认证流程不严谨 支付宝身陷密码危机

（原标题：认证流程不严谨 支付宝身陷密码危机）

刚刚从朋友圈曝出支付宝“熟人可以修改登录密码的漏洞”，据称，任何人登录支付宝时，只需通过“登录手机账号——忘记密码——手机不在身边——淘宝买过的东西9张图片选1个——好友验证9个好友图片选1个——登录成功”，这时就可以直接扫二维码付款不用密码。而整个流程“陌生人有1/5的机会登录你的支付宝，而熟人甚至100%可以登录你的支付宝”，让广大网友为之心惊。

朋友圈曝出支付宝“熟人可以修改登录密码的漏洞”

在笔者看来，将其归类为漏洞问题，还不如说是支付宝身份认证流程上的不严谨，风控系统过于粗糙所致。随后，支付宝回应称，今天上午，已提高风控系统安全等级，目前仅在用户自己手机上，才能通过识别购买物品和好友找回登录密码，其它手机已无法使用此方法。 

截止发稿前，笔者验证发现支付宝针对网友反馈的问题进行了紧急调整，修改了身份认证流程，并将其直接导向要输入真实姓名和身份证号码环节。

  
目前支付宝已修改了身份认证流程，将其直接导向要输入真实姓名和身份证号码环节

  如果选其他方式找回密码，则有刷脸和打电话两种方式，不过打电话的话，仍要填写身份证信息

目前，随着网络安全威胁的日益加深，在金融支付层面上的身份安全认证机制也逐步完善中，最为常用的便是双因子认证机制（Two-factor authentication）。双因子认证是通过两种独立不相关的证据来证明访问者的身份。根据密码学理论，在数字世界里，独立不相关的证据可以来自于以下三方面因素：你所知道的（如密码或身份证号码）、你所拥有的（如USB Key或磁卡）或者是你自己的生物体征（如指纹、瞳孔或声音等）。

当前，身份认证流程中双因子认证机制的重要性还不容忽视

相较于传统单因子验证（One-factor authentication，2FA）如静态密码等带来的不可靠性，目前双因子认证机制已成为加强用户安全性的主流。而在此次支付宝事件中，其开始在对于密码重置需求的处理上，避重就轻，明显疏略了双因子认证机制的重要性，显然是犯了一个“低级性错误”。

不过，即使再强大的安全认证，在人为操作下都会有泄露的风险。安全专家建议第三方金融支付平台应该在身份认证流程、密码管理上进一步强化其流程严谨性与风控等级，切实确保用户的金融资产安全。

本文属于原创文章，如若转载，请注明来源：认证流程不严谨 支付宝身陷密码危机http://safe.zol.com.cn/623/6233497.html