百姓大小事,一呼百应!

百姓网 | 百姓知道

通讯通信

谷歌账户的两步验证(2-step verification)有多安全?

今天看到 Twitter 上的 @fenng 说起,我也去给自己的谷歌账户做了一个两步验证。对于 iPhone 用户而言,它会要求你先装一个叫 Google Authenticator 的免费软件。之后每次从 web 端登录 Gmail,除了密码外(第一步),还要输入一个随机生成并发到你的 Google Authenticator 的数字串(第二步)。数字串可以设为三十天内无需再次输入。 由于目前几乎没有什么客户端支持这种两步验证,所以接下来得通过谷歌单独为它们分别指定密码…

2 个回答

  • 杨超 | 2017-10-08 05:43:34

    衡量一个系统的安全程度,需要看其最薄弱的环节。安全系统的设计原则就是寻找系统最薄弱的环节,改进使得其被攻破的成本增加(最好可以用金钱来衡量)。Google 2Factor的目的,是解决传统密码被攻破(phishing,或者social engineering)这个环节上的问题。多了一个验证环节,也就自然多了一份破解的成本。不过很难量化地说这样的系统是否比以前安全多少,只能说消除了phishing,或者用户密码意外泄露(用户在别的网站使用相同密码,而那个网站被杯具的情况)一类事件对系统安全的威胁,让大规模的破解和攻击不太可行(用金钱衡量的话,就是说就算攻破了也要大大亏钱)。但是对于个体或某些小规模群体而言,由于环境不一样,系统可能存在其他更薄弱的环节,对他们而言安全程度还是一样的,因为2Factor并没触及最薄弱的链条,比如你的电脑、手机以及其他东西都是被老婆控制的,再比如有机构把你抓捕拷打威胁,2Factor并没有本质上增加这些事情发生的成本。

    本问答由杨超提供

  • 杨超 | 2017-10-08 05:38:10

    Googler 就用这个在公众网络登录工作系统,你说安全不?(实际操作略有不同,但原理一致)

    也不是完全没有被盗的可能性,例如盗取者做一个钓鱼页面骗你输入密码和验证码,然后在几秒钟内用这个信息去登录你的 Gmail 账户,也是可行的。

    本问答由杨超提供

* 本站部分内容来源自网络,仅作分享之用,侵删。