兩步驗證這些事你知道嗎

OverLord

兩步驗證有多重要

我們登錄一個網站的時候，使用賬號密碼登錄驗證身份，這是我們一貫的操作。但是，這種單純的賬號密碼實際上被盜風險頗高。今天要講到的兩步驗證，就是進一步提升賬號安全的一個有效手段。顧名思義，兩步驗證就是需要兩個步驟，也就是兩重身份驗證秘鑰來驗證使用者的身份。這樣可以給網絡提供額外的一層保護機制，因為它可以確保在賬號密碼被盜的時候，賬戶依舊安全。

舉個例子，一般情況下，無論是朋友還是網站、軟件，都會告訴你登錄密碼要盡可能設得復雜，比如我們極端一些，密碼采用數字+密碼+特殊字符+大小寫區分的交叉組合，C@3f4#5a6！8N&，且不說能否記住這個密碼，單就復雜程度而言，似乎很安全了吧？然而事實并不是這樣（圖1）。

為什么這樣說？近年來，密碼的失竊，已經發展到了一個全新的階段——拖庫。簡單說拖庫就是黑客利用網站的漏洞進行攻擊并潛入其中，把數據庫中的敏感信息竊取出來。比如黑客在A網站成功實施了拖庫，從中找到A站的用戶賬號信息資料，黑客就可以使用這一套去對B網站、C網站……等等進行撞庫，也就是試著用A站的用戶名密碼登錄——大部分人都是一套用戶名/密碼通行天下，所以即便你的密碼足夠長、足夠復雜，但是這些都是存儲在網站的數據庫中，一旦其中某一個網站被竊，那么看起來再安全的密碼也失去意義了（圖2）。

就拿安全性較高的APPLE ID為例好了。如果你只是單純使用了APPLE ID的賬號密碼，但是沒有開啟兩步驗證，那么別人距離你的密碼其實也就只有一個生日外加兩個問答的距離。突破這一層之后，他能干什么呢？可以重置你的密碼，竊取你同步到云端的隱私信息，包含通訊錄、照片、郵件、短信、通話記錄等等。所以，這就是近年來很多服務提供商都開始推行兩步驗證的根本原因了（圖3）。

什么是兩步驗證

根據驗證的機制，現在驗證的因素主要是三類。第一類是“你自己（Something you are）”，比如指紋、虹膜和面部識別等;第二類是“你擁有的（Something youhave）”難以被復制的實體，如你的手機、實體動態密碼器;第三類就是“你知道的（Something youknow）”，也就是能夠自行記錄的，比如密碼。

而雙因素驗證，則使用至少兩個驗證方式，比如說，一個是“你知道的”密碼，另一個是“你擁有的”如驗證器，手機或USB秘鑰。黑客必須通過不同渠道同時盜取兩個不同機制的因素才能完成竊取動作，這個難度不言而喻。可以說，雙因素驗證必然是兩步驗證，但是，兩步驗證不一定是雙因素驗證。區別就在于，兩步驗證是否使用了三類因素中的兩個不同方式類別。但對于使用者來說，無論如何，兩步驗證也遠遠比單純的賬號密碼要安全許多。如短信驗證碼和電話語音驗證碼都是驗證你是否持有這個手機或者電話來判斷身份。

而使用驗證器驗證，在手機上安裝密碼生成應用程序驗證器（Authenticator），可以生成一個隨著時間變化的一次性密碼，用于賬戶驗證，而且這個應用程序不需要連接網絡即可工作。驗證器使用TOTP（Time-basedOne-timePassword），也稱時間動態口令，是OTP（One-timePassword）的一種，由HOTP（HMAC-BasedOne-TimePassword）演變而來，比如網銀和網絡游戲的實體動態口令牌就是類似原理（圖4）。

兩步驗證如何實現的

前面我們提到，使用驗證器驗證，當用戶開啟驗證服務的時候，服務器就會隨機生成一個密鑰，舉例如“HD45TNF12L655ID79B”，服務器將這個密鑰保存在數據庫中。然后，你看到的網頁會顯示一個二維碼，內容是這個TOTP的密匙。當用戶使用驗證器的客戶端掃描這個TOTP的二維碼密匙時，就會把密鑰“HD45TNF12L655ID79B”保存到客戶端內，此時，該密匙便離線保存在驗證器里了。

