文章來(lái)自于公眾號(hào)：數(shù)字化深度思考者
本文從lT安全角度，先不談具體軟件功能，以最簡(jiǎn)單的用戶(hù)登錄驗(yàn)證為例，看看軟件是怎么逐漸玩復(fù)雜的！
一、最初的是簡(jiǎn)單的
最早的用戶(hù)登錄是這樣子的，如下圖，只要輸入用戶(hù)和密碼即可登錄系統(tǒng)！
人之初性本善，但是總有一些害群之馬喜歡鉆空找漏，很快有人馬看出漏洞，那就是利用SQL注入欺騙系統(tǒng)，關(guān)于sql injection不細(xì)談，參考鏈接。SQL注入攻擊（Sql injection）是最初級(jí)最基本的防御。二、暴力破解的應(yīng)對(duì)→驗(yàn)證碼和鎖用戶(hù)Sql注入漏洞填補(bǔ)上臺(tái)，有些壞家伙又開(kāi)始暴力破解，不斷try 用戶(hù)和密碼，通常用戶(hù)名稱(chēng)是可能容易獲得，所以只要重復(fù)試密碼即可，最簡(jiǎn)單就是利用黑客程序不斷模擬，為應(yīng)對(duì)暴力破解，于是程序員增加邏輯：3次登錄失敗后弾出必輸驗(yàn)證碼窗口，5次登錄鎖定用戶(hù)，考慮永久鎖定用戶(hù)耽擱事情，有的系統(tǒng)增加鎖定幾分鐘又自動(dòng)解鎖，而登錄失敗幾次永久鎖定，用戶(hù)的額外工作就來(lái)了，申請(qǐng)解鎖，lT運(yùn)維也來(lái)了，幫助解鎖！下圖是多次登錄失敗后要求輸入驗(yàn)證碼（字母+數(shù)字）。三、從靜態(tài)驗(yàn)證到動(dòng)態(tài)驗(yàn)證你以為驗(yàn)證碼就結(jié)束了嗎？驗(yàn)證碼經(jīng)歷了短信驗(yàn)證碼、純數(shù)字驗(yàn)證，數(shù)字+字母驗(yàn)證、語(yǔ)音驗(yàn)證碼、圖形驗(yàn)證碼、奇葩問(wèn)題驗(yàn)證碼。
起初，驗(yàn)證采用數(shù)字字母驗(yàn)證，但有人很快找到漏洞，于是改用圖片，又被發(fā)現(xiàn)漏洞，比如早期登錄手機(jī)銀行，刷臉論證即可，但是有大聰明發(fā)現(xiàn)刷臉可以用照片欺騙過(guò)去，于是靜態(tài)驗(yàn)證轉(zhuǎn)為動(dòng)態(tài)驗(yàn)證，要求你眨巴眼睛晃動(dòng)腦袋證明你是活人！社會(huì)本單純，復(fù)雜的是人，一個(gè)本來(lái)很簡(jiǎn)單的問(wèn)題開(kāi)始復(fù)雜化！你以為動(dòng)態(tài)驗(yàn)證就完了，隨著Al技術(shù)的發(fā)展，如今日爆火的Deep seek，要知去年今日一度爆火的是Deep fake，磚家發(fā)現(xiàn)動(dòng)態(tài)驗(yàn)證也可能用Al破解，于是僅僅一個(gè)登錄，你得證明你不是Al！
比如上圖大家都遇到過(guò)，就是動(dòng)態(tài)滑動(dòng)驗(yàn)證圖片，你按要求滑過(guò)，系統(tǒng)提示你打敗96%的用戶(hù)，可能100%正確你就無(wú)法通過(guò)驗(yàn)證！貼一段研究機(jī)構(gòu)的故事：
一家專(zhuān)注做賬戶(hù)安全和欺詐產(chǎn)品通過(guò)記錄鼠標(biāo)界面位置，展示了人機(jī)兩種截然不同的移動(dòng)軌跡：包括瞬間跳躍、直線(xiàn)移動(dòng)和貝塞爾曲線(xiàn)：
可以看出，模擬生成的自動(dòng)化Al程序通常會(huì)通過(guò)直接指定坐標(biāo)的方式移動(dòng)鼠標(biāo)，導(dǎo)致不自然的軌跡，如瞬間跳躍或直線(xiàn)移動(dòng)（1A）。
通過(guò)移動(dòng)速度和加速度的分析比對(duì)，還可以發(fā)現(xiàn)機(jī)器人軌跡中的加速度通常接近于零，太過(guò)平滑，而人類(lèi)不可能做到，這是識(shí)別人機(jī)的關(guān)鍵。因?yàn)槿祟?lèi)日常點(diǎn)擊鼠標(biāo)時(shí)，隨著手腕手指的發(fā)力，鼠標(biāo)的移動(dòng)軌跡會(huì)產(chǎn)生加速度變化。而自動(dòng)化程序的鼠標(biāo)移動(dòng)通常是以恒定速度沿直線(xiàn)完成，加速度接近零，人類(lèi)遠(yuǎn)不如Al完美！
玩著玩著，一個(gè)簡(jiǎn)單的登錄步驟就越搞越復(fù)雜了！
隨著人工智能技術(shù)的迅猛發(fā)展，機(jī)器人不僅能執(zhí)行點(diǎn)擊任務(wù)，還能逐漸通過(guò)復(fù)雜的算法模仿人類(lèi)行為，智能識(shí)別用戶(hù)操作，防御與攻擊相互推動(dòng)，像一場(chǎng)無(wú)休止的貓鼠游戲。每一步都要求防御系統(tǒng)不斷進(jìn)化，以應(yīng)對(duì)愈加精巧的對(duì)抗性AI。另外，加強(qiáng)網(wǎng)絡(luò)安全等級(jí)保護(hù)和啟用法律機(jī)制。等級(jí)保護(hù)2.0和網(wǎng)絡(luò)安全法
當(dāng)然，由于2B企業(yè)大部分軟件核心功能在企業(yè)內(nèi)部，企業(yè)本身有三防（防火墻、防病毒、防入侵）體系，一般只允許企業(yè)內(nèi)部員工或授權(quán)的第三方使用，同2C應(yīng)用直接暴露在公眾面前不同（2C本來(lái)就是面向全社會(huì)消費(fèi)者），因此，2B可以在安全和便利適當(dāng)作出平衡，畢竟，安全也是需要成本代價(jià)的??！????
本文從登錄這個(gè)單一動(dòng)作談從簡(jiǎn)單到復(fù)雜，登錄畢竟代表是最關(guān)鍵的第一道安全防護(hù)；大道至簡(jiǎn)，如何從復(fù)雜回歸簡(jiǎn)單？例如利用Al分析，到期前3天智能提醒用戶(hù)修改密碼，用戶(hù)短信驗(yàn)證智能式自助修改密碼等，在保障安全前提下，隨地隨意辦公！
