AWS開放免費(fèi)下訂實(shí)體安全密鑰，目前限美國賬號Root User用戶

面對不斷發(fā)生的網(wǎng)絡(luò)釣魚與帳密外泄問題，最近Amazon在7月11日宣布，將提供美國Amazon Web Services(AWS)賬號用戶，可免費(fèi)下訂取得實(shí)體安全密鑰（Security Key），以如此公開的形式提供給企業(yè)用戶，這是云計(jì)算服務(wù)企業(yè)首見的創(chuàng)舉，期望幫助用戶對于預(yù)防網(wǎng)絡(luò)釣魚或帳密竊盜威脅，有進(jìn)一步的嘗試與行動。

關(guān)于這項(xiàng)計(jì)劃，最早是在去年8月25日宣布，當(dāng)時美國白宮舉辦安全高峰會，會中多家科技、教育企業(yè)均提出，將共同解決美國安全威脅與人才培訓(xùn)問題的實(shí)際行動，Amazon也承諾，要保障AWS用戶的賬號安全，除了宣布要發(fā)布內(nèi)部安全教育訓(xùn)練課程，并預(yù)告為了預(yù)防網(wǎng)絡(luò)釣魚或帳密竊盜威脅，未來提供每個AWS賬號，都可免費(fèi)取得多因素認(rèn)證（MFA）設(shè)備。

最近7月11日，Amazon正式宣布美國賬號Root User用戶，只要在過去三個月內(nèi)每月花費(fèi)超過100美元，就有資格可以免費(fèi)下訂取得實(shí)體安全密鑰（Security Key）。

Amazon首席安全官CJ Moses表示，他們鼓勵每個人使用MFA來幫助保護(hù)自己的線上賬戶安全，盡管某些應(yīng)用程序尚不支持實(shí)體安全金要，但幾乎所有應(yīng)用程序都提供了MFA選項(xiàng)。

這次AWS提供免費(fèi)實(shí)體安全密鑰的用意，主要是因?yàn)橛行┢髽I(yè)仍處于早期采用MFA的階段，也不了解實(shí)體安全密鑰的應(yīng)用，CJ Moses表示，這個免費(fèi)的實(shí)體安全密鑰，就是保護(hù)用戶AWS賬號的另一種方式，也可幫助用戶更了解現(xiàn)在的MFA，是如何可以做到方便與快速登錄，并開始朝向激活MFA的防護(hù)邁進(jìn)。

他并指出，未來，隨著企業(yè)組織持續(xù)擴(kuò)產(chǎn)使用AWS，所有用戶也都應(yīng)該獲取并激活MFA。而且，這也可以適用于AWS身份服務(wù)，也就是AWS Identity and Access Management（IAM）的用戶級別管理，也可以適用于集成式身份訪問管控企業(yè)的解決方案，并強(qiáng)調(diào)使用聯(lián)合身份識別（federated identities）是最佳實(shí)務(wù)。

另一方面，Amazon還設(shè)立了名為“Free MFA Security Key”的專屬網(wǎng)頁，告訴AWS用戶如何免費(fèi)取得，并簡化訂購流程?；旧?，分為三個步驟，首先是前往下訂專屬頁面時將查看資格，接著選擇實(shí)體安全密鑰，再來進(jìn)入結(jié)賬頁面輸入送貨地址，就可以免費(fèi)獲取。

而根據(jù)網(wǎng)站上問與答的說明資訊，我們可以了解，目前提供的實(shí)體安全密鑰，是基于FIDO標(biāo)準(zhǔn)的Yubico的Security Key NFC，符合資格的用戶會收到通知，訂購后十日內(nèi)將收到。

對于符合這次資格的Root User賬號也有說明，就是用戶第一次創(chuàng)建Amazon Web Services（AWS）賬號時，需要先創(chuàng)建一個可以訪問所有AWS服務(wù)與資源的賬號，而這個賬號，就是AWS賬號Root用戶。

對于這項(xiàng)政策未來是否波及美國以外的市場，可惜，Amazon至今都并未提及。

另一方面，除了Amazon在去年8月宣布免費(fèi)提供實(shí)體安全密鑰，今年7月正式開放領(lǐng)取，其他企業(yè)也有相關(guān)行動。例如，在2020年，臺灣實(shí)體安全密鑰企業(yè)歐生全與微軟合作，針對使用Azure AD的企業(yè)，推出“無密碼試驗(yàn)計(jì)劃”，讓客戶可以小量適用ATKey.Pro登錄Azure AD；此外，Google在去年10月也曾宣布，將向高風(fēng)險(xiǎn)用戶提供1萬個實(shí)體安全密鑰，這些高風(fēng)險(xiǎn)用戶主要是當(dāng)選官員、政治運(yùn)動、人權(quán)活動家與記者。

Amazon在7月11日正式宣布，最近三個月每月花費(fèi)100美元的AWS美國賬號Root User用戶，將可免費(fèi)下單獲取實(shí)體安全密鑰（Security Key），并設(shè)置專屬網(wǎng)頁教導(dǎo)用戶獲取。