從微軟到華為，國際安全專家李雨航的身份識別大視野

IT創事記 / 祁萌

比爾·蓋茨給李雨航下達的KPI，是黑客從互聯網侵入微軟源代碼的成功率等於零。

那一年，仍是微軟視窗業務總管的李雨航入選了Shared Source項目，成為技術團隊的負責人。

這個著名的源代碼共享項目，由比爾·蓋茨親自領導。微軟希望通過該項目，將Windows源代碼從內網Intranet遷移至互聯網Internet，以應對開源社區顛覆性的開發方式和影響。

對於李雨航來說，這個看似平常的崗位調動，卻成為了他未來二十年網絡安全研究生涯的開端。主持項目那短短的一段時光，不僅改變了他的興趣，還改變了他之後的職業取向。

Shared Source項目最初的1.0架構，依托於微軟IT部門外網（Extranet）進行安全防禦。對此，李雨航很有幾分自信——這裏是微軟，世界頂級軟件公司的安防，幾近於固若金湯。

在李雨航的邀請下，一家滲透測試公司推薦的全球頂級白帽黑客對此展開了攻擊。

“他是一位華人。”李雨航說。攻擊前夜，他“麵試”了他。最初，這位全球頂級白帽似乎並沒有引起李雨航特別的重視：看起來，他和一位普通的工程師沒有什麼區別。

“他不太可能攻擊成功。”李雨航說。

十餘年後的今天，當李雨航回憶起這輪攻防細節時，記憶猶新。

那是一個讓微軟項目團隊見證奇跡的時刻：白帽並沒有直接攻擊源代碼服務器，而是繞道通過應用漏洞，攻占了外網的一個普通網站；接著他通過這個跳板，攻陷了後方的外網AD域控製器並獲得域管理員權限；最後，他從後方攻擊屬於同一AD域的Member源代碼服務器，並最終偷到了“源代碼”——一份李雨航精心準備，以備不測的假代碼。

麵對結局，李雨航形容當時的自己很“吃驚”，稍作停頓後，他又換了一個詞：“震驚”。

攻擊的成功，讓他開始反思信息保護的流程——路徑越長，可能出現的風險越大，必須尋找最接近數據源的保護。“防火牆並不高效，數字資產的保護措施要從網絡、從係統逐漸向數據本身靠攏。”李雨航認為，分布式計算勃興之後，“安全的重心是基於網絡邊界的縱深防守，和安全開發的生命周期管理；而隨著互聯網、全球化和外部合作的加速，人與人、人與數據、數據與數據的交互，促使安全防守重心開始向係統和數據轉移，最終形成了檢測與防護並重的企業安全思想”。

多年後，當李雨航主持華為“芯-端-雲”安全技術時，這一安全理念，促使他全力推動安全芯片、數據保護、和身份認證技術的發展。

華為作為國內手機廠商巨頭，也參與了互聯網金融身份認證聯盟（IFAA）的創建；並擔任了本地免密工作組的組長。

在華為的積極推動下，IFAA預告即將發布本地免密2.1標準，而安全芯片技術正是該標準的核心關鍵之一。

該標準將用戶的生物特征置於TEE（可信執行環境）或SE（安全芯片）的安全環境下，從存儲到傳輸，再到對比，都極大地降低了被黑客篡改的風險。

白帽黑客的攻防測試後，李雨航設計出了Shared Source 2.0架構。2.0建設於專有的安全網絡環境，並在互聯網上部署了取代傳統密碼認證的多因認證係統。這是微軟研發的第一套PKI公鑰基礎設施和智能卡(Smartcard)方案。

這一部署讓微軟最終比美國政府實施管理員雙因子身份認證還早了一步。這也是互聯網曆史上，用戶第一次通過智能卡進行Web網站登錄和符號調試(Debugging with Symbols)——比爾·蓋茨的智能卡，就是李雨航親自簽發的。

這項技術在全球首次迭代了身份識別技術的安全防禦思路，至今已抵禦了黑客們數百億次的手工和自動化攻擊。

“要解決身份識別的問題，多因認證是大趨勢；而生物特征是“多因”裏最好用的一種因子。”李雨航強調說，“當然，除了生物特征這個所是因子，還要有一個其它的因子， 不論是所知、所有、所為還是一次性時間戳。”這一判斷幾乎已成行業共識：沒有一種核驗身份方式是萬能的，結合場景的多因子識別，有利於推動體驗與安全的平衡。

