麦超，钟林峰，杨振国，胡振宇，刘文印,3

（1.广东工业大学计算机学院，广州510006；2.广东工业大学网络身份安全实验室，广州510006；3.鹏城实验室网络空间安全研究中心，深圳518000）

0 引言

当前高速发展的互联网已经深入到社会生活的各个方面，极大地促进了社会经济的发展。然而在享受信息的高度网络化带来的各种便利时，网络安全方面的挑战也随之而来，各种网络身份信息泄露事件愈演愈烈，使个人和企业遭受巨大损失。网络安全公司Shape Security发布的2018Credential Spill Report[1]显示，来自51个不同组织的23亿份证书发生过泄漏；在传统的网络身份认证机制中，主要包含了客户端和网站服务器。用户通过操作客户端填充相应的登录信息（例如账号密码、短信验证码等）与网站服务器交互。但因为网站服务器都是相对孤立，不同的网站服务器安全防护程度参差不齐，又因为用户存在着密码疲劳、密码复用等问题，攻击者往往会从安全防护程度低的服务器作为突破口进行网络身份的攻击，转而利用所得数据攻击安全防护高的系统。所以目前传统的网络身份认证机制中存在着明显的安全木桶短板问题。如何对众多繁杂的账号密码进行有效的管理认证及安全保护成为了身份认证技术所面临的新挑战。

1 相关性研究

目前流行的密码管理器有登录易[2]、Password⁃Box、1Password等，专注解决使用密码时“烧脑”“密码疲劳”等问题。tiQr项目研究组推出的基于Android/iOS平台的tiQr软件[3-4]除了实现对于用户网络身份保存、管理等基本功能外，还实现了通过扫描网站登录页显示的二维码登录的功能。……