什么是身份认证

登录是证明“我就是我”的关口

前两课讲的是怎样安全地保存密码。这一课来看密码派上用场的地方：登录。要守门，在拦人之前先得问一个问题：现在站在门口的是谁？
是主人就放进来，是陌生人就得拦下。所以要设一道关口，对每个来的人都问一句“你真是你吗”。这道关口就是登录，在这里证明“我就是我”，就是认证。

点门口的人，确认他是谁。只有通过认证的人才能进去。

只有确认过的人进去了。可是，拿什么来证明你是谁呢？光报名字谁都能冒充，所以光有名字不够，得拿出只有本人才拿得出的证据。
这类证据大致分三种，一种一种来看。

你知道的、你拥有的、你自身的特征

证明“我就是我”的证据有三类。第一是你知道的东西，比如密码、PIN 码，只存在脑子里的信息。第二是你拥有的东西，比如手机、安全密钥、门禁卡，拿在手里的物件。第三是你自身的特征，比如指纹、面孔，长在身上的东西。
三类的弱点各不相同：知道的东西会忘，也会泄露给别人；拥有的东西会丢，也会被偷；身体特征总带在身上，可一旦被复制，就没法像密码那样换一个新的。

把三个要素一个个点开。每个要素的长处和短处都会显示出来。

三个要素各有各的弱点，所以只信一个很危险。只用一个密码，一旦泄露，别人就能原原本本地冒充你。
要守得更牢，办法很简单：同时要求两个以上不同种类的要素。

层层叠加更安全

门上只装一把锁，谁拿到钥匙谁就能开。装两把锁，得用两把不同的钥匙都打开才行，丢了一把，另一把还能挡住。认证也一样。
既要输对密码(你知道的)，又要用自己的手机(你拥有的)确认，那么密码泄露了，没有手机的人也进不来。像这样叠加不同种类的要素来验证，叫多因素认证。要求输两个密码，只是叠了同一种要素，不算多因素认证。

点一下，比较只用一个要素和叠加两个要素时的安全度。

两层比一层难攻破得多。攻击者既要知道密码，又要拿到你的手机，两样同时到手的情况少得多。所以越是银行这样重要的地方，越要求多层验证。
不过，短信收到的验证码有可能被劫持手机号的手法攻破，用验证器应用或安全密钥更牢靠。还有，把人放进来以后，事情还没完：进来了，不等于什么都能做。

“是谁”和“能做什么”是两回事

假设你进了公司大楼。用门禁卡证明了自己是员工，这是认证。可员工不见得每个房间都能进，金库只有经过特别许可的人才能进。
像这样决定确认过的人能做什么，叫授权。认证问的是你是谁，授权接着决定你可以做什么。权限需要时随时可以收回。

先用认证确认员工身份，再点房间，打开或关闭进入权限。也可以一下子收回全部权限。

确认是谁，和决定能做什么，是分开运作的。同一个人，可以多给权限，也可以收回。操作系统会为每个用户分别规定能做的事，网站也会把普通会员和管理员能用的功能分开。
把两者分开，就能分别管理“谁进来了”和“这个人能碰什么”。就算某个账号的认证被攻破，只要它的权限小，损失也就小。

小结

归纳起来是这样：认证就是证明“我就是我”，证明的材料有三种：你知道的、你拥有的、你自身的特征。只用一种太弱，叠加不同种类的要素更安全，这就是多因素认证。
另外，认证不同于授权：认证问你是谁，授权决定你能做什么。

依次点要点回顾一下。(证明我就是我 → 知道的、拥有的、自身的特征 → 多层叠加的多因素认证 → 认证不同于授权)

现在你把门口保安做的事看透了：分辨来人是谁，层层把关确认，还另外规定进来后能碰什么。
不过，过了这道门之后来回收发的消息，仍然要走陌生的路。怎样让中途谁也读不懂这些消息，下一课讲加密。