两步验证不只是收短信填数字，洋葱想让你成为密码本身

我没有问他为什么要给自己起这样的网名，不过确实纠结了很久要不要把它写出来：吴洪声被更多人知道的 ID 可能是“奶罩”，他是 dnspod的创始人。

他的新公司叫 Secken，同事转给我他们在朋友圈发招聘启事的时候，完全没提到自己要做什么。后来他告诉我们：Secken 是 "security" 和 "token" 的结合词，也是 "second" 的谐音，预示着这是他第二次创业，也和想做的事相关。招聘期间之所以做得那么神秘主要还是怕抄袭，反正相关行业的工程师本来就很难招，所以也不担心太过隐晦。

洋葱是 Secken 的主要产品，它能兼容现有的 Google Authenticator 协议，还能自己成为用户的两部验证方案。用户只需要将第三方服务提供给 Google Authenticator 的验证码填入洋葱，就能让它接管自己此后的验证需求。除了多数人熟悉的动态验证码，洋葱还能将用户的指纹、人脸、声纹等信息作为二步验证方式。

洋葱中指纹、人脸、声纹等生物信息认证方案现在由合作伙伴提供，iOS 机型上直接使用 TouchID API，Android 上则暂时仅支持华为和三星一部分支持指纹识别的机型。在 Android 系统中，洋葱在本地数据加密方面采用了自己的算法，而不是指纹芯片自带的加密存储或 ARM Trustzone 方案。“Google Authenticator 的数据存储在本地，不随用户账户同步到其它设备，而且也没有加密，这对 Root 用户而言是很危险的”，吴洪声告诉我们。而洋葱在用户第一次验证手机号只好，所有信息都能跟随账户同步，所以用户可以让自己的账户密码彻底摆脱数字、手机或短信，用自己“随身携带”的生物特征来取代。

以上是客户端，服务器端的洋葱使用了吴洪声从dnspod延续下来的安全技术。除了一部分业务应用为了扩展性放在公有云当中，敏感数据都加密存储在本地服务器的内存中，即使服务器被物理盗窃，一旦设备断电，所有数据都会丢失，需要他们人工介入才能恢复。而且洋葱服务器在和客户端通信的过程中使用了两对私钥，客户端发出信息之前会被本地的私钥加密一遍，到达后存入服务器之前还会被洋葱自己的私钥加密一遍。

dnspod事实上在 2011 年就被腾讯收购，之后根据协议，吴洪声必须在dnspod中留任直至协议期结束。Secken 的想法最早开始于去年七月，十月底正式启动，随后很快在十一月就完成了 demo，今年四月开始内测。

目前为止，参与洋葱内测的主要是企业用户，其中有 UCloud和51Book等。企业内的安全架构往往很复杂，除了外网防御还需要内网足够安全，很多外部攻击最终都是通过员工账户的突破来实现内部信息获取或网络提权。而大型企业很难保证每位员工都能自觉给账户设定足够强壮的密码，更不可能保证每名员工都开启必要的两部验证。所以洋葱希望将两步验证做得足够方便，再通过 API 和 SDK 让企业 IT 能够方便地融合现有账户体系和洋葱，这样即使员工设定了弱密码也可以用生物验证或动态密码来保证安全。

对于企业用户，洋葱还带有更多判断逻辑，企业 IT 可以设置必要的判断条件，例如网络环境或地理位置。当员工账户在陌生或企业外环境尝试登录时，洋葱客户端可以要求用户填入更复杂、更严苛的验证信息。

目前为止，洋葱面向用户的客户端，和面向开发者的 API 和 SDK 都免费提供，仅有部分大企业需要的特殊定制化需求才涉及付费。吴洪声说，以前做 dnspod 是一个纯 B 端的产品，虽然很多用户会因此受益，但大多数人并不能感知它存在，洋葱这次会希望和合作伙伴一次加强在 C 端的品牌教育和露出，让它成为一个能被用户感知到的行业标准。

竞争对手方面，洋葱目前在国内并没有可以直接参照的类似服务，而国外有很多 Google Authenticator 的替代品，在国内的业务空间和实际可用度并不是很强。据吴洪声说，他们在未来也会进入海外市场，和 Google Authenticator 直接展开竞争。