01 雙因素認(rèn)證，化解密碼安全的危機(jī)

詹妮弗·勞倫斯（Jennifer Lawrence）度過了一個(gè)艱難的周末。2014年的一個(gè)早上，這位奧斯卡金像獎(jiǎng)得主與其他一些名人醒來后發(fā)現(xiàn)，他們最私密的照片正在互聯(lián)網(wǎng)上掀起軒然大波，其中很多是裸體照片。

現(xiàn)在，花點(diǎn)時(shí)間回想一下當(dāng)前保存在你的計(jì)算機(jī)、手機(jī)和電子郵件里的照片。當(dāng)然，其中很多都是完全無害的。就算全世界都看到你那些日落照片、可愛的家庭快照和頭發(fā)亂糟糟的滑稽自拍，對你來說也無關(guān)緊要。但你愿意分享你所有的照片嗎？如果這些照片突然全都出現(xiàn)在網(wǎng)上，你會(huì)怎么想？所有照片都記錄了我們的私密瞬間。我們應(yīng)該能夠決定是否、何時(shí)以及怎樣分享它們，而云服務(wù)并不一定總是我們的最佳選擇。

2014年那個(gè)漫長的周末，媒體上充斥著詹妮弗·勞倫斯的故事。這是被稱為“theFappening”的巨大泄露事件的一部分。在這一事件中，蕾哈娜（Robyn Rihanna Fenty）、凱特·阿普頓（Kate Upton）、凱莉·庫柯（Kaley Cuoco）、阿德里安妮·庫瑞（Adrianne Curry）及其他近300位名人的私密照片被泄露。這些名人中大多是女性，她們的手機(jī)照片通過某種方式被人獲取并共享出來。可以預(yù)見，盡管有些人會(huì)對查閱這些照片感興趣，但對更多人來說，這是一個(gè)讓人不安的警示，因?yàn)檫@樣的事情也可能會(huì)發(fā)生在他們身上。

那些人究竟是如何獲得了詹妮弗·勞倫斯等人的私密照片呢？

這些名人都使用iPhone手機(jī)，人們最早的猜測集中于一次大規(guī)模數(shù)據(jù)泄露，這次泄露影響到了蘋果公司的iCloud服務(wù)，而iCloud是iPhone用戶的一個(gè)云存儲(chǔ)選擇。當(dāng)你的物理設(shè)備存儲(chǔ)空間不足時(shí)，你的照片、新文件、音樂和游戲都會(huì)被儲(chǔ)存到蘋果的服務(wù)器上，而且通常只需要少量月費(fèi)。谷歌也為安卓系統(tǒng)提供了類似的服務(wù)。

幾乎從來不在媒體上評論安全問題的蘋果公司否認(rèn)這是他們的錯(cuò)誤。蘋果公司發(fā)表了一份聲明，稱該事件是一次“對用戶名、密碼和安全問題非常有針對性的攻擊”，該聲明還補(bǔ)充說“在我們調(diào)查過的案例中，沒有一項(xiàng)是由蘋果系統(tǒng)（包括iCloud和‘查找我的iPhone’）的任何漏洞導(dǎo)致的”。

這些照片最早出現(xiàn)在一個(gè)以發(fā)布被泄露照片而出名的黑客論壇上。在那個(gè)論壇上，你可以看到用戶在活躍地討論用于暗中獲取這些照片的數(shù)字取證工具。研究者、調(diào)查者和執(zhí)法人員會(huì)使用這些工具從聯(lián)網(wǎng)設(shè)備或云端獲取數(shù)據(jù)，這通常發(fā)生在一場犯罪之后。當(dāng)然，這些工具也有其他用途。

手機(jī)密碼破解軟件（Elcomsoft Phone Password Breaker，簡稱EPPB）是該論壇中被公開討論的工具之一，該工具的目的是讓執(zhí)法機(jī)構(gòu)和某些其他機(jī)構(gòu)可以進(jìn)入iPhone用戶的iCloud賬號(hào)。而現(xiàn)在，該軟件正在公開銷售。這只是論壇中的眾多工具之一，似乎也是最受歡迎的一個(gè)。EPPB需要用戶首先擁有目標(biāo)iCloud賬號(hào)的用戶名和密碼信息。但對使用這個(gè)論壇的人來說，獲取iCloud用戶名和密碼并不是什么難事。在2014年的那個(gè)周末就發(fā)生了這種事，某人在一家流行的在線代碼托管庫（Github）上發(fā)布了一個(gè)名叫iBrute的工具——這是一種專為獲取iCloud憑證而設(shè)計(jì)的密碼破解系統(tǒng)，幾乎可以用在任何人身上。

同時(shí)使用iBrute和EPPB，就可以冒充受害者本人將其所有云存儲(chǔ)的iPhone數(shù)據(jù)全部備份下載到另一臺(tái)設(shè)備上。這種功能是有用處的，比如當(dāng)你升級你的手機(jī)時(shí)。但這個(gè)功能對攻擊者也很有價(jià)值，他們可以借此查看你在你的移動(dòng)設(shè)備上做過的一切。這會(huì)比僅僅登錄受害者的iCloud賬號(hào)提供更多的信息。

取證顧問和安全研究者喬納森·扎德爾斯基（Jonathan Zdziarski）告訴《連線》雜志，他對凱特·阿普頓等人泄露的照片進(jìn)行了檢查，結(jié)果與使用了iBrute和EPPB的情況一致。取得用于恢復(fù)iPhone的備份能給攻擊者提供大量個(gè)人信息，這些信息之后可能會(huì)被用于敲詐勒索。¹

2016年10月，36歲的賓夕法尼亞州蘭開斯特人瑞安·柯林斯（Ryan Collins）因“未經(jīng)授權(quán)訪問受保護(hù)的計(jì)算機(jī)獲取信息”被判處18個(gè)月監(jiān)禁。他被控非法訪問超過100個(gè)蘋果和谷歌電子郵件賬號(hào)。

