为什么限量球鞋你永远抢不到？因为那些用来分辨人和机器的防线，全塌了。中午十二点，限量款开售，一千双鞋三十秒清零。抢到的是自动程序，真实买家一无所获。零售商试过的防御——IP限速、图形验证码、手机验证、设备指纹——刚开始管用，后来集体失效。
失效原因一模一样：这些手段依赖的是代理。IP地址代表不同网络，手机号代表不同人，设备指纹代表不同设备。一旦攻击者能廉价批量获取这些代理，防线就溃了。手机号可以批发，指纹可以随机化，IP通过住宅代理网络不断切换。没有一项防御把验证绑在一个真实、唯一的人身上。
认证系统也救不了场。单点登录、面部解锁、通行密钥、OAuth令牌，全都在做同一件事——拿进来的凭证和存好的模板比，回答匹配或不匹配。它们根本不碰那个关键问题：这个用户，在别处已经验过真身了吗？
核心难题于是浮现：怎么让一个真实、唯一的人在互联网上被认出，同时永远不暴露他是谁？World团队（Tools for Humanity的Tiago Sada、Lily Gordon等人）正在啃这块骨头。他们拆出了必须解决的五个支柱。
一、唯一性。这和普通认证不同。拿手机面部解锁说：设机时拍一张面部模板存本地，此后每次解锁都拍新照，只和那一张模板比——比较空间就一个。匹配就开锁，不匹配就拒。可这只能在一部手机里判断你是不是同一个机主，完全挡不住同一个人拿另一部手机再注册一个新身份。唯一性要的，是整个网络范围内的一人一号，难度远高于本地比一次。
二、匿名性。发放凭证时，不许让任何人知道用户是谁。
三、恢复。丢了手机、重装了应用，系统怎样让你把身份找回来？
四、验证。出示凭证时，怎么只给出最少必要信息，其他一点不露？
五、委托。当持有凭证的是一个替你干活的AI代理，规则又得怎么改？
每个支柱都踩在现有技术的盲区上。验证码已经老得掉渣，设备指纹像纸糊的墙。证明“你是人”这场攻防，才刚开始暴露它真正的脆弱。
热门跟贴