两步验证(双重验证)的概念

什么是双重验证?

让我们从基础开始 - 身份验证是证明您有权访问特定资源的方法。该资源可以是计算机,服务器,在线帐户,也可以是文件夹共享。

我们许多人每天使用的最常见的身份验证类型是——用户名和密码。

2FA所做的是为普通用户名和密码添加额外的身份验证层,这样会使得对该资源进行未经授权的访问更加困难。

2FA概念

2FA的基本概念可以归入许多类别,例如:

  • 你知道的东西 - 例如用户名和密码。
  • 你拥有的东西 - 比如带有app的手机或硬件通行证(比如银行卡)。
  • 你做的事情 - 比如接受手机上的弹出消息。
  • 你是什么 - 生物指标,如指纹识别器或视网膜扫描仪。

因此,当涉及到您的用户名和密码时,您就会知道这两条信息(好吧,我希望您仍然这样做)。所以你的用户名和密码都属于你知道的东西。因此,这是一个单一的身份验证因素。

登录我的网上银行网站时,我输入了我的用户名和密码,然后它会询问我来自一个令人难忘的单词的特定字母。您可能认为这是2FA的示例,但事实并非如此。

你知道,我知道我的用户名和密码,而且我也知道我难忘的一句话。因此,虽然登录我的网上银行网站有多个步骤,但仍然只使用了一个身份验证因素 - 我知道。

但是,如果我的手机上有一个应用程序配置为生成一次性密码(OTP),这是一个每30秒左右更改一次的代码,我的网上银行网站要求提供该代码; 这将是2FA,因为我使用两个身份验证因素:

  • 我知道的东西 - 我的用户名和密码。
  • 我有的东西 - 我的手机带有生成的OTP。

或者,我的银行移动应用程序也可以使用2FA,但方式不同。我可以使用我的用户名和密码登录他们的应用程序; 然后,它可以使用我手机上的指纹识别器提示我输入指纹。再次,这将是2FA:

  • 我知道的东西 - 我的用户名和密码。
  • 我是什么 - 我的指纹。

2FA的类型

有很多种类型的2FA。最常见的2FA类型是Google身份验证器或Authy等应用,可配置为生成每30秒左右更改一次的OTP。但是,可以使用更多类型的2FA,例如:

  • OTP硬件令牌 - 如YubiKey,RSA令牌或CryptoCard。
  • OTP代码 - 这些代码可以由您设备上的应用,短信或电话生成。
  • 弹出窗口 - 某些网站(如Google)可以在您的设备上生成弹出窗口,在登录时会询问“这是你吗?”,并提供确认或拒绝选项。
  • 生物指标 - 例如指纹读取器或视网膜扫描仪。

为什么2FA更安全?

以这种方式考虑 - 如果您的用户名和密码被泄露(说实话,我们希望更频繁地发生),那么威胁行为者可以访问您的帐户,因为他们拥有需要进行身份验证的所有数据。

如果您在多个地方使用相同的密码,这会变得更糟,因为威胁行为者可以重新使用这些凭据登录您拥有的其他帐户。

但是,如果您在同一个网站上使用2FA,那么威胁行为者也需要您的第二个身份验证因素才能破坏您的凭据。在大多数情况下,这是您的手机。因此,除非你给Johnny Hacker你的手机,否则你仍然非常安全 - 尽管我建议你更改密码。

虽然2FA不是治疗各种凭证收获的神奇药丸,但它确实可以帮助您的在线帐户更加安全。

2FA可以在哪里使用?

总之,很多地方。许多网站和服务现在提供某种2FA选项。您可能不希望为每个帐户使用2FA,这很好,但我个人建议您在真正重要的帐户上有2FA,如电子邮件,PayPal,银行和密码管理器(如果有的话)。

就个人而言,我使用2FA,但我建议你这样做。

下面的链接是一个网站,它编制一个提供至少一种2FA方法的常见网站列表,以及一个允许您在该特定服务上启用它的页面链接。

https://twofactorauth.org/

最后的想法

正如我上面所说,2FA肯定不是一个神奇的药丸,会让你不受攻击,但它肯定会让你的帐户更安全。你的安全姿势应该像洋葱一样 - 它应该有多层。威胁演员必须越过障碍越多,破坏帐户的难度就越大 - 事实上,你更安全。

是的,最初登录涉及更多麻烦,但就个人而言,我宁愿花费额外10秒登录2FA而不是让我的帐户安全性降低。

此外,许多密码管理器,如Bitwarden,都可以为您管理2FA代码,因此更容易!

现在您知道什么是双因素身份验证的答案?人们,出去保护你的帐户吧!

本文转载自: What Is Two Factor Authentication?,首发于Kev Quirk

The post What Is Two Factor Authentication? appeared first on Kev Quirk.

;