你必須設(shè)置一個(gè)強(qiáng)密碼

為了保護(hù)你的iCloud和其他網(wǎng)絡(luò)賬號(hào)，你必須設(shè)置一個(gè)強(qiáng)密碼（strong password）。然而，以我作為滲透測試員（靠入侵計(jì)算機(jī)網(wǎng)絡(luò)和尋找漏洞賺錢的人）的經(jīng)驗(yàn)，我發(fā)現(xiàn)很多人在設(shè)置密碼方面都表現(xiàn)得很懶惰，甚至大公司的高管也是這樣。比如索尼娛樂（Sony Entertainment）的CEO邁克爾·林頓（Michael Lynton）就使用“sonyml3”作為自己的域賬號(hào)密碼。難怪他的電子郵件遭到黑客攻擊并被傳播到了互聯(lián)網(wǎng)上，因?yàn)楣粽咭呀?jīng)獲得了訪問該公司內(nèi)部幾乎所有數(shù)據(jù)的管理員權(quán)限。

除了與你工作相關(guān)的密碼之外，還要注意那些保護(hù)你最私人的賬號(hào)的密碼。即使選擇一個(gè)難以猜測的密碼，也無法阻擋oclHashcat（一種利用圖形處理器即GPU進(jìn)行高速破解的密碼破解工具）這樣的黑客工具破解你的密碼，但這會(huì)讓破解過程變得很慢，足以使攻擊者轉(zhuǎn)向更容易的目標(biāo)。

我們可以大致猜到，2015年7月阿什利·麥迪遜（Ashley Madison）被黑事件曝光的密碼中有一些（包括銀行賬號(hào)甚至辦公電腦密碼）肯定也被用在了其他地方。在網(wǎng)上貼出的1 100萬個(gè)阿什利·麥迪遜密碼的列表中，最常見的是“123456”“12345”“password”“DEFAULT”“123456789”“qwe rty”“12345678”“abc123”“1234567”。如果你在這里看到了自己的密碼，那么你就很可能遭遇數(shù)據(jù)泄露，因?yàn)檫@些常見密碼都被包含在了網(wǎng)上大多數(shù)可用的密碼破解工具包中。你可以隨時(shí)在www.haveibeenpwned.com網(wǎng)站上查看你的賬號(hào)過去是否暴露過。

在21世紀(jì)，我們可以做得更好。我的意思是要好得多，這要用到更長和更復(fù)雜的字母與數(shù)字搭配。這可能聽起來很難，但我會(huì)向你展示能做到這一點(diǎn)的一種自動(dòng)方法和一種手動(dòng)方法。

最簡單的方法是放棄自己創(chuàng)造密碼，直接自動(dòng)化這個(gè)過程。市面上已經(jīng)有一些數(shù)字密碼管理器了。它們不僅可以將你的密碼保存在一個(gè)加鎖的保險(xiǎn)箱中，還允許你在需要它們的時(shí)候一鍵訪問，甚至可以在你需要時(shí)為每個(gè)網(wǎng)站生成一個(gè)新的、安全性非常強(qiáng)的獨(dú)特密碼。

但要注意，這種方法存在兩個(gè)問題。一是密碼管理器需要使用一個(gè)主密碼進(jìn)行訪問。如果某人剛好用某種惡意軟件侵入了你的計(jì)算機(jī)，而這個(gè)惡意軟件可以通過鍵盤記錄器（keylogging，一種能記錄你的每一次按鍵的惡意軟件）竊取你的密碼數(shù)據(jù)庫和你的主密碼，那你就完蛋了。然后那個(gè)人就會(huì)獲得你的所有密碼。在參與滲透測試期間，我有時(shí)候會(huì)使用一個(gè)修改過的版本來替代密碼管理器（當(dāng)該密碼管理器開源時(shí)），該版本會(huì)將主密碼發(fā)送給我們。在我們獲得客戶網(wǎng)絡(luò)的管理員權(quán)限之后，這個(gè)工作就完成了。然后我們就可以使用所有的專用密碼了。換句話說，我們可以使用密碼管理器作為后門，獲取進(jìn)入王國的鑰匙。

另一個(gè)問題相當(dāng)明顯：如果丟失了主密碼，你就丟失了你所有的密碼。最終來看，這并無大礙，因?yàn)槟憧梢噪S時(shí)在每個(gè)網(wǎng)站上進(jìn)行密碼重置，但如果你有很多賬號(hào)，操作起來就會(huì)非常麻煩。

盡管有這些問題，但下面的小竅門應(yīng)該也足以保證你的密碼安全。

首先，你應(yīng)該使用很長的強(qiáng)密碼短語（strong passphrase）——至少有20個(gè)或至少有25個(gè)字符，而不是簡單的密碼。隨機(jī)字符效果最好，比如ek5iogh#skf&skd。不幸的是，人類的大腦難以記憶隨機(jī)序列。所以就使用密碼管理器吧，使用密碼管理器比自己選擇密碼要好得多。我傾向于使用開源的密碼管理器，比如Password Safe和KeePass，它們只會(huì)將數(shù)據(jù)儲(chǔ)存在你的本地計(jì)算機(jī)上。

另一個(gè)重要的規(guī)則是，永遠(yuǎn)不要為兩個(gè)不同的賬號(hào)使用相同的密碼。如今，基本上做任何事都需要密碼，所以就讓密碼管理器來幫你生成和保存獨(dú)一無二的強(qiáng)密碼吧。

