这款小小的 Google 产品可以帮助保护你的帐户安全

您可能听说过谷歌推出的一款奇怪的新产品：一款名为 Titan Security Key 的小设备，可用作双因素身份验证的一种形式。这意味着您可以在登录过程中使用这个小玩意来验证您的身份。您无需接收带有代码的短信，只需将安全密钥插入计算机并按下按钮即可。

目前，您还无法购买其中的任何一款产品（谷歌表示它将“很快”向公众推出），但该公告提醒我们，在您的帐户上设置双重身份验证是保护您的信息私密性的最简单方法之一——即使您的用户名和密码被泄露。

致力于防范网络钓鱼攻击的 Area 1 Security 公司首席执行官奥伦·福尔科维茨 (Oren Falkowitz) 表示：“我们不断发现，在很大一部分网络事件中，如果个人拥有某种多因素身份验证，他们至少可以延迟或稍微增加攻击者获取访问权限的难度。”

简而言之：使用双因素身份验证是明智的，但物理密钥并不是您唯一的选择。

给我发短信？

安全专家表示，通过短信接收验证码是双因素验证中最薄弱的。通过短信进行验证非常简单：您尝试登录帐户，但首先必须输入发送到您手机上的验证码。设置和理解起来都很容易——当然总比没有好——但这种方法有缺陷。

“我认为短信是迄今为止最糟糕的一种，”卡内基梅隆大学计算机科学教授、前联邦贸易委员会首席技术专家洛里·费斯·克兰诺 (Lorrie Faith Cranor) 表示。“这是因为短信依赖于电话网络中不安全的通道，而该通道从未打算用于安全目的。”

除了渠道不安全之外，使用短信接收代码的一个相关问题是“账户劫持”，Cranor 说。在这种情况下，攻击者可能会使用这样的策略：他们会去一家手机店，假装成别人，然后将受害者的电话号码转移到新手机上。

克兰诺说，这可能会导致令人不快的情况，比如攻击者从受害者的银行账户中取钱。“我们还看到过这种情况，他们进入受害者的 Twitter 账户，然后开始以他们的名义发推文，”她补充道。

其实，别给我发短信

不过，安全专家表示，除了通过短信获取验证码之外，还有其他更好的选择。其中之一就是使用 Authy 或另一款名为 Google Authenticator 的应用程序来生成所需的六位数验证码。这些验证码会在一定时间后失效，就像《碟中谍》中的自毁信息一样。

当然，还有一种方式是使用插入计算机或通过蓝牙连接的小工具。一种众所周知的选择是 YubiKey，另一种是谷歌即将推出的产品。Shape Security 安全高级总监 Amine Hambaba 表示：“绕过物理安全令牌非常困难。”这是因为，如果远程攻击者可以访问您的用户名和密码，他们仍然需要获得有形物体。

谷歌表示，他们在内部使用它们取得了成功。“自从谷歌实施安全密钥以来，我们没有收到任何报告或确认的账户接管事件，”该公司发言人通过电子邮件表示。而且 Titan 密钥不仅适用于谷歌账户，您还可以将其用于支持使用安全密钥的其他账户。

归根结底，实体密钥是保护账户安全的有力方式，但它并不能抵御所有在线威胁。例如，拥有实体密钥并不能阻止你下载恶意文件。而且，使用实体对象进行身份验证存在明显的缺点。

“我认为这对安全有好处，”卡内基梅隆大学的克兰诺说。“但这并不总是最方便的方法。”这是因为你必须随身携带它才能真正使用它，就像一把老式的家门钥匙一样。“跟踪和操作又是另一回事，”她补充道。

无论您是否计划购买 Google 密钥，在允许双重身份验证的关键帐户上启用双重身份验证都是有意义的 - 前往 Facebook 和 Gmail 等网站并立即执行此操作。