在当今数字化时代，网络安全已成为全球企业和个人无法回避的重要议题。网络威胁的种类和复杂性也日益增加，网络安全领域将面临一场深刻的变革，充满挑战与不确定性。2025 年，网络安全将迎来更复杂、动荡，充满风险和不确定性的新时代。从零日漏洞频发到供应链攻击的日益加剧，再到人工智能系统的滥用，网络攻击的方式正在发生前所未有的变化。身份和访问管理（IAM）已经成为企业网络安全的核心组成部分。身份不仅是用户和系统之间的访问桥梁，更是企业防御外部攻击、确保数据安全的第一道防线。2025 年身份领域将迎来三大重要趋势，企业如何在数字化竞赛中占得先机，稳居安全防线的最前沿。

01.零信任将在身份领域占据 C 位

根据 Gartner 的预测，2025 年全球信息安全终端用户支出预计将达到 2120 亿美元，较 2024 年的 1839 亿美元增长 15.1% ，其中安全服务增速最快。随着对安全需求日益增长，零信任（Zero Trust）模型已成为现代网络安全架构的核心。零信任模型专注于验证每一个试图访问系统的人和设备，作为网络安全的最佳实践正在获得认可。零信任框架的“永不信任，总是验证”的原则在组织面临日益复杂的网络攻击时变得更加重要。任何用户或设备在其身份和授权得到验证之前都不被信任，不能访问资源，而是通过持续的验证和监控来确保网络资源的安全访问。

2025 年，零信任不仅仅是为了保护数字资产，它还将重新定义企业的整体安全框架，应对生成式 AI 的崛起和数字生态系统架构的变化。AI 将通过智能自动化、自适应安全机制和实时风险分析，进一步增强零信任架构的能力。而零信任框架将保护 AI 系统本身，确保 AI 应用程序和数据免受新型威胁的侵害。两者相辅相成，共同为企业构建出更加弹性、可扩展且主动应对安全挑战的网络防护体系。

02.基于 AI 的身份防护成为关键

Gartner 预测，到 2027 年，总体网络攻击中约 17% 将涉及生成式人工智能（GenAI）。生成式人工智能的普及加剧了身份威胁的复杂性，同时也提升了安全防御的潜力。AI 在防御和攻击策略中处于前沿。诸如 ChatGPT 和 Bard 这样的 AI 工具，在利用大语言模型展示了生成式 AI 转变商业流程的同时，也带来了新的风险。生成式 AI 的普及使得身份威胁的复杂性大大增加，黑客不再仅仅依靠传统的攻击手段，而是借助 AI 加速漏洞发现、生成更具欺骗性的网络钓鱼攻击、以及采用更加隐蔽的恶意软件规避技术。开发者在构建和维护企业身份安全体系时，必须认识到 AI 技术在防护过程中的核心作用，并积极应用基于 AI 驱动的身份平台。基于 AI 驱动的身份平台能够通过高级身份验证手段，如生物识别技术、行为分析和多因素认证（MFA），为用户提供更强的安全保障。利用 AI 的能力实时分析和识别潜在的异常行为，有效预防身份盗窃、欺诈和其他身份相关的攻击。

03.量子加密浮出水面

在 2024 年量子计算取得了显著进展，量子处理器在量子比特稳定性和可扩展性方面达到了里程碑式的成就。IBM、谷歌等公司均已宣布推出量子系统，能够解决传统计算机无法高效解决的问题。量子计算正在迅速从理论研究转向实际应用。随着量子计算逐渐从理论走向实际应用，网络安全成为其最直接的影响领域之一，尤其是在保护数字身份的领域。未来，越来越多企业将普遍采用量子抗性加密和量子密钥分发技术，来加强身份管理体系。企业需要尽早布局，更新身份认证架构，采用量子安全技术来保护用户身份和敏感数据。随着量子技术逐渐成为主流，基于量子的身份认证平台将成为未来网络安全防护的核心组成部分。由于量子计算机尚未普遍可用或适用于所有应用，结合量子和经典技术的混合系统正在作为过渡解决方案出现，并可能成为未来企业身份管理的主流。