即使你有強(qiáng)密碼，仍然有技術(shù)可以打敗你，比如John the Ripper這樣的密碼猜測程序。這款任何人都可以下載的免費(fèi)開源程序可以根據(jù)用戶配置的參數(shù)進(jìn)行工作²。比如，用戶可以指定嘗試多少個(gè)字符、是否使用特殊符號(hào)、是否包括外語集合等。John the Ripper和其他密碼破解器可以使用規(guī)則集來排列密碼字符，從而非常有效地破解密碼。簡而言之，它會(huì)嘗試參數(shù)設(shè)定之內(nèi)的所有可能的數(shù)字、字母和符號(hào)組合，直到成功破解你的密碼。幸運(yùn)的是，大多數(shù)人都不用對抗擁有近乎無限時(shí)間和資源的國家機(jī)關(guān)。我們更有可能要對抗配偶、親戚或某個(gè)我們真正惹惱了的人，而在面對一個(gè)有25個(gè)字符的密碼時(shí)，他們不會(huì)有時(shí)間和資源來成功破解。

用隱晦的方式把密碼寫下來

假設(shè)你想按傳統(tǒng)的方式創(chuàng)建密碼，并且你選擇了一些非常強(qiáng)的密碼。你猜怎么著？你完全可以把它們寫下來，只要?jiǎng)e寫成“美國銀行：4the1sttimein4ever*”就行。這實(shí)在太明顯了。你可以用某種隱晦的方式來表示你的銀行名稱等信息，比如使用“餅干罐”（因?yàn)橛行┤嗽?jīng)把他們的錢藏在餅干罐里面），然后再加上“4the1st”。注意，我沒有寫完這個(gè)短語。你也不需要寫完。你知道這個(gè)短語的其余部分，但其他人可能不知道。

將這個(gè)不完整密碼的列表打印出來應(yīng)該足以迷惑任何找到這個(gè)列表的人，至少一開始會(huì)迷惑他們。說個(gè)趣事：有一次我在一個(gè)朋友家，他是一位非常知名的微軟公司的員工。吃晚餐時(shí)，我們與他的妻子和孩子討論了密碼的安全性。我朋友的妻子起身走向了電冰箱。她把自己所有的密碼都寫在了一張紙上，并且用磁鐵將其貼到了電冰箱門上。我的朋友只是搖了搖頭，我咧嘴一笑。把密碼寫下來可能不是一種完美的方案，但忘掉那些不常用的強(qiáng)密碼也不好。

密碼字符最好超過25位

銀行等機(jī)構(gòu)的網(wǎng)站會(huì)在幾次（通常是3次）密碼輸入錯(cuò)誤之后鎖定用戶。但仍然有很多網(wǎng)站不會(huì)這樣做。不過，就算一個(gè)網(wǎng)站在3次嘗試失敗之后會(huì)鎖定用戶，也無法阻擋那些壞人，因?yàn)檫@并不是他們使用John the Ripper或oclHashcat的方式。（順便說一下，oclHashcat會(huì)將入侵過程分布到多個(gè)GPU上進(jìn)行，這比John the Ripper要強(qiáng)大得多。）而且在一個(gè)真實(shí)的網(wǎng)站上，黑客實(shí)際上并不會(huì)嘗試每一個(gè)可能的密碼。

假設(shè)已經(jīng)出現(xiàn)了一起數(shù)據(jù)泄露事件，在其數(shù)據(jù)轉(zhuǎn)儲(chǔ)中包含用戶名和密碼。但從這次數(shù)據(jù)泄露中檢索到的密碼基本上都是毫無意義的。

這將如何幫助其他人入侵你的賬號(hào)呢？

無論是解鎖你的筆記本電腦還是登錄一個(gè)在線服務(wù)，不管什么時(shí)候你輸入了密碼，這個(gè)密碼都會(huì)通過一個(gè)被稱為哈希函數(shù)（hash function）的單向算法傳遞。這不同于加密。加密是雙向的：只要你有密鑰，就可以加密和解密。而哈希是一種表示特定字符串的指紋。理論上而言，單向算法無法逆向進(jìn)行，至少不容易進(jìn)行。

存儲(chǔ)在你的傳統(tǒng)個(gè)人電腦（PC）、移動(dòng)設(shè)備或云賬號(hào)的密碼數(shù)據(jù)庫中的內(nèi)容并非“MaryHadALittleLamb123$”這種形式，而是哈希值，這是一種由數(shù)字和字母構(gòu)成的序列。這個(gè)序列是一個(gè)表示密碼的令牌。

實(shí)際上，存儲(chǔ)在我們的計(jì)算機(jī)里受保護(hù)的存儲(chǔ)器中的正是這種密碼哈希，而非密碼本身；目標(biāo)系統(tǒng)遭到破壞時(shí)攻擊者獲得的數(shù)據(jù)，或數(shù)據(jù)泄露發(fā)生時(shí)被泄露的數(shù)據(jù)也是密碼哈希。一旦攻擊者獲得了這些密碼哈希，就可以使用John the Ripper或oclHashcat等各種各樣公開可用的工具來破解這些哈希并獲得真正的密碼，方法既有暴力破解（嘗試每一個(gè)可能的字母數(shù)字組合），也有嘗試一個(gè)詞列表（比如一個(gè)詞典）中的每個(gè)詞。John the Ripper或oclHashcat讓攻擊者可以基于多個(gè)規(guī)則集修改要嘗試的詞，比如名叫l(wèi)eetspeak的規(guī)則集是一個(gè)用數(shù)字替代字母的系統(tǒng)，如“k3v1n m17n1ck”。這個(gè)規(guī)則會(huì)將所有密碼變成各種leetspeak排列。使用這些方法破解密碼比簡單的暴力破解要高效得多。最簡單和最常見的密碼也是最容易被破解的，然后隨著時(shí)間推移，更復(fù)雜的密碼也會(huì)被破解。破解所需的時(shí)間長短取決于多種因素。如果同時(shí)使用密碼破解工具以及你泄露的用戶名和哈希密碼，攻擊者也許可以通過嘗試與你的電子郵箱地址或其他身份標(biāo)識(shí)相連接的其他網(wǎng)站的密碼，來獲取你的一個(gè)或多個(gè)賬號(hào)的權(quán)限。

