華為安全科學家李雨航：最6的生物識別技術是什麼樣？

我是 @史中，我的日常生活是開撩五湖四海的科技大牛，我會嘗試各種姿勢，把他們的無邊腦洞和溫情故事講給你聽。如果你特別想聽到誰的故事，不妨加微信（微信號：shizhongst）告訴我，反正我也不一定撩得到。

-------正文的分割線-------

李雨航：最6的生物識別技術是什麼樣？

文 | 史中@淺黑科技

這次我來找一位「老炮兒」來回答生物識別是什麼：華為終端公司首席安全科學家李雨航。

說他是「老炮兒」，有兩個原因：

1、過去20年，他在安全戰略方面的奇思妙想影響了眾多江湖大咖。

1998年，他加入了如日中天的美國微軟。最初是憑著興趣「玩票」一些安全技術，沒想到天賦異稟，最終被比爾·蓋茨「欽點」改造了整個微軟的安全架構。

隨著對安全的理解越來越深刻，他的戰略思考還影響了美國布希和奧巴馬兩任總統的政策。

2、他認定的事，就一定要做到極致。這件事就是「身份認證」。十幾年來，他一直在嘗試用更好的「身份認證」技術來保護數據的終極安全。

李雨航在業內備受尊重，各種頭銜多到無法一一羅列。2016年，他回國加入華為，目前主要負責帶領消費者終端設備（包括你手裡的華為手機）的安全研究團隊。簡單來說，如果你有一部華為手機，從你用指紋打開屏幕那一刻起，這位大叔就站在身後慈祥地守護你。

為了簡明有趣，我將分為兩個部分講述他的「藝術人生」：

1、通過和他有關的三個人，讓你重新認識「身份認證」這種技術的有趣之處。

2、通過和他相關的三件事，讓你了解為什麼「生物識別」是身份認證皇冠上的明珠。在李雨航眼裡，什麼樣的生物識別技術才是最6的。

希望對你有啟發。

Lets ROCK

第一個人：無名黑客

2000年，美國微軟辦公室，一個年輕的華人小伙坐在時任微軟視窗主管李雨航對面。

條紋襯衫，一副眼鏡，看上去和微軟那些書獃子工程師沒什麼兩樣。這個人是李雨航約來面談的，他的真實身份是黑客。

那是李雨航第一次看到活生生的黑客。

李雨航向前探身，壓低聲音，問黑客：「你能不能幫我盜取 Windows 的源代碼？」

納尼？李雨航不是微軟的人嗎？他為神馬要「監守自盜」 Windows 的源代碼？

原來，李雨航剛剛接到一個神秘任務，這個任務的名字叫做「微軟源代碼共享計劃」。簡單來說，這個計劃就是把 Windows 源代碼開放給指定的政府、高校和企業研究者們，讓這些大佬多多吐槽，改進 Windows 的各項性能。

既然要共享給很多人，就難免要把 Windows 源代碼放在網路上，但注意啦，要求是只有特定的人才能訪問，普通的阿貓阿狗是沒有許可權查看的。

李雨航做了多年的架構設計，這對他來說簡直小菜一碟。他自信滿懷地布置團隊做出一套身份驗證系統。簡單說來，就是一套經典的「用戶名+密碼」登錄系統。

不過，就在這套系統上線之前，他隱約覺得有點不安。畢竟是 Windows 的源代碼，這可是微軟的身家性命，萬一被黑客偷去，自己豈不成了千古罪人？

於是他長了一個心眼兒，玩了一手膩害的「狸貓換太子」——先把一套假的 Windows 源代碼放在網路中，然後找來一個黑客試著盜取這份源代碼。

於是，就有了開頭他和黑客會面的那一幕。

接下來發生的事情，讓李雨航驚掉了下巴。沒用幾天，那個貌不驚人的小夥子就給他發來一封郵件，郵件里正是他以為高枕無憂的「源代碼」。。。

「我本來覺得他肯定攻不破我的銅牆鐵壁，沒想到黑客這麼厲害！幸虧我放了假的源代碼。」回憶起當年第一次領略黑客的風騷走位，李雨航還是讚嘆不已。

其實，對方根本沒有採用李雨航預期的「正面進攻」，而是攻擊了微軟旗下一個普通網站，進而一步步使用跳板，從背後迂迴到了目標伺服器，利用竊取到的密碼，偽造身份輕鬆登錄，拿到源代碼。行雲流水，一氣呵成，留下李大叔在風中凌亂。

