最近，ISACA 发布了一份详尽的白皮书《深伪时代下的身份验证探索》。这份白皮书很好地介绍了传统的身份验证方法，并解释了为什么这些方法在人工智能加速发展和深伪技术被用于社会工程攻击的时代显得不够有效。这份报告让我想起了Arup工程公司的事件。这家英国跨国设计和工程公司发现自己成为了深伪骗局的目标，导致一名香港员工向骗子支付了数百万美元。据称，在线通话中不仅出现了该公司CFO的深伪形象，还有他的同事。这起案件确实带来了对抗策略的重大转变。

这份白皮书探讨了高级对抗战术背景下，在人工智能和量子计算方面的发展机遇。它首先介绍了传统身份验证方式及其演变过程，从简单的密码到多因素认证（MFA）和生物识别技术。随后，白皮书强调了深伪对生物识别构成的威胁，考虑到如今生物识别的应用范围广泛（边境控制、移动设备和云存储越来越依赖生物识别以降低用户使用的摩擦）。接着，白皮书分析了五个与生物识别相关的深伪风险因素，并进一步讨论了相关的网络安全影响。对于考虑如何针对生物识别技术构建情境化的威胁模型或为组织内生物识别的应用进行风险评估的人士，这份白皮书是一份非常有用的资源。

随后，白皮书指出了现代身份验证存在的不足，并详细介绍了克服这些问题的进展。凡事都有两面性。我喜欢这份白皮书的地方在于，它既全面地讨论了基于人工智能的适应性和基于风险的身份验证的优势，也讨论了身份验证中使用人工智能带来的风险。它还讨论了使用区块链进行身份验证的好处，并展望了量子计算在身份验证中的应用。

白皮书中还探讨了零信任架构中身份验证的重要性。“永不信任，始终验证”是零信任背后的理念，我们需要应用这一理念来限制攻击面以及限制攻击者的破坏范围。确保正确地验证设备，并且只有健康的设备才能接入网络是我们都应该努力的目标。

在这个充满不可抗拒力悖论（IFP）的世界里，最强的矛总是会遇到最强的盾，反之亦然。这是一个持续的猫鼠游戏。白皮书最后强调了网络攻击手段的日益复杂，需要进一步创新以应对这些攻击。的确，我们需要用黑客正在利用的相同工具来对抗他们。持续的演变引入了新的范式。网络安全需要保持敏捷和远见，并充分投资于持续创新，以跟上网络威胁的步伐。

如果你还没有读过这篇白皮书，建议你去阅读一下。它有助于揭示你可能未曾意识到的风险评估中的盲点，尤其对于负责保护组织系统和数据安全的网络安全专业人士来说非常有用。

查看更多白皮书内容，请访问：

https://www.isaca.org/resources/white-papers/2024/examining-authentication-in-the-deepfake-era