一般而言，你的密碼字符越多，John the Ripper等密碼猜測程序運(yùn)行所有可能的變體所需的時(shí)間就越長。隨著計(jì)算機(jī)處理器的速度越來越快，計(jì)算所有可能的6位甚至8位字符密碼的時(shí)間也變得越來越短。這就是我建議使用25位或更多字符作為密碼的原因。

密碼、圖案、指紋，哪個(gè)才能保護(hù)好你的移動(dòng)設(shè)備

創(chuàng)造出強(qiáng)密碼后，其中很多是你永遠(yuǎn)不會(huì)告訴別人的。這似乎是顯而易見的事情，但在倫敦和其他主要城市進(jìn)行的一些調(diào)查表明：人們會(huì)用密碼來換取筆或巧克力這些微不足道的東西。

我有一個(gè)朋友曾經(jīng)把自己的奈飛（Netflix）密碼分享給了他的女朋友。那時(shí)候這么做是有理由的。讓女朋友選擇一部兩人一起觀看的電影會(huì)令她很高興。但在奈飛電影推薦部分還留著“因?yàn)槟憧催^……”而推薦的電影，其中就包括他和前女友們看過的那些。比如他自己就不會(huì)訂閱電影《牛仔褲的夏天》（The Sisterhood of the Traveling Pants），而他的女朋友知道這一點(diǎn)。

當(dāng)然，每個(gè)人都有前任。你可能會(huì)懷疑你是否在和一個(gè)沒有前任的人談戀愛。但每個(gè)女朋友都不愿意看到那些在她之前已經(jīng)離開的人留下的證據(jù)。

如果你用密碼保護(hù)著你的網(wǎng)絡(luò)服務(wù)，那么你也應(yīng)該用它來保護(hù)你的各種設(shè)備。大多數(shù)人都有筆記本電腦，而且許多人仍然擁有臺(tái)式機(jī)。現(xiàn)在你可能一個(gè)人在家，但一會(huì)兒晚餐時(shí)會(huì)不會(huì)來客人呢？為什么要冒險(xiǎn)讓別人只需坐在你的桌子前動(dòng)動(dòng)鼠標(biāo)，就可以訪問你的文件、照片和游戲呢？再補(bǔ)充一個(gè)關(guān)于奈飛的警示故事：在奈飛主要租賃DVD的時(shí)代，我知道有一對夫婦被惡搞了。在家里的一次聚會(huì)上，他們登錄了奈飛賬號(hào)的瀏覽器一直開著。后來，這對夫婦通過郵件收到了各種各樣粗制濫造的B級片和C級片，才發(fā)現(xiàn)這些電影已被添加到了他們的隊(duì)列中。

在辦公室里保護(hù)你的密碼甚至更加重要。想象一下你被臨時(shí)叫去開會(huì)的情況?？赡軙?huì)有人走到你的辦公桌前，來看看下一季度預(yù)算的表格，或者你收件箱里的所有電子郵件。除非你有一個(gè)設(shè)置了密碼保護(hù)的屏保，并且讓它在幾秒鐘沒有操作之后就自動(dòng)開啟，否則還可能出現(xiàn)更加糟糕的情況——不管什么時(shí)候，你離開桌子一大段時(shí)間（外出午餐或長時(shí)間開會(huì)），某人都有可能坐在你的桌子前，冒充你寫了一封郵件發(fā)出去，甚至篡改了你下一季度的預(yù)算。

為了防止這種事發(fā)生，有一些具有創(chuàng)造性的新方法可用，比如使用藍(lán)牙的鎖屏軟件可以驗(yàn)證你是否在電腦旁邊。換句話說，如果你去洗手間時(shí)，你的手機(jī)離開了藍(lán)牙的連接范圍，你的電腦就會(huì)立即鎖定。使用其他藍(lán)牙設(shè)備也能做到這一點(diǎn)，比如手環(huán)或智能手表。

創(chuàng)建密碼來保護(hù)網(wǎng)絡(luò)賬號(hào)和服務(wù)當(dāng)然很好，但如果有人取得了你的物理設(shè)備，密碼也就無濟(jì)于事了，尤其是當(dāng)你的網(wǎng)絡(luò)賬號(hào)處于開啟狀態(tài)時(shí)。所以如果你只能用密碼保護(hù)一套設(shè)備，那就應(yīng)該保護(hù)你的移動(dòng)設(shè)備，因?yàn)檫@些設(shè)備是最容易丟失或被盜竊的。然而，美國《消費(fèi)者報(bào)告》（Consumer Reports）發(fā)現(xiàn)，34%的美國人根本沒使用任何安全措施來保護(hù)他們的移動(dòng)設(shè)備，比如使用簡單的4位數(shù)字PIN碼⁽⁴⁾來鎖定屏幕。

2014年，加利福尼亞州馬丁內(nèi)斯的一名警察承認(rèn)自己從一個(gè)酒駕嫌疑人的手機(jī)里竊取了私密照片，這顯然違反了美國憲法《第四修正案》。³具體來說，《第四修正案》禁止在沒有法官簽發(fā)的許可和可靠證據(jù)支持的情況下進(jìn)行不合理的搜查和扣押。比如，執(zhí)法人員如果想要訪問你的手機(jī)，就必須先說明理由。