這讓18年前的李雨航意識到三件事：

1、說到底，數據才是企業的命根子，得拚命保護好。

2、在數據保護工作中，如果「身份認證」做不好，其他的防護都無從談起；

3、僅僅用傳統的密碼做身份認證，恐怕擋不住未來黑客洶湧的進攻。

於是，李雨航趕快調整了安全架構，不僅把存儲源代碼的伺服器和其他伺服器做了隔離，還對伺服器的登錄方式採取了「多因子認證」。

也正是從這件事開始，李雨航對「身份認證」這種技術執著至今。

第二個人：比爾·蓋茨

這裡解釋一下，如果用戶要接觸某個數據，只驗證一個因子的驗證方法就是「單因子認證」（相對較弱），驗證兩個及以上的方法就是「多因子認證」（相對較強）。

李雨航的「多因子認證」系統，是怎樣工作的呢？

每個有權查看 Windows 源代碼的大牛，都拿到一張「智能卡」。登錄 Windows 源代碼伺服器的時候，需要做兩個動作：1、把智能卡連接電腦；2、輸入密碼。

雖然現在看來，這種利用硬體實現的「多因子認證」已經很普遍（工作原理和我們平時用到的銀行U盾相同）。但是在2000年的時候，就連全球最先進的互聯網公司都還沒使用這種身份認證方式。

實際上，微軟是全球第一個用硬體做內部身份管理的公司。這也要歸功於微軟老闆，大名鼎鼎的比爾·蓋茨大力推動。

事情是這樣的。李雨航本來只是利用「多因子認證」技術做了「源代碼共享系統」，但是由於這個項目非常核心，所以比爾·蓋茨親自體驗了一下。蓋茨一用，立刻變成了星星眼，可以說根本回不去了。他告訴李雨航，用更酷的身份驗證方式取代密碼，正是他的夢想。那之後，蓋茨馬上讓李雨航帶著團隊，把微軟所有內部系統都換成多因子身份驗證方式。

於是，李雨航就這樣從「視窗業務總管」，直接轉崗成為了「安全專家」。這才有了之後的故事。

第三個人：霍華德·施密特

這次身份轉變，讓李雨航感覺簡直是如魚得水。他之前雖然領導架構方面的團隊， 但卻一直喜歡研究各種炫酷的攻防技術。成為微軟安全專家之後，他終於可以把所有的時間都用在安全研究上來。

於是，李雨航這個中國人帶著微軟的一幫美國兄弟，組建了一個名叫「阿基米德」的團隊，專門研究網路安全架構的下一步棋該怎麼走。

他的思考大概可以歸為如下三句話：

1、網路安全的本質是防禦，防禦措施越靠近被保護的目標才越有效。

2、過去網路安全靠邊界隔離，這種粗糙的方案經常引發問題；現在網路安全的保護圈要縮小到操作系統；而未來這個保護圈要直接部署在數據周圍。

3、新的數據保護機制，需要一種更為高效的身份認證技術。

很幸運，李雨航在微軟遇到一位知音，他就是霍華德·施密特。

霍華德·施密特曾經是微軟安全首席戰略專家，2003年他被小布希聘請為總統安全顧問，離開微軟。而李雨航正好在一年後接替他的職位，之後又歷任微軟全球首席安全架構師，首席身份架構師，首席信息安全官。

兩個人前後腳在同一團隊工作，他們的私交很好。李雨航回憶，他和施密特經常在一起討論。兩人有一個共同的認識，那就是：網路安全是國家安全的一部分，而身份安全是網路安全的一部分。

這一對密友一個鎮守微軟，一個坐鎮白宮，最終推動了小布希政府在2004年簽發了《美國國家網路安全戰略》。而在2011年，奧巴馬發布《美國網路空間可信身份國家戰略》，同樣是這一對密友努力的結果。

至此，李雨航已經幫你構建了一整套「身份認證」的安全世界觀。但是他還並不滿足。如之前所言，他覺得總有一種技術可以大大改進身份認證的效率。

2008年，他等待的機會終於來了，這就是「生物識別」技術。接下來我來說說李雨航和生物識別技術的三個故事。

第一個故事：指紋識別、人臉識別開始逆襲

剛才說到，李雨航曾經擔任微軟的首席身份架構師，也就是在這段時間裡，他發現了一項新技術，就是我們現在耳熟能詳的「生物識別」技術。於是他馬不停蹄地對微軟的身份管理系統進行了升級，加入了當時剛剛出現的指紋識別技術。