04.三大身份安全技术，快速提升企业安全防护力

持续自适应多因素认证 - 企业零信任最佳范式

Gartner 提倡为了实现对更复杂威胁的防控，建议将安全思维方式从“应急响应”到“持续响应”转变。下一代的安全保护流程的核心是持续、普遍的监控和可见性，企业的安全监控应该无处不在，并尽可能多的包含 IT 堆栈层，包括网络活动、端点、系统交互、应用程序事务和用户活动监控。「持续自适应多因素认证（Continuous Adaptive Multi-Factor Authentication，CAMFA）」是一种安全身份验证方法，它在自适应多因素认证（基于上下文属性判断当前安全状况以增加因素认证）的基础上增加了实时风险评估技术对用户进行动态评估安全系数。在时间维度上，持续自适应多因素认证在用户整个使用旅程中持续不断的对其进行信任评估，以决定是否需要增加额外的认证流程。这样做的好处就是企业的安全得到实时监控，而用户只会在进行风险操作时被提示需要进行额外的认证。

基于 AI 的用户行为检测

Authing 通过集成 AI 和机器学习算法，能够从用户的行为数据中识别潜在威胁，实时监测并评估用户风险。当系统从断层登录检测到用户时，或尝试访问其平时不常接触的的敏感资源时，AI 会标记这些异常行为并触发相应的安全响应步骤，如动态增加认证要求。基于 AI 的分析能够在短时间内完成风险评估，自动决定是否进行额外的验证步骤，确保对异常活动的快速反应。AI 行为分析不仅局限于登录检测，还能对用户在整个身份生命周期中的活动进行全面监控。系统能够识别并标记出用户在非常规时间段或不同设备上的登录行为，或者是其访问的资源异常，这些都可能是攻击者试图通过伪装成正常用户的方式进行攻击的迹象。通过与现有身份管理系统的深度集成，Authing 能够根据这些行为特征，快速进行动态身份验证，减少人工干预的需要，并且能在数秒内做出反应。

后量子密码系统

随着量子计算的发展，传统加密算法面临被破解的风险。而后量子密码学致力于开发能够抵御量子计算攻击的密码算法，如格基密码和哈希签名等。抗量子密码（PQC），也称后量子密码，是能够抵抗量子计算对公钥密码算法攻击的新一代密码算法，旨在研究密码算法在量子环境下的安全性，并设计在经典和量子环境下均具有安全性的密码系统。其基于数学原理，以软件和算法为主，依赖计算复杂度，易于实现标准化、集成化、芯片化、小型化和低成本，能够提供完整的加密、身份认证和数字签名等解决方案。PQC 的出现，可有效地防止攻击者窃取和破解加密信息，为网络信息安全提供保障。

除了抗量子密码外，将现有密码系统向能够抵御量子计算攻击的后量子密码系统迁移也是一项重要任务。后量子迁移过程需对现有的密码系统进行评估和分析，确定其在量子计算机攻击下的脆弱性，并设计出能够抵御量子攻击的替代方案。Authing 将 PQC 与身份认证相结合，结合了传统的经典加密技术和新兴的后量子密码算法，掌握后量子密码算法和协议及其性能特点等，及国内外相关标准化进展并研究了密码系统风险评估、迁移策略等制定了相关方案，为企业提供了一种既能利用现有的加密技术，又能逐步引入量子安全的平衡方案。企业可以通过逐步替换现有的脆弱加密算法，采用后量子加密标准，并通过混合系统逐步建立起对量子攻击的抵御能力。混合系统的优势在于，它能够平滑过渡到量子安全的未来，同时确保系统的兼容性和性能不会因为完全依赖新技术而受到影响。