如果你還沒用密碼保護(hù)你的移動(dòng)設(shè)備，現(xiàn)在就花點(diǎn)時(shí)間把它設(shè)置好。我是認(rèn)真的。

不管是安卓、iOS還是其他什么系統(tǒng)，鎖定手機(jī)的常用方法有三種。最常見的是鎖屏密碼，這是一串可以按特定順序輸入而解鎖手機(jī)的數(shù)字。不要使用手機(jī)推薦的數(shù)字位數(shù)，應(yīng)該在你的設(shè)置里面手動(dòng)配置更強(qiáng)的密碼——可以是你想要的7位數(shù)字（就像童年時(shí)的電話號(hào)碼），必須使用4位以上的數(shù)字。

一些移動(dòng)設(shè)備允許選擇基于文本的鎖屏密碼，再次強(qiáng)調(diào)：選擇至少7個(gè)字符?，F(xiàn)代移動(dòng)設(shè)備可以在同一屏幕上同時(shí)顯示數(shù)字和字母鍵，讓兩者之間的切換簡單了許多。

另一個(gè)鎖屏選項(xiàng)是圖案鎖。2008年以來，安卓手機(jī)配備了一個(gè)被稱為安卓鎖定圖案（ALP）的功能。屏幕上顯示9個(gè)點(diǎn)，你可以以任何想要的順序來連接它們；這個(gè)連接序列就是你的密碼。你或許認(rèn)為這個(gè)功能非常巧妙，而且可能的組合方式非常多，可以讓你的序列無法被破解。但在2015年的PasswordsCon大會(huì)上，研究者報(bào)告稱，在一項(xiàng)調(diào)查中，參與者在鎖定圖案的140 704種可能的圖案組合中僅選擇了少數(shù)幾種可能的圖案——這就是人類的本性啊。而這些可預(yù)測的圖案又是怎樣的呢？往往是用戶名字的第一個(gè)字母。這項(xiàng)調(diào)查還發(fā)現(xiàn)，人們往往會(huì)使用中間的點(diǎn)，而不是邊角的4個(gè)點(diǎn)。下次你設(shè)置鎖定圖案的時(shí)候，一定要好好考慮一下。

最后，還有生物識(shí)別鎖。蘋果、三星等手機(jī)制造商現(xiàn)在允許消費(fèi)者選擇使用指紋掃描器來解鎖手機(jī)。請注意，這并非萬無一失的。在Touch ID發(fā)布之后，研究者以為蘋果改進(jìn)了已經(jīng)上市銷售的大量指紋掃描器，結(jié)果他們非常驚訝地發(fā)現(xiàn)，一些攻破指紋掃描器的老方法對iPhone仍然有效，其中包括在干凈的表面上使用嬰兒爽身粉和透明膠帶來獲取指紋。

還有其他手機(jī)可以使用內(nèi)置攝像頭來對主人進(jìn)行人臉識(shí)別。然而，在攝像頭前面放一張主人的高分辨率照片，這種方法就會(huì)被破解。

一般而言，生物特征識(shí)別方法本身很容易受到攻擊。理想情況下，生物特征應(yīng)該僅被用作一種認(rèn)證因素。先滑動(dòng)你的指尖或?qū)χ鴶z像頭微笑，然后輸入PIN碼或鎖屏密碼。這應(yīng)該能保證你的移動(dòng)設(shè)備的安全。

如何設(shè)置安全問題

如果你創(chuàng)建了一個(gè)強(qiáng)密碼但沒有把它寫下來，又該如何是好？當(dāng)你完全無法訪問一個(gè)不常用的賬號(hào)時(shí)，密碼重置能幫上大忙。但對潛在的攻擊者而言，這也可能是容易攻破的薄弱點(diǎn)。使用我們留在互聯(lián)網(wǎng)上各種社交媒體個(gè)人資料中的線索，黑客可以簡單地通過重置密碼來獲取我們的電子郵箱以及其他服務(wù)的權(quán)限。

新聞里曾報(bào)道過這樣一次攻擊。這次攻擊涉及獲取目標(biāo)信用卡號(hào)的最后4位數(shù)字，然后將其用作身份證明，并要求服務(wù)提供商修改授權(quán)的電子郵箱地址。通過這種方式，攻擊者可以在賬號(hào)的合法所有者不知情的情況下重置密碼。

2008年時(shí)，田納西大學(xué)的學(xué)生大衛(wèi)·科納爾（David Kernell）決定試試看能否拿下副總統(tǒng)候選人薩拉·佩林（Sarah Palin）的個(gè)人雅虎電子郵箱賬號(hào)。⁴科納爾本來可以猜幾個(gè)密碼，但試錯(cuò)幾次之后可能會(huì)讓該賬號(hào)鎖定登錄。于是他使用了密碼重置功能，后來他形容這個(gè)過程“很輕松”。⁵

我敢肯定，我們都收到過來自朋友和親戚的奇怪電子郵件，里面竟然包含外國色情網(wǎng)站的鏈接，之后我們才知道，原來朋友的電子郵箱賬號(hào)被人盜用了。這些電子郵箱被盜用的原因往往是保護(hù)該賬號(hào)的密碼不夠強(qiáng)。要么是某人已經(jīng)知道了密碼（通過數(shù)據(jù)泄露），要么是攻擊者使用了密碼重置功能。

當(dāng)我們開始建立一個(gè)電子郵箱或銀行賬戶等賬號(hào)時(shí)，可能要回答一些安全問題。這樣的問題通常有3個(gè)，還會(huì)有一個(gè)列出建議問題的下拉菜單，這樣你就可以選擇你想回答的問題。你的選擇通常很明顯。

你的出生地是哪里？你在哪里上的高中？在哪里上的大學(xué)？還有人們偏愛的“你母親的娘家姓”，顯然，至少從1882年以來⁽⁵⁾，它就一直被用作一個(gè)安全問題。⁶正如我將在下面討論的那樣，很多公司可以，而且確實(shí)在掃描互聯(lián)網(wǎng)并收集個(gè)人信息，使得回答這些基本安全問題易如反掌。一個(gè)人在互聯(lián)網(wǎng)上花幾分鐘時(shí)間，就很可能回答出一個(gè)給定個(gè)人的所有安全問題。