接下來，當用戶需要登錄驗證的時候，驗證器的客戶端會每隔一段時間（如30秒）使用密鑰“HD45TNF12L655ID79B”和時間戳通過一種特殊的算法生成一次性動態口令，如“160197”，看起來就是一串普通的驗證數字。用戶此時輸入這個動態口令“160197”并點擊確認，服務器端就會使用已經保存到數據庫中的密鑰“HD45TNF12L655ID79B”時間戳通過一種特殊的算法生成一次性動態口令進行對比校驗，如果兩個動態口令在服務器驗證時一樣，則驗證成功允許登錄。雖然聽起來略為拗口，但這就是兩步驗證的完整運行機制（圖5）。

兩步驗證的優點

顯然，兩步驗證的機制看起來頗為復雜，但是它提供了一個額外的安全保護，而這樣的安全保護機制效果實際上是1+1>2的。但是，兩步驗證也不是沒有缺點，那就是第二個“鑰匙”丟失時，可能會被服務提供商拒之門外，即便你知道這個賬號的賬戶、密碼也無計可施（圖6）。

因此，在設置兩步驗證時，需要注意兩點。第一，需要至少設置兩個“你擁有的”驗證方式，如驗證器驗證碼、短信驗證碼、實體USB秘鑰中的兩個;第二是設置兩步驗證時，會生成一次性登錄碼，也是為了有效地避免被鎖在賬號外。所以務必保存好這個一次性登錄碼。

目前各網站、服務商的二次驗證機制，絕大部分都是基于手機的，銀行、證券客戶端或者部分網游則會提供USB秘鑰的可選服務。所以大體上看，手機是其中非常重要的一環。因此這里要請大家，尤其使用Android手機的用戶特別注意，保持系統隨時更新以避免老版本漏洞，且不要ROOT或越獄，不要隨意借給他人使用。同時開啟必要的應用鎖，如支付寶和微信支付等等。當然手機的鎖屏密碼也不要采用簡單的數字或圖案，Android手機和iPhone鎖屏密碼都應使用復雜密碼而不是6位數字或圖案，或者干脆使用指紋，這些基礎安全措施絕不可以忽略（圖7）。

兩步驗證用什么

目前，大部分提供兩步驗證的網站或者服務有很多，這類兩步驗證應用/身份驗證器的A PP都是遵循TOTP協議的同一套加密算法生成驗證碼的，所以它們完全通用，使用上基本一致。因此，我們也挑選了3個二次驗證的APP給讀者選擇使用。

Authy

Authy是一款完全免費的兩步驗證，而且支持iOS/Android/Windows/macOS多系統，并且提供了Chrome瀏覽器插件。更為重要的是它可以備份數據，并支持跨設備同步，也就是說這一個APP就能通行全部支持TOTP兩步驗證的網站了，非常方便。值得注意的是，為了確保安全，Authy在任何新設備上登錄，它都要求必須接收短信驗證碼，輸入手機號碼和短信驗證碼才可以訪客登錄，此外Authy還支持在每次打開應用都需要驗證指紋或者是手勢及數字密碼，安全性毋庸置疑（圖8）。

1Password

1Password是管理網站登錄和敏感信息的最好應用，它擁有友好的用戶界面，可以在任何時刻在任何設備上使用，包括筆記本電腦、手機甚至智能手表AppleWatch。1Password是一個獨特的密碼管理器，可以為用戶帶來安全和方便。它提供反釣魚保護功能和卓越的密碼管理，并具有自動生成強密碼功能。所有的機密資料，包括密碼、身份卡和信用卡，都是保存在一個安全的地方。1Password支持大多數Web瀏覽器，包括Safari、Camino、OmniWeb、DEVONagent、Firefox、Flock、Fluid和NetNewsWire等主流瀏覽器。所有瀏覽器擴展都共享一個密碼鏈上的存儲數據，這意味著當你從一個瀏覽器跳到另外一個瀏覽器的時候再也不需要手動復制你的密碼。除了這些，新版本同樣也可以支持一次性密碼（TOTP兩步驗證碼）（圖9、圖10）。

微軟身份驗證器

為了讓用戶能夠免密碼安全登錄微軟賬戶或其他網絡賬號，微軟開發了自己的MicrosoftAuthenticator（微軟身份驗證器），類似于“GoogleAuthenticator（谷歌身份驗證器）”，既能夠通過二次驗證安全代碼增強賬戶安全性，又能夠實現免密碼登錄（圖11、圖12）。