在多因子識別中，李雨航最看好的是生物特征因子。

“人對人的識別是以判斷人臉為主的，人臉識別速度快與無接觸是巨大優勢。由此，其應用場景也將越來越多。不僅線上如屏幕解鎖、應用登錄、在線支付，線下如登飛機、過海關、入會場也很適用。”李雨航說。

在目前人們最熟悉的身份識別場景中——支付寶人臉識別已經具備了金融級的識別準確度和安全防控能力，能夠防範絕大多數已知攻擊，並具備了動態的智能攻防能力。結合人臉和眼紋等輔助因子，其識別準確率達到了99.99%以上，全麵超越了肉眼識別。

這裏的一個技術性背景是，同為IFAA聯盟創始成員的螞蟻金服於2017 年 2月 21 日所推出的“刷臉”支付被評為《麻省理工科技評論》（MIT Technology Review）2017 年全球十大突破性技術。利用金融級的信息安全防控體係，螞蟻金服自主研發了安全不可逆圖像脫敏技術，廣受業界關注。

“當然，指紋識別也會繼續保持其主流技術的地位。”他說，相比具有公開性和僅有一張的人臉，指紋還具有半私密性和十個選擇的特性。

在過去，由華為參與發起的IFAA聯盟，曾通過推出金融級的“身份識別認證解決方案”，在保障全鏈路安全的基礎上，將指紋的接入時間由2個月下降為2周，並且大幅降低了廠商適配成本，在助力行業快速升級這一維度上，功不可沒。

這家擁有會員單位超過160家、會員角色遍布全產業鏈的技術標準組織，近期基於IoT等新應用場景的多因子識別技術研究，也引發了產業界各方的關注。1+1大於2的技術哲學，正在讓身份識別這個看似年輕的互聯網安全命題愈發成熟可信。

2004年，已經全身心投入安全行業的李雨航，轉入微軟信息安全部門，為微軟製定安全戰略和身份戰略，以接替好友霍華德·施密特——他因受聘為美國前總統布什的網絡安全顧問而離職。

“身份認證是安全體係中最為核心的部分。”李雨航曾多次與施密特就更高層麵的安全保障問題進行探討。後來，施密特已成為新一任美國總統奧巴馬的“網絡沙皇” （2009年，奧巴馬宣布在白宮設立網絡安全辦公室，並任命一名網絡安全協調主管，負責製定國家網絡安全戰略。由於手握重權和雄厚資源，任職主管後被稱為“網絡沙皇”），而他們的討論與共識，最終促成奧巴馬簽發了美國的《網絡空間可信身份國家戰略》。

戰略中指出，網絡技術的各個組成部分並不能完全均衡的發展，個人隱私和信息安全麵臨著著更大的風險。因此，在個人隱私與信息安全之間取得平衡，成為美國整個網絡安全戰略中的一大要務。

那時，李雨航肯定不會想到，這些自己在政企安全領域的思考和建議，最終會怎樣地靠近消費領域，同時又會覆蓋怎樣寬廣的產業鏈——這裏一個巨大變化在於，去中心化的時代中，產業協同之於數據安全的重要性，已經發生了數量級的改變。

“身份認證正在進入線上與線下融合，物理與虛擬融合，可信與匿名融合的新時代。生物識別產業有極大的發展機會，產業鏈協作的當午之急是要建立相關團體與行業標準。使得各種生物特征的采集、傳輸、存儲、模板格式等能夠打通多硬件與軟件壁壘，最終讓用戶能方便地使用和互通。同時，安全問題還需要合規標準，使用戶能夠輕鬆判別在安全與隱私保護領域表現出色產品。”今天，當李雨航的業務焦點仍是安全，而他的業務視野，早已不再是一個項目或一家公司的數據安全。

互聯網安全早已經告別了單打獨鬥的年代。國內多家產業聯盟組織已應運而生。在過去的一段時間裏，華為積極參與聯盟運營，為推進行業標準、降低行業適配門檻做出了相當的貢獻。

作為見證安全行業發展的見證者，李雨航感慨， “Identity 3.0即將來臨，這個時代的特征是實體身份與虛擬身份融合，線上認證與線下認證融合，可信來源與私密使用的融合；種種特征將讓這個時代麵對更大的挑戰，也將更加需要國家行管部門、身份簽發部門與產業界的多方協作。”

顯然，未來身份識別技術的發展，不僅需要像華為和螞蟻金服這樣行業巨擘，還需要IFAA聯盟這類的技術標準組織，以及所有為之付出努力的安全行業參與者。