直到最近，這些安全問題才有了一定程度的改進(jìn)。比如，“你的連襟出生于哪個(gè)州”就相當(dāng)不同，但正確回答這些“好”問題本身就可能帶有風(fēng)險(xiǎn)，下面我會(huì)談到這一點(diǎn)。許多所謂的安全問題仍然太過簡單，比如“你父親的家鄉(xiāng)是哪里”。

一般而言，設(shè)置這些安全問題時(shí)，應(yīng)該盡量避免下拉菜單中提供的最明顯的建議。即使該網(wǎng)站只包含基本的安全問題，也要有創(chuàng)意一點(diǎn)。沒人要求你只提供簡單干脆的答案。你可以耍點(diǎn)小聰明。比如，對你的流媒體視頻服務(wù)而言，也許你最喜歡的顏色是什錦水果繽紛色。誰能猜到這個(gè)答案？這是個(gè)顏色，對吧？不管你用作答案的內(nèi)容是什么，它都是這個(gè)安全問題的“正確”答案。

每次當(dāng)你提供了創(chuàng)意答案時(shí)，一定要把問題和答案都寫下來，放在安全的地方（或者就用一個(gè)密碼管理器來保存你的問題和答案）。之后你可能會(huì)有需要技術(shù)支持的時(shí)候，這時(shí)，一位客服代表會(huì)問你一個(gè)安全問題。準(zhǔn)備一張便利貼或在你的錢包里放一張卡片（或記住并始終使用一組相同的問答）來幫助你記憶“你的出生地是哪里”的正確答案是“在一家醫(yī)院里”。之后，如果有人在網(wǎng)上搜索你的信息并嘗試“俄亥俄州哥倫布市”這種更合理的答案，那么這種簡單的概念混淆會(huì)讓他束手無策。

誠實(shí)地回答非常特定的安全問題還存在額外的隱私風(fēng)險(xiǎn)：除了網(wǎng)上已有的那么多個(gè)人信息外，你還在貢獻(xiàn)更多個(gè)人信息。比如說，“你的連襟出生于哪個(gè)州”的真實(shí)答案可能會(huì)被你提供答案的網(wǎng)站賣掉，然后這些信息可能會(huì)和其他信息結(jié)合起來，或用于填補(bǔ)缺失的信息。比如，根據(jù)這個(gè)關(guān)于連襟的答案，人們可以推斷出你結(jié)了婚或結(jié)過婚，并且你的配偶或前任有男性兄弟，或者有姐妹與一個(gè)男性結(jié)婚，而這個(gè)男性就出生在你答案里的那個(gè)州。從一個(gè)簡單的答案就能得到這么多額外信息。另一方面，如果你沒有連襟，那就創(chuàng)造性地回答這個(gè)問題吧，答案也許是“波多黎各”。這應(yīng)該會(huì)迷惑任何想要?jiǎng)?chuàng)建你的個(gè)人資料的人。提供的不相關(guān)信息越多，你在網(wǎng)上的隱身效果就越好。

回答這些相對不常見的問題時(shí)，你始終要考慮這些網(wǎng)站對于你的價(jià)值有多大。比如說，你也許信任你的銀行，允許它們擁有這些額外的個(gè)人信息，卻并不信任你的流媒體視頻服務(wù)。另外，還要考慮這個(gè)網(wǎng)站的隱私政策是什么樣的：其中可能有說明或暗示網(wǎng)站會(huì)向第三方銷售其收集到的信息的內(nèi)容，找到它們。

重置薩拉·佩林的雅虎電子郵箱賬號(hào)密碼需要她的出生日期、郵政編碼和安全問題“你在哪里認(rèn)識(shí)了你的丈夫”的答案。佩林的出生日期和郵政編碼可以很容易地在網(wǎng)上找到（那時(shí)候佩林是阿拉斯加州的州長）。那個(gè)安全問題需要多花一點(diǎn)功夫，但科納爾還是能夠找到答案。佩林在很多采訪中都提到丈夫是她的高中同學(xué)。事實(shí)證明，這正是她的安全問題的正確答案：高中校名。

科納爾猜到了佩林的安全問題的答案，從而能夠重置她的雅虎郵箱密碼，進(jìn)而控制這個(gè)郵箱。這讓他能看到她所有私人的電子郵件。她的收件箱的一張截圖被貼到了一個(gè)黑客網(wǎng)站上。除非佩林重置密碼，否則她將無法登錄自己的電子郵箱。

科納爾的所作所為違法了，違反了美國《計(jì)算機(jī)欺詐和濫用法》（Computer Fraud and Abuse Act）。具體來說，他被認(rèn)定犯了兩項(xiàng)罪：通過銷毀記錄預(yù)先妨礙司法公正，這是一項(xiàng)重罪；未經(jīng)授權(quán)訪問計(jì)算機(jī)，這是一項(xiàng)輕罪。他于2010年被判處一年零一天的監(jiān)禁，外加三年的監(jiān)外看管。

如果你的電子郵箱賬號(hào)像佩林的一樣被人接管了，你應(yīng)該這么做：

?　首先，你需要使用密碼重置選項(xiàng)修改你的密碼（是的，你也猜得到該這么做）。新密碼要像我前面建議的那樣使用強(qiáng)密碼。

?　其次，檢查發(fā)件箱，看看有什么東西以你的名義發(fā)出去了。你可能會(huì)看到有一條垃圾信息被發(fā)送給了很多人，甚至是你所有的聯(lián)系人?，F(xiàn)在你知道為什么這些年來你的朋友總在給你發(fā)送垃圾郵件了吧，因?yàn)橛腥私俪至怂麄兊碾娮余]箱賬號(hào)。

