热门主题

双重身份验证（2FA）详解：它是什么，以及为什么一个密码还不够

By: WEEX

密码是一种秘密信息，它存在于比大多数人意识到的更多地方。你会在网站上输入密码，在多个账户间重复使用密码，有时密码还会因他人的数据泄露事件而暴露。因此，单靠密码来保护任何有价值的东西都很不可靠。

双重身份验证会增加第二种不同类型的凭据，因此即使密码被盗，攻击者也无法仅凭密码登录。下面将介绍它是什么、常见的第二重验证方式、它为何有帮助，以及它有哪些不足。

什么是双重身份验证

双重身份验证通常简称为 2FA，指通过两种不同类型的证据来证明你的身份。NIST 的数字身份指南介绍了三种身份验证因素：你知道的信息，例如密码；你拥有的东西，例如手机或安全密钥；以及你的生物特征，例如指纹。

两个验证因素必须属于不同类型。NIST 指出，密码和 PIN 不算两个因素，因为它们都属于你知道的信息。你可能还会看到多重身份验证（MFA）或两步验证等称呼。CISA 在日常使用中将这些名称视为含义相同，都是通过额外步骤确认你确实是你所声称的那个人。

最常见的第二重验证方式是一次性验证码，可以通过短信发送，也可以由手机上的身份验证器应用生成。另一种方式是实体安全密钥或通行密钥，它们使用设备内置的密码学技术。指纹或面部扫描也可以发挥作用；NIST 指出，生物识别只能作为多重身份验证的一部分，并且必须与实体设备结合使用。

这些方式的安全性并不相同。根据 CISA 的说法，基于 FIDO 标准的身份验证方式（例如安全密钥和通行密钥）安全性最高，并且能够抵御网络钓鱼。身份验证器应用生成的验证码比短信更安全，但仍可能遭遇网络钓鱼；短信则是常见选项中安全性最低的。详细比较这些方式是另一个话题。

CISA 解释说，密码属于你知道的信息，可能被重复使用、更容易被破解，或遭到盗取。如果多个账户使用同一个密码，一次泄露就可能导致所有这些账户被攻破。启用第二重验证后，即使攻击者拿到了密码，也仍然需要另一项凭据。CISA 表示，这会显著降低账户被黑客入侵的可能性。

CISA 建议在所有提供多重身份验证的地方启用该功能，并优先保护最重要的账户：先是电子邮箱，然后是金融服务账户，再到社交媒体和网店账户。CISA 还建议同时使用强度高且各不相同的密码和密码管理器，因为这两种保护措施可以相互配合。

第二重验证会让账户更难被他人接管，但不能让账户变得坚不可摧。精心伪造的登录页面可以窃取验证码并立即使用；短信也可能遭到拦截或转移，例如通过 SIM 卡交换攻击。因此，选择哪种验证方式很重要；输入任何验证码之前确认自己访问的是真实网站，也是安全保护的一部分。

它也无法保护所有东西。2FA 保护的是通过某项服务登录的账户，但无法保护加密货币钱包的私钥或助记词，因为它们根本不是账户。它也不能取代强度高且独一无二的密码，或在你丢失手机时安全恢复访问权限的方式。

WEEX 提醒用户，在所有提供双重身份验证的地方启用该功能，首先保护电子邮箱和金融账户。请将备用码或恢复码保存在安全的离线位置，并在输入验证码前检查网站地址。切勿向任何人透露一次性验证码或助记词，包括自称客服人员的人，因为正规的服务绝不会索要这些信息。

双重身份验证要求提供两种不同类型的凭据，因此仅凭被盗的密码无法登录。不同第二重验证方式的安全性各异：安全密钥和通行密钥最安全，短信则安全性最低；但任何一种方式都不能取代良好的密码、谨慎的习惯，或对钱包私钥的保护。启用双重身份验证是提高账户被接管难度的最简单方法之一。

1. 什么是双重身份验证？
这是一种登录方式，需要提供两种不同类型的凭据，例如密码加上手机收到的验证码，而不是只用密码登录。

2. 2FA 与 MFA 和两步验证是一回事吗？
日常使用时，这些名称的含义大致相同。严格来说，MFA 指使用不止一种不同类型的验证因素，而 2FA 则恰好使用两种。

3. 双重身份验证能让账户无法被黑客入侵吗？
不能。它会增加接管账户的难度，但伪造的登录页面可能窃取验证码，短信也可能遭到拦截，因此验证方式和你的使用习惯都很重要。

4. 密码加 PIN 算双重身份验证吗？
不算。两者都属于你知道的信息，因此按照 NIST 的指南，它们只算一种验证因素。

5. 应该优先为哪些账户启用双重身份验证？
CISA 建议先保护电子邮箱，然后是金融服务账户，再到社交媒体和网店账户。电子邮箱应优先保护，因为它常被用于重置其他账户的密码。