生成的钓鱼页面在HTML结构、CSS样式甚至域名路径上都会略有变化，避免被安全系统通过静态特征识别并列入黑名单。这种“打一枪换一个地方”的策略，极大提升了攻击的持久性和成功率。...芦笛表示，“以前只有专业黑客团伙才能做的事，现在可能一个高中生花几百块钱就能尝试。我们预计，未来针对普通用户和中小企业的钓鱼事件将显著增加。”...攻击者的代理服务器往往使用统一的加密套件或请求模式，与真实用户存在差异，可作为检测依据。...“我们不能指望用户永远不犯错。”芦笛总结道，“未来的安全架构，必须默认‘边界已被突破’，转而依赖零信任、持续验证和自动化响应。

2571 0

PoisonSeed钓鱼套件：多因素认证绕过机制与防御对策研究

本文结合实际代码片段与网络行为分析，系统阐述该套件如何实现MFA绕过，并提出五项针对性防御策略：强化设备绑定与连续身份验证、检测异常TLS指纹、部署WebAuthn安全密钥、实施登录后高风险操作二次核验...传统APT组织可能需要数周时间来定制钓鱼页面和C2基础设施，而使用PoisonSeed，这一过程被压缩至几分钟。这直接导致了针对企业高管、财务人员和安全研究员的账户接管事件数量激增。...4 防御对策体系构建面对PoisonSeed这类高级PhaaS套件，单一的安全措施已显不足。必须构建一个涵盖身份验证、网络流量、终端行为和威胁情报的纵深防御体系。...4.1 强化身份验证机制推广FIDO2/WebAuthn安全密钥：基于公钥密码学的安全密钥（如YubiKey）是目前唯一能从根本上抵御AitM攻击的MFA方案。...实施连续身份验证（CIBA）与风险自适应认证：超越“一次登录”的思维，引入基于上下文的风险引擎。系统应持续评估用户会话的风险，如登录地点突变、设备指纹不匹配、异常操作速度等。

3331 0

问答爆料，Dfinity身份团队AMA 回顾：时间站在我们这边

我们很多人都不想把指纹或生物特征记录在数据库里，我们怎样才能获得互联网身份？...bjoern_DFN 回答：图中所示的会话密钥对不是在容器中生成的，而是在用户的浏览器中生成的。全流程如下：首先，浏览器创建一个新的（数字签名）密钥对。...这意味着容器不需要保留有关会话密钥的任何信息，正如您所指出的，过期时间是当前创建会话密钥时指定的固定时间。我们可能会在将来添加一个显式的吊销机制（这可能是您所指的），但这不在我们的短期计划中。...使用 II 的身份验证允许你使用基于 WebAuthn 标准的设备/身份验证机制。支持的设备包括硬件安全密钥、手机上的人脸识别码或指纹读取器等。...如果一些公司决心让小白们更简单的使用身份验证服务，他们可以代表小白们管理一个互联网身份，或者创建自己的身份验证服务。互联网身份让你可以选择控制自己的身份，但任何公司都可以决定什么最适合他们的用户。

9533 0

深入理解FIDO协议及其关键组成部分

FIDO协议简介 FIDO（Fast Identity Online）协议是由FIDO联盟开发的，目的是为了创建一个更安全、更易于使用的在线身份验证标准。...常见的FIDO认证器类型包括： USB安全密钥 NFC（近场通信）设备指纹识别器面部识别系统 FIDO密钥 FIDO密钥是FIDO认证器生成和管理的密钥对，包括一个公钥和一个私钥。...FIDO协议的工作流程注册：用户首次注册时，FIDO认证器会生成一个新的FIDO密钥对。公钥被发送到在线服务，而私钥安全地存储在本地设备上。...身份验证：当用户尝试登录时，FIDO认证器会使用私钥生成一个签名，并发送给在线服务。在线服务会使用存储的公钥来验证签名，从而验证用户的身份。...通过消除传统密码的需要，FIDO协议不仅减少了用户的负担，而且大大降低了网络服务受到攻击的风险。随着越来越多的设备和服务开始支持FIDO协议，我们有理由相信，FIDO将成为未来在线身份验证的标准。

1.6K2 0

深入理解FIDO协议及其关键组成部分

1.7K1 0

谷歌正式推出 “密钥登录”，逐步取代传统密码登录

用户可以在 Android 手机上创建一个基于公钥加密的密钥凭据，创建密钥的时候需要对本人进行生物特征识别，比如 “指纹” 或者 “面部识别” 等。...不过，现在这个密钥登录功能还不完善，只是一个重要的里程碑，实现了两个关键功能：用户可以在 Android 设备上创建和使用密钥，密钥通过 Google 密码管理器进行同步。...开发人员可以通过 WebAuthn API、Android 和其他支持的平台，使用 Chrome 在网站上为用户构建密钥支持。...如果要在网站上添加密钥登录功能，开发者需要注册 Google Play Services 测试版，并使用 Chrome Canary 版本。...密钥登录功能的下一个里程碑是原生的 Android 应用 API，原生 API 将为应用程序提供多种登录方式，用户可以选择密钥登录，或是使用已保存的密码登录。

1.1K1 0

点击加载更多

移动端系统生物认证技术详解

在 Android 中使用生物识别

Key attestation-Google的密钥认证

暴力破解安卓指纹，无视锁定机制，最快40分钟：腾讯、浙大新研究

005_多因素认证在Web3的应用：从传统2FA到去中心化身份的安全演进

安卓应用安全指南 5.7 使用指纹认证功能

AI驱动钓鱼攻击下的身份安全重构：从被动防御到零信任架构

「应用安全」OAuth和OpenID Connect的全面比较

告别“密码裸奔”！美国国会急令军方换上“防钓鱼金钥匙”，全球网络安全迎来硬核升级

SSH(sshd)终极安全加固指南

Ansible 客户端需求–设置Windows主机

九、从华为HMS快速身份验证能力FIDO2看密码学知识

双因子认证是什么

2FA双重身份验证工具 - GitHub、google、微软、百度、腾讯等全面启用

“PoisonSeed”钓鱼套件横空出世：一键生成、MFA绕过，网络犯罪也“平民化”？

PoisonSeed钓鱼套件：多因素认证绕过机制与防御对策研究

问答爆料，Dfinity身份团队AMA 回顾：时间站在我们这边

深入理解FIDO协议及其关键组成部分

深入理解FIDO协议及其关键组成部分

谷歌正式推出 “密钥登录”，逐步取代传统密码登录

相关资讯

热门标签

活动推荐

运营活动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