Docker 加入弃用密码以增强安全性的行列
内容提要
Docker将弃用密码登录，强制使用单一登录界面，以增强安全性和简化身份验证过程。这与行业趋势一致，采用通行证和零信任安全模型。通过消除密码，组织可以更好地保护资源和数据。
延伸解读
Docker 强制 SSO 与 PAT 的时间线
自 2024 年 9 月 16 日起，Docker 将在命令行界面强制实施单点登录（SSO），并停止使用密码，转而要求使用个人访问令牌（PAT）。这一变化并非可选，而是强制性的。对于已启用 SSO 的组织，用户必须通过身份提供者（IdP）进行认证，无法再使用密码登录。这延续了 Docker 在 2022 年针对商业订阅引入 SSO 的策略，旨在统一并简化跨 Docker Desktop、Docker Hub、Docker Scout 和 Docker Build Cloud 等服务的认证流程。
无密码认证的行业趋势与安全优势
Docker 弃用密码的举措与行业向通行证（passkeys）和零信任安全模型发展的趋势一致。通行证由 FIDO 联盟开发，并得到苹果、谷歌、微软等支持，利用加密密钥对，能有效抵御网络钓鱼等攻击。零信任模型要求对每个访问请求进行严格验证，消除密码这一安全薄弱环节。GitHub 推动通行证也取得成效，95% 的开发者已采用双因素认证。谷歌、Shopify、WhatsApp 等公司也在采用通行证，推动无密码认证的普及。
开发者关注点：集成与账户恢复
尽管无密码认证优势明显，但开发者在采用时仍有关键顾虑。Stytch 首席执行官 Reed McGinley-Stempel 指出，开发者希望无密码认证易于集成，并能处理边缘情况。例如，用户可能丢失所有设备或通行证，因此账户恢复至关重要。此外，开发者还希望以自己期望的方式将认证集成到应用中，以便掌控用户体验和设计。这些因素影响着无密码认证在实际产品中的落地效果。
Q&A
Docker为什么要弃用密码登录？
Docker弃用密码登录是为了增强安全性和简化身份验证流程，采用单一登录界面。
Docker将于何时强制使用个人访问令牌？
Docker将于2024年9月16日起强制使用个人访问令牌（PAT）替代密码。
什么是单一登录（SSO）？
单一登录（SSO）是一种身份验证过程，允许用户通过一个身份提供者访问多个服务，简化用户体验。
Docker的安全性措施与行业趋势有何关系？
Docker的安全性措施与行业趋势一致，朝向无密码认证和零信任安全模型发展，以提高整体安全性。
零信任模型的基本原则是什么？
零信任模型的基本原则是“信任无一”，要求对每个访问请求进行严格验证，消除密码这一安全薄弱环节。
除了Docker，还有哪些公司在推动无密码认证？
除了Docker，GitHub、Google、Shopify和WhatsApp等公司也在推动无密码认证的普及。