在他眼中，身份認證的模型並不複雜，它只需要驗證你的四類因子：你所知、你所有、你所是、你所為。

例如，密碼就是典型的「你所知」；

而生物特徵，比如指紋就是「你所是」；

而之前微軟所用的智能卡就是「你所有」的例子。

他說。

而隨著技術的發展，李雨航發現：在諸多類型的「因子」中，生物特徵是最理想的一個因子。如果要做單因子認證，那麼最好是通過人臉或指紋這樣的生物特徵；如果要做多因子認證，那麼最好其中之一是生物特徵。

乍一聽起來，你可能會疑惑：李雨航這位大叔為什麼對於生物識別這麼情有獨鍾呢？其實，他得出這個結論，是有實踐依據的。

在2017年，李雨航把研究方向聚焦到華為消費級產品安全領域之後，他感受到了一個巨大的挑戰：

以前在做企業級安全產品的時候，對方會明確給你他們的需求，你要做的只是找到最好的方法把它實現；

現在到了消費級產品安全，用戶需要什麼樣的安全，他們自己也回答不上來。但用戶會用腳投票，如果你的產品在用戶體驗或安全性上任何一點做得不夠，他們直接會放棄使用。

當然，一個優秀的安全專家自然明白如下的道理：

產品的安全性和易用性好像蹺蹺板的兩端。安全性提高，就要增加驗證，一定會犧牲易用性。而增加易用性，則一定要簡化安全驗證流程。所以，安全考驗的絕不僅是專家的技術水平，更是他對用戶感受的直覺，在此之上對「安全/易用」蹺蹺板擺出一種精妙的平衡。

知道了這些，你就會明白為什麼李雨航對於生物識別有如此大的興趣。

因為生物識別是所有驗證方式里，給用戶體驗減分最少的一種，你既不需要背下一串16位大小寫交替數字字母混合的密碼，也不需要站立坐卧永遠帶著一個U盾。尤其對於終端消費者來說，自己身上的特徵不會變也不會丟，方便極了。這也是最近幾年全球手機廠商都在快馬加鞭上線指紋識別和面部解鎖功能的最根本原因。

但是，就在華為全線手機產品進軍指紋識別的時候，發生了一個不大不小的風波。這就是我要說的第二個故事。

第二個故事，華為指紋識別被鼻尖攻破

2016年10月，「極棒」黑客破解秀現場。

來自美國 Shellphish 團隊的一名黑客站在台上，對下面黑壓壓的人群宣布：我已經破解了華為 P9 Lite 的指紋識別，隨便一位觀眾的鼻尖都能解鎖這部手機。

一位觀眾上台，鼻尖一碰，手機應聲解鎖。

這件事瞬間在朋友圈爆炸，華為內部的微信群里，大家也激烈討論這件事。（這裡需要補充一句，極棒官方宣布，雖然黑客向公眾展示了破解指紋的效果，但是不會向大眾透露漏洞細節，漏洞細節只會被交給廠商，也就是華為。所以童鞋們不必擔心這個漏洞被不法分子利用。）

雖然從處理方式上來說，華為非常專業。他們第一時間和極棒溝通，拿到破解漏洞的詳情，然後快速推出補丁，沒有造成任何用戶的損失。但說到底，這對於華為手機的品牌形象有一些影響。

實際上，在這件事之後一年，李雨航才進入消費級產品安全團隊。但作為華為人，當這件事發生的時候他就思考了很多：

首先，安全從來不是絕對的，再安全的指紋系統也有被攻擊的可能。這理應是安全人的基本心裡建設。

其次，指紋識別系統是一個手機安全的最關鍵部位，即使對手是全球頂尖的黑客，也不應成為指紋系統失守的理由。（因為看到新聞的普通用戶根本不會聽你的解釋）也就是說，生物識別技術的安全性，確實還有提升的空間。