另外，還要檢查是否有人將自己添加到了你的賬號(hào)中。之前我們談到過多個(gè)電子郵箱賬號(hào)的郵件轉(zhuǎn)發(fā)。那么，進(jìn)入了你電子郵箱服務(wù)的攻擊者也可能將你的全部郵件都轉(zhuǎn)發(fā)到了他的郵箱。也許你仍然能正常查看你的郵件，但這個(gè)攻擊者也能看到。如果某人將他自己加入到你的賬號(hào)中，你要立即刪除這個(gè)轉(zhuǎn)發(fā)電子郵箱地址。

雙因素認(rèn)證，截至目前最安全的解決方案

密碼和PIN碼是安全解決方案的一部分，但我們剛剛也看到了，這些可以被猜出來。比復(fù)雜密碼更好的方法是雙因素認(rèn)證（two-factor authentication）。事實(shí)上，詹妮弗·勞倫斯等名人的私密照片出現(xiàn)在互聯(lián)網(wǎng)上之后，蘋果的應(yīng)對措施就是為iCloud服務(wù)啟用了雙因素認(rèn)證，即2FA。

什么是2FA？

當(dāng)嘗試認(rèn)證一位用戶的身份時(shí)，網(wǎng)站或應(yīng)用要查證3個(gè)東西中的至少2個(gè)。通常這些東西是指你擁有的東西、你知道的東西和你是誰?！澳銚碛械臇|西”可以是磁條式或芯片式的信用卡、借記卡；“你知道的東西”往往是PIN碼或安全問題的答案；而“你是誰”包含了生物特征識(shí)別——指紋掃描、面部識(shí)別、聲音識(shí)別等。這些東西越多，越能夠確定你就是你自稱的那個(gè)用戶。

這聽起來像是新技術(shù)，其實(shí)并不是。40多年來，大多數(shù)人都一直在使用2FA，只是我們沒有意識(shí)到罷了。

每當(dāng)你使用ATM時(shí)，你就在使用2FA。這怎么可能？你有一張銀行簽發(fā)的卡（你擁有的東西）和一個(gè)PIN碼（你知道的東西）。當(dāng)你將它們放到一起時(shí)，街上的無人ATM就知道你想進(jìn)入這張卡所認(rèn)證的賬號(hào)。在一些國家，ATM認(rèn)證還有其他方法，比如面部識(shí)別和掌紋識(shí)別。這被稱為多因素認(rèn)證（multifactor authentication，簡稱MFA）。

在網(wǎng)上也能實(shí)現(xiàn)類似的認(rèn)證方法。很多金融、醫(yī)療機(jī)構(gòu)、商業(yè)電子郵箱和社交媒體賬號(hào)都允許用戶選擇2FA。在這種情況下，你知道的東西是你的密碼，你擁有的東西是你的手機(jī)。使用你的手機(jī)獲取這些網(wǎng)站的權(quán)限被認(rèn)為是“帶外”⁽⁶⁾的，因?yàn)檫@部手機(jī)沒有連接到你正在使用的計(jì)算機(jī)。但如果你啟動(dòng)了2FA，而攻擊者手里沒有你的移動(dòng)設(shè)備，他就無法訪問你用2FA保護(hù)的賬號(hào)。

假如說你在使用Gmail。要啟用2FA，你會(huì)被要求在Gmail網(wǎng)站上輸入你的手機(jī)號(hào)碼。為了驗(yàn)證你的身份，谷歌會(huì)給你的手機(jī)發(fā)送一條包含6位數(shù)字代碼的短信。然后，在Gmail網(wǎng)站上輸入這個(gè)代碼，你就確認(rèn)了這臺(tái)計(jì)算機(jī)和那個(gè)手機(jī)號(hào)碼是關(guān)聯(lián)的。

之后，如果有人試圖用一臺(tái)新的計(jì)算機(jī)或其他設(shè)備修改你的賬號(hào)密碼，就會(huì)有一條短信發(fā)送到你的手機(jī)上。只有在該網(wǎng)站上輸入了正確的驗(yàn)證碼之后，才能保存對你的賬號(hào)的任何更改。

但這也并非萬無一失。據(jù)賽門鐵克（Symantec，著名網(wǎng)絡(luò)安全技術(shù)公司）的研究者稱，就算你使用了短信來驗(yàn)證身份，如果你不夠小心，某個(gè)恰好知曉你電話號(hào)碼的人也可以通過一些社會(huì)工程⁽⁷⁾盜取你的2FA保護(hù)的密碼重置代碼。

假設(shè)我想盜用你的電子郵箱賬號(hào)，卻不知道你的密碼。但我知道你的手機(jī)號(hào)碼，因?yàn)槲铱梢酝ㄟ^谷歌輕松找到。在這種情況下，我可以進(jìn)入你的電子郵箱密碼重置頁面，然后請求重置密碼，因?yàn)槟銌?dòng)了2FA，你的手機(jī)就會(huì)收到一條短信驗(yàn)證碼。到目前為止都還沒什么問題，對吧？別急。

政治活動(dòng)家德雷·麥克森（DeRay Mckesson）使用的一部手機(jī)就遭到過攻擊，這一事件表明了壞人是如何欺騙你的移動(dòng)運(yùn)營商更換SIM卡的。換句話說，攻擊者可以劫持你的蜂窩通信服務(wù)，然后接收你的短信——比如這條來自谷歌的、用來重置麥克森的Gmail賬號(hào)的短信驗(yàn)證碼，盡管他的賬號(hào)使用了2FA進(jìn)行保護(hù)。比起讀出某人帶有新密碼的短信來愚弄他，這種情況發(fā)生的可能性要高得多。當(dāng)然，讓別人讀短信也是可能的，這涉及社會(huì)工程。

