密码身份验证的根本问题

在传统的密码认证中，客户端会将密码（或其哈希值）发送给服务器，服务器再将其与存储的值进行比较。这种模型虽然简单，却将巨大的风险集中在服务器上：一旦数据库遭到入侵，所有用户的凭据可能同时暴露。

当攻击者入侵服务器并窃取密码数据库后，就可以在没有速率限制的情况下，充分利用 GPU 的速度进行离线字典攻击。现代 GPU 每秒可以针对 bcrypt 或 SHA-256 哈希测试数十亿个密码猜测值，因此弱密码或常见密码很容易被恢复。

研究一再表明，大多数用户会在多个网站重复使用密码。因此，一台服务器遭到入侵，就可能泄露能够登录其他服务的凭据。凭据填充攻击会自动将泄露的用户名和密码组合发送到热门网站进行测试，使一次入侵演变成多起入侵。

服务器端密码强化措施（强哈希、加盐、速率限制）无法防护网络钓鱼。当用户在仿冒网站上输入密码时，攻击者会直接获取明文密码，无论合法服务器如何安全地存储密码。如今，网络钓鱼是最主要的凭据窃取途径。

暗网上公开提供着来自历史数据泄露事件的数十亿组用户名/密码对。攻击者使用自动化工具，以工业级规模将这些凭据批量尝试用于金融机构、电子商务网站和电子邮件服务，只要用户重复使用了此前泄露的密码，攻击就可能成功。

在传统密码认证中，服务器在登录过程中必然会获知用户的明文密码（即使只是短暂获知，并在哈希处理之前）。这意味着每个服务器运营方都必须被完全信任，确保其不会滥用、记录日志或意外泄露凭据，而在实际中几乎无法保证这一点。

理想的认证协议应允许用户证明自己知道密码，同时始终不向服务器泄露密码。服务器也应证明自己是合法服务器（双向认证），从而防止网络钓鱼。即使服务器数据库遭到入侵，攻击者也不应获得任何有用信息。

零知识证明为此提供了理论框架：证明者可以让验证者确信某个秘密有效，而不泄露秘密本身。SRP 和 OPAQUE 等密码认证协议应用了这些原理，在不直接传输密码或在服务器端存储密码的情况下实现认证。

即使服务器存储的数据全部遭到泄露，强大的密码认证协议也应能抵御离线字典攻击。这意味着存储的验证器不能直接用于冒充用户，也不能在没有服务器配合的情况下高效地离线猜测密码。

当数百项服务都要求进行认证时，传统模式要求用户信任每个服务运营方，并将可能在其他地方重复使用的秘密交给这些运营方。解决方案是完全消除密码传输，仅存储不可复用的验证器，并将认证绑定到特定服务器身份，以防止网络钓鱼。

现代方案包括 SRP（安全远程密码）、OPAQUE 和 FIDO2/通行密钥。它们分别解决这一根本问题的不同方面。SRP 和 OPAQUE 消除了服务器端对密码的知晓。FIDO2/通行密钥则利用绑定到特定源站的公钥密码学，彻底消除了密码。

传统密码认证要求服务器验证其获知的秘密，数据泄露后会导致离线破解，并且无法抵御网络钓鱼。密码复用会将单个数据泄露事件转变为系统性故障。理想的系统应在不传输秘密的情况下提供双向认证，仅存储不可破解的验证器，并将认证绑定到服务器身份。