双因素认证:它如何拯救您的账号,以及如何正确启用并备份

对偷了您密码的窃贼,双因素认证留下一个苦涩的结局:偷来的密码是对的,却还是进不去,因为服务要求从窃贼没有也不会有的设备确认。这个简单的想法堵住了最常见的入侵场景:用从其他服务泄露的账号密码自动登录。剩下的就是为您的任务选对第二因素,正确启用,并且不随手机一起丢失。我们按顺序来。

什么是因素

因素是证明您就是您的独立证据:您知道的,通常是密码;您拥有的,手机或密钥;您本身的,生物特征。双因素从检查两种不同类型开始。密码加密保问题仍是一种类型,两项知识,一次泄露就全部暴露。密码加手机验证码才是真正的两种类型:知识和持有,攻击者需要同时获得两者。

第二因素比较

验证器应用就是那个 TOTP:一次性验证码存活半分钟,在设备上生成,无需任何联网。短信更脆弱:验证码可能被骗走,号码可能被补办 SIM 卡抢走,所以银行和邮箱的保护最好用验证器或密钥。推送很方便,但催生了自己的攻击:用请求轰炸受害者,直到其疲劳点确认;解决办法是数字匹配,需要在推送中输入登录屏幕上的数字。

所有验证码的共同弱点:实时钓鱼可以骗走它们,假页面在几秒内把验证码转发给真实网站。只有硬件密钥和通行密钥才能彻底堵住这条路:密钥只响应特定域名的请求,对假网站无从回答。通行密钥的原理我们在密码一文中分析过。

为什么“我没什么可偷的”行不通

有人关闭第二因素,理由是“没人需要我的账号”。需要,只是不像想象的那样:普通人的邮箱是其银行和商店的恢复钥匙,社交网络是用于借钱的朋友信任,游戏账号是多年买下的道具。窃贼不是定点作案,而是针对数百万泄露密码流水线作业,所有人都会落入其中。而保护的代价微不足道:从新设备登录多花五秒,因为服务会记住可信设备,不再重复索要验证码。

工作账号更是如此:员工的访问权是通向公司的门,企业服务越来越多地不再询问,直接要求第二因素。家里养成的习惯在这里能省去工作中的麻烦。

启用时不丢失访问权限

1. 从邮箱开始:它能恢复所有其他账号,其保护比银行更重要。
2. 在安全设置中选择验证器应用:任何成熟的都行,哪怕是密码管理器内置的。如果服务允许,把短信留作备用方式。
3. 立即保存备用码:打印放在家里或记在密码管理器中。这是手机丢失时的入口。
4. 对银行、主要社交网络和工作服务重复以上步骤。重要的账号在有通行密钥的地方启用。
5. 花一分钟审查:同一设置中可以看到已绑定的设备和登录方式。删除多余的。

一个节省时间的小细节:从应用迁移验证码时,许多服务只显示一次密钥的二维码。如果您拍照“留念”,请把照片存放在加密位置,不要放在带云同步的相册:这个二维码等同于因素本身。

手机丢了:接下来怎么办

如果有准备,标准流程是:在新手机上安装验证器,用备用码登录,然后重新绑定因素。许多验证器支持加密备份,验证码会自动迁移。如果没有准备,只能通过服务客服验证身份来恢复:流程故意很长,因为盗号者也在用它。由此得出全文的首要规则:备用码要在启用保护时保存,绝不是“以后”。

未来走向

行业正逐步去掉密码和单独的第二步:通行密钥把两个因素合并成一个动作,由生物特征确认设备持有。过渡期间合理的组合是:密码管理器、用于所有重要事项的验证器、提供时启用通行密钥,以及放在安全位置的备用码。如果账号已经行为异常,不要等:分步计划见账号被盗一文,第二因素启用得越早,这个计划就越短。