因?yàn)槲覠o法看到你的電子郵箱提供商發(fā)送到你手機(jī)上的驗(yàn)證碼，所以我需要假裝是其他人，然后把驗(yàn)證碼騙過來。比如，在你收到了谷歌發(fā)送的真短信的幾秒鐘后，作為攻擊者的我可以發(fā)送一條一次性短信，說：“谷歌檢測到您的賬號(hào)存在異?；顒?dòng)。請回復(fù)發(fā)送到您的移動(dòng)設(shè)備上的代碼，以阻止未經(jīng)授權(quán)的活動(dòng)?！?/p>

你會(huì)看到這個(gè)，是的，你確實(shí)收到了一條來自谷歌的、包含合法驗(yàn)證碼的短信，但如果你不夠謹(jǐn)慎，你可能就會(huì)把包含那個(gè)驗(yàn)證碼的信息回復(fù)給我。我有不到60秒的時(shí)間來輸入這個(gè)驗(yàn)證碼。現(xiàn)在，我已經(jīng)有了密碼重置頁面上需要填寫的一切，然后就可以修改你的密碼，取得你的電子郵箱賬號(hào)或其他任何賬號(hào)的權(quán)限。

因?yàn)槎绦糯a未被加密，所以我可以通過剛才描述的方式來獲得它。你也可以使用一種更加安全的2FA方法，即從Google Play或iTunes應(yīng)用商店（為了在iPhone上使用）下載谷歌身份驗(yàn)證器（Google Authenticator）。這個(gè)應(yīng)用可以在你每次訪問需要2FA的網(wǎng)站時(shí)生成一個(gè)獨(dú)特的授權(quán)碼——所以不會(huì)發(fā)送短信。生成的6位數(shù)字碼與網(wǎng)站用于授權(quán)訪問的認(rèn)知機(jī)制是同步的。但是，谷歌身份驗(yàn)證器會(huì)把你的一次性密碼種子存儲(chǔ)在Apple Keychain中，并且設(shè)置為“僅限該設(shè)備”。這意味著，當(dāng)你為了升級或更換丟失的手機(jī)而將你的iPhone備份并還原到另一臺(tái)設(shè)備上時(shí)，你的谷歌身份驗(yàn)證器代碼將無法用于新設(shè)備，而重新設(shè)置它們是很麻煩的。為了應(yīng)對可能更換物理設(shè)備的情況，你應(yīng)該記得打印一些緊急代碼?，F(xiàn)在，有些應(yīng)用允許你備份、還原你的一次性密碼種子，可以為你免除這樣的麻煩，你可以試試看。

一旦你注冊了一臺(tái)設(shè)備，就可以使用該設(shè)備繼續(xù)登錄該網(wǎng)站，多長時(shí)間都行，甚至將你的筆記本電腦或手機(jī)帶到另一個(gè)地方也無妨；除非你特別勾選了信任該計(jì)算機(jī)30天的選項(xiàng)（如果有的話），那樣你就會(huì)被提示輸入新的訪問代碼。然而，如果你使用另一臺(tái)設(shè)備——比如借用了你配偶的計(jì)算機(jī)，你就會(huì)被要求提供更多認(rèn)證。無須多言，如果你使用了2FA，那就時(shí)刻把手機(jī)帶在身邊吧。

給每個(gè)人的建議

考慮到有這么多預(yù)防措施，你可能想知道，我會(huì)給那些在網(wǎng)上做各種金融交易的人提供些什么建議。

每年大約只需100美元，在你控制下的多達(dá)3臺(tái)計(jì)算機(jī)就會(huì)得到反病毒和防火墻保護(hù)。在網(wǎng)上沖浪時(shí)，你會(huì)遇到的麻煩可能是你的瀏覽器加載了一個(gè)帶有惡意軟件的橫幅廣告，或者你打開了一封帶有惡意軟件的電子郵件。只要你的計(jì)算機(jī)常常聯(lián)網(wǎng)，就有可能以這樣或那樣的方式受到感染，而你的反病毒產(chǎn)品可能無法應(yīng)對網(wǎng)上存在的一切。

所以我推薦你花大概200美元，給自己買一臺(tái)Chromebook。我喜歡iPad，但它太貴了。Chromebook的易用性接近iPad，而且價(jià)格低得多。

我要表達(dá)的觀點(diǎn)是，你需要一臺(tái)專門用于金融方面的次要設(shè)備，甚至醫(yī)療方面也是如此。除非你首先用一個(gè)Gmail賬號(hào)注冊過，否則它不會(huì)安裝任何應(yīng)用——這將限制你打開瀏覽器上網(wǎng)。

然后，如果你還沒有這么做，那就在網(wǎng)站上激活2FA，讓它識(shí)別你的Chromebook。一旦你做完了你在金融或醫(yī)療方面的事情，就將Chromebook放到一邊，在下次你必須核對收支簿或預(yù)約一位醫(yī)生時(shí)再重新拿起來使用。

這似乎很麻煩，實(shí)際上也確實(shí)如此。過去人們也可以方便地做銀行業(yè)務(wù)，但現(xiàn)在幾乎隨時(shí)都能做銀行業(yè)務(wù)。這樣的話，其實(shí)你不太可能遇到你的銀行信息和信用卡信息被人搞亂的情況了。如果你僅在Chromebook上使用你安裝的兩三個(gè)應(yīng)用，也收藏了銀行或醫(yī)療網(wǎng)站，并且不會(huì)訪問其他網(wǎng)站，那么你的設(shè)備中基本不可能有木馬或其他一些形式的惡意軟件。

因此，我們已經(jīng)明確了你需要?jiǎng)?chuàng)建強(qiáng)密碼并且不能將它們分享出去。你需要盡可能地啟用2FA。在后面幾章中，我將帶你了解常見的日常交互會(huì)如何到處留下數(shù)字印跡，以及你可以做些什么來保護(hù)自己的隱私。