传统的企业数字堡垒安全理念已经过时。在云服务、远程办公和API盛行的时代，可防御的网络边界概念不复存在。取而代之的是一个新的安全边界——身份边界，它不再由防火墙定义，而是由每个寻求访问权限的用户、设备和应用程序的身份来界定，使身份成为网络安全的新前线。

身份安全专家Ping Identity首席执行官Andre Durand在接受采访时表示："攻击者不会破解我们的加密技术，他们破解的是我们的身份系统。大多数攻击都源于身份控制的薄弱环节，密码或机密信息可能被窃取和重放，因为它们与所有者的绑定不够紧密。"

从密码到生物识别的演进

作为一个行业，我们一直在加强身份控制的身份验证部分。因此，身份验证现在成为了坚固的前门，攻击者正在寻找后门和侧门的薄弱环节。目前主要的薄弱点是用户注册流程和呼叫中心，这在Scattered Spider攻击中可见一斑。

当前用户注册或账户恢复的最先进技术是生物识别技术结合政府颁发的实体身份证件（如驾驶证或护照）的验证。虽然由于身份冒充或虚假文件的存在，这种方法并非万无一失，但它比窃取密码更困难，也比问答流程更安全。

数字凭证的未来

Durand预测："政府实体将发行数字版本的公民身份或其他社会身份形式，这些数字凭证将用于在新关系中建立信任。"

新兴的去中心化身份技术围绕着包含可验证数字凭证的数字钱包概念，如数字驾驶证或护照。这些都是不同性质的身份证明——可能是我的真实姓名和地址，证明我是某航空公司的百万里程会员，或者证明我是某公司的员工。

这种技术的关键优势在于，验证组织无需存储凭证。他们可以实时验证其可信度以及你是否为合法持有者，而无需存储可能成为攻击者蜜罐的底层信息。它还支持选择性披露——例如，证明你已年满21岁而无需透露你的出生日期或姓名。

身份与AI的交互

在AI时代，身份安全面临新的挑战和机遇。Durand将AI与身份的关系分为两类：

第一类是"为身份服务的AI"——利用AI自动化身份管理的某些方面。在大型组织中维护清洁的身份状态涉及大量重复性工作，这些工作可以通过AI实现自动化。

第二类是"为AI服务的身份"——代表我们行动的AI和智能体需要访问信息。这种访问需要有良好的范围界定和安全保障：你不希望智能体在我们的网络中漫游，访问它们不应该访问的数据。

智能体需要拥有身份，它们的行为需要像记录人类行为一样被记录。它们应该只被授权进行适当的访问：最小权限原则需要像适用于人类一样适用于智能体。

在某些情况下，你不希望智能体在没有明确授权的情况下代表你采取行动。例如，我可能授权智能体为我研究某个产品，但我可能不希望它在没有我明确同意的情况下购买该产品。

零信任原则的重要性

"信任已被武器化。我们系统中存在信任的地方，就是攻击者攻击的地方，"Durand强调。零信任原则要求我们不能信任用户、网络或设备，而应该验证设备、网络和用户。

现代生活建立在数字交易之上，但我们可能认为自己在与银行交易，实际上却在与钓鱼网站交易。因此，"信任但验证"对于在线发生的风险和滥用水平已不再足够。现在的座右铭应该是"只信任已验证的"。

行业整合的意义

Palo Alto计划收购CyberArk等行业整合事件表明，传统安全公司再也无法避开身份安全。你无法对不能识别的东西进行安全保护，这就是问题的核心。

一切都需要被识别：API、工作负载、服务请求、机器、人类。任何元素未被识别的场景都是被滥用的机会。智能体、人类、非人类身份——一切关键的东西，如果我们要保护它，就必须能够识别它。

Q&A

Q1：什么是身份边界，为什么它比传统网络边界更重要？

A：身份边界是指以每个用户、设备和应用程序的身份来定义安全边界，而不是传统的防火墙。在云服务、远程办公和API普及的时代，传统的网络边界已不存在，攻击者主要通过身份系统的薄弱环节发起攻击，因此身份成为了网络安全的新前线。

Q2：数字凭证如何减少数据泄露的影响？

A：数字凭证技术允许组织验证用户身份而无需存储底层信息。例如，通过数字钱包中的可验证数字凭证，验证组织可以实时确认凭证的可信度和持有者的合法性，而不必存储可能成为攻击者目标的敏感信息，从而大大降低数据泄露的风险。

Q3：智能体在身份安全方面有什么特殊要求？

A：智能体需要拥有明确的身份，它们的行为必须被记录和审计。智能体应该遵循最小权限原则，只能访问授权范围内的信息。在某些情况下，智能体需要获得明确授权才能代表用户采取行动，同时必须建立清晰的责任链，确保能够追溯智能体在系统中的所有活动。