【2020十大资安趋势4：身份安全】AI冒用身份的攻击现身，对于新兴辨识技术的采用更显迫切
【内政部已导入FIDO标准推行动身份识别】行政院内政部在2019年已建置了FIDO服务器，打造“TAIWAN FidO台湾行动身份识别”服务，并提供T-FidO行动App，让个人装置与生物识别成为验证关键，可望带动FIDO应用，预计2020年将有更多-服务介接。（图片来源／内政部资讯中心）
不论是数位世界或实体环境，能否识别身份、取得信任是落实安全重要的一环，包括在各种网站服务、应用系统，或是日常生活等各个层面，都有身份安全相关议题，需要被重视，例如，趁机取得使用者帐密的网络钓鱼，多年不曾停歇，近年更是发生大量帐密外泄事件，以及弱密码，以及预设密码等各式帐密安全问题，而在即将到来的2020年，还有一个新兴的身份安全威胁趋势值得注意，那就是以AI技术所进行的深度伪造与诈骗，称为Deepfake。
此类诈骗技术的发展已日趋成熟，合成与模拟影像画面与声音的门槛将降低，不只是对舆论的威胁，也让新的身份冒用攻击可能性大增。事实上，冒用身份的网络攻击已横行多年，特别是商业电子邮件诈骗（BEC）的手法，透过冒用同事、合作对象的电子邮件就能达到目的，已为企业带来极大损失，如今在AI技术的进步之下，攻击管道也将可能扩及视讯与电话，像是透过Deepfakes伪造老板的脸与声音来下指令，将可能更让人容易上当受骗。
值得注意的是，这类攻击已经出现，在2019年下半年已有一家英国能源公司的首席执行官，就因为误以为接到德国总部首席执行官的电话，在不疑有他的情况下，将款项汇出给诈骗者。因此，这类身份冒用诈骗，将是2020年不容忽视的最新威胁趋势，如何防范将成企业新挑战。
FIDO应用已获台湾-导入，IoT身份相关安全要求成形
对于强化传统密码安全性的发展，从线上身份识别安全的方面来看，由于用户密码遭窃的问题层出不穷，我们在上一年度的相关预测中，已经提到FIDO线上身份识别将在2019年兴起，并结合生物辨识与安全模组的发展趋势。
这一年来，随着W3C宣布WebAuthn成为正式标准，我们确实看到更多主流的浏览器业者及操作系统大厂，陆续采取行动，例如Edge、Chrome、Firefox与Safari都已经支援FIDO2标准，而Android、Windows 10内建的强认证机制也都通过FIDO2的认证，这样的环境将可方便更多程式采其应用，让使用者透过手机内建的生物辨识，或是FIDO标准的实体安全金钥（Security Key），来登入支援FIDO 2标准的网站或原生App，降低面对钓鱼网站的风险。
值得一提的是，最近台湾-也开始应用FIDO。在2019年10月，内政部宣布推出“TAIWAN FidO台湾行动身份识别”服务，导入FIDO标准与建置FIDO服务器，并结合内政部自然人凭证，目的是运用于-或公营事业资讯系统的身份识别。例如，民众只要完成自然人凭证注册，在手机上安装“T-FidO”App，并完成凭证和行动装置的连结，之后用手机登入-机关网站时，就可以透过手机上的指纹或脸部辨识，来通过身份验证。目前，财政部已将地价税申报应用率先介接这项服务，到了2020年，预期将有更多的服务介接，像是综合所得税缴纳等。
对于FIDO技术应用在台的未来发展，我们询问了身兼神盾公司副总与FIDO Alliance董事代表的张心玲，她指出，目前国内已有-单位及各主流银行导入，预期会有更多的服务提供，在各平台内建或外接验证器的支援上，也将更为全面。此外，FIDO近期新成立3个工作小组，包含-、IoT应用，以及身份绑定与确认，其后续发展也将是2020年可以关注的面向。
关于账号密码安全问题，近年也同样发生在物联网（IoT）装置，像是僵尸病毒与勒索软件等，攻击方式有暴力破解装置薄弱密码或预设密码，此手法之所以得逞，原因就是产品设计的身份验证保护不足。对于相关安全问题的改善，我们预期2020年会看到较明显的态势。
举例来说，美国加州在2018年通过该国第一项与物联网的资讯隐私法案，在2020年1月正式生效，当中就有禁止使用预设密码等安全要求；台湾方面，近年推动的物联网资安产业标准，针对影像监控系统系列网络摄影机这一项，已发布成为国家标准（CNS 16120），对于身份鉴别与授权机制安全，已经提出相关安全要求规范。换句话说，日后IoT产品业者要提升相关资安功能，将可以有更具体的依据。
例如，在通行码鉴别安全方面，每台设备预设密码都须相异，或首次使用须强制更改，而密码强度也有要求，并应限制输入频率与次数；而鉴别身份机制需采用多因子，支援双向认证，具备防止重送攻击的机制，上传凭证的功能，以及还原出厂设定凭证金钥需改变；此外，还有权限管控面的相关要求。
人脸辨识可能整合至更多系统环境，替代密码并加强存取控管
关于人脸辨识的身份识别应用，已是近年热门的议题，随着近一年来AI人脸辨识引擎的高速发展，在2019年中旬，我们看到人脸辨识在门禁系统、考勤系统在台发展，最近我们则是观察到下一步的趋势，那就是：人脸辨识将开始整合到更多系统环境，强化安全存取。
举例来说，像是2019年上半已有医院应用人脸辨识，让医护资料的调阅能与电子白板结合，并以人脸辨识确认使用者的身份，近期我们则是看到人脸辨识引擎与POS系统结合，透过人脸辨识解锁操作权限，这些应用都是取代传统手动输入密码，也减少密码外泄的疑虑。甚至，新兴的联网设备应用，像是医院用的智慧药柜，在管制用药的安全管理上，也能搭配人脸辨识，取代过去使用钥匙及密码配对才能开启的作法。
无论如何，身份识别的安全已实现在相当多的层面，其他还包括像是金钥安全、凭证安全的风险，前几年持续提及的强式双因子认证，以及实体安全金钥，还有生物辨识、硬件安全与量子加密通讯等层面，以及各种因应方式与相关发展，也都是2020年可以持续关注的面向。
相关报导 2020年10大资安趋势预测