提升生物識別的安全性，李雨航是認真的。他是怎樣做的呢？

為了解釋清楚，這裡需要先科普一些技術。

一般的手機，裡面並不是只有一個系統，而是有三個。以華為手機為例：

最大的系統環境是 Android，這大家很熟悉了，是一個純軟體環境。所有普通的信息都在這層環境中交互。

另外還有一個小系統環境叫做 TEE（Trusted Execution Environment 可信執行環境），這是一個基於硬體的「半軟半硬」的執行環境。聽這個名字「可信執行環境」，就知道它用於處理一些敏感的信息。實際上華為目前全線產品的用戶指紋信息都在這個環境里存儲和調用。

更小的環境是安全晶元，這就是一個純硬體環境了。最敏感的信息，例如「根秘鑰」會在這個區域處理。

這三個系統環境的安全性是遞增的。也就是安全性： Android<TEE<安全晶元。

說回被黑客破解的華為 P9 Lite。李雨航說，黑客利用了8個連環漏洞，才最終從 TEE 里拿到了指紋，這一串動作的難度已經非常高了。如果能進一步把用戶的指紋放到純硬體的「安全晶元」里處理，黑客攻擊的難度就會指數級提高。

聽上去很簡單。你一定會問，為什麼華為沒有在一開始就把指紋識別系統設計到安全晶元里呢？我們接著來看下一個故事。

第三個故事，通過 IFFA 聯盟佈道晶元級安全

剛才說過，手機被黑客攻擊的可能性，廣泛存在於每一部手機上，無論是蘋果還是 Android。回答剛才提出的問題：之所以很多手機廠商沒有把指紋識別系統放到安全晶元里，是因為安全晶元的容量和運算速度實在讓人捉急。所以目前主流手機保存密碼的位置，都是權衡了安全性和易用性的 TEE。也可以說，目前的方案是一個權宜之計。

如果把中國各個手機廠商比作葫蘆兄弟的話，從出貨量和硬體實力上來看，華為無疑是「大娃」。而後面二娃三娃四娃五娃都在期待華為能夠在安全技術上引領創新。所以，把生物識別模塊放進安全晶元，並且同時保證用戶完美的體驗，就是李雨航和華為終端安全團隊的下一個研究目標。

這項技術正在變成現實，一個最明顯的例證就是：華為安全團隊正在 IFFA 聯盟里不斷為「純硬體安全環境」打 Call。

為了防止有的童鞋還不知道 IFAA 聯盟，這裡還是簡單介紹一下。在我之前的文章里曾經提到，IFAA 聯盟在大力推行一整套利用生物識別來進行的身份驗證體系。它的成員包括華為、三星、ARM、OPPO、vivo、螞蟻金服等等，在國內身份識別技術領域有著巨大的號召力，聯盟所認可的技術，也會成為大多數企業採納的標準。（有關 IFAA，還可以查看另一篇文章《上海 CA 王天華：如何把鑰匙裝進手機》）而華為作為 IFAA 的發起會員之一，也作為「本地免密」小組的組長，有很大的動力把最新的安全架構傳遞給行業。

生物識別技術雖然前景廣闊，但如果沒有標準，就會變得非常複雜。就像微軟早期，雖然使用了生物識別技術，但是設備需要自己研發，應用也需要自己編寫、調試，一整套方案都要靠自己，這樣的成本實在太大。

而 IFAA 聯盟的意義就在於，成熟的軟硬體企業可以一起探索出一套最成熟的方案，然後提供給市場。

李雨航希望 IFAA 聯盟提供的「基於安全晶元的生物識別」方案，能夠成為未來行業的通用方案。到那個時候，李雨航離他的理想技術世界就更近了一步。

但這還遠遠不是終點。

觀察最近幾年的行業可以發現，各大技術聯盟的技術從 1.0 到 2.0 到 3.0 不斷演進。從指紋、人臉到虹膜、靜脈，再到基於人工智慧的持續身份特徵識別。無論是支持更先進的驗證方法，或是支持更多的技術標準，它們的終極目標都是一致的，那就是用更簡單的方法保衛每個人的安全。

生物識別技術的演變永無止盡。重要的是永遠對新技術保持好奇心。

他說。

----END-----

再自我介紹一下吧。我叫史中，是一個傾心故事的科技記者。我的日常是和各路大神聊天。如果想和我做朋友，可以關注微博：史中方槍槍，或者加我微信：shizhongst。

不想走丟的話，你也可以關注我的自媒體公眾號「淺黑科技」。