这类便宜的USB设备，或许是对付账户劫持的最好方…

这类便宜的USB设备，或许是对付账户劫持的最好方…

五年来，发生了一系列账户劫持的恶性事件。信息安全的权威专家们有了新的共识:即使是随意造成的冗杂登录密码，也不能100%保证电子邮件等网络财产的安全。根据这一共识，网络信息安全权威专家觉得，这种网络财产必须经过第二层真实身份验证，以提供额外的保障。

一项为期两年、有5万多名谷歌员工参与的科学研究表明，基于密码算法的物理安全密钥优于其他双向认证方案。

该实体安全密钥基于通用第二因子(U2F)技术。U2F是一个开源的系统规范，可以额外考虑终端设备用户的便利性和前端工程师的易安置性。当插入标准USB接口时，实体密钥提供数据加密声明，其基础不太可能被掠夺者猜测或破坏。除了一般用户的登录密码之外，该帐户还可以指定用户在登录时提供的密码密钥。Google、Dropbox、GitHub等网站早已在其服务平台上实现了U2F规范。

经过两年多的实施和内部调查，谷歌的安全系统架构师宣布，实体安全密钥已经成为他们首选的双因素认证方案。对系统架构师的评价基于很多首要条件，包括密钥应用和部署的便利性，解决真实身份伪造等登录密码围攻所需的安全系数，以及其他双因素认证所不具备的对隐私信息更强的安全性。

在最近发布的一份报告中，科研人员写道:

人人已经在Chrome浏览器中加入了应用实体键的功能，并应用到了Google的内部登录系统中。此外，Google的Web服务使得实体密钥成为第二种可以应用的真正的认证方法之一。在本报告中，我们证明了物理钥匙可以降低确保休闲的成本，并提供更强的安全系数和更强的用户满意率。

其他双重认证方式还包括通过手机短信功能扣除一次性登录密码，或者通过智能机转换成类似的一次性登录密码。登录时，用户必须提供这个额外的登录密码。第二种方式是可以提供数据加密声明的智能卡。第三种方法根据互联网网络层安全协议应用个人数字证书，并在登录服务项目或帐户时应用信息密钥来验证终端设备用户的真实身份。

应用电话进行双重认证存在种种困难。一、一次性登录密码经常被互联网中间人攻击，攻击方式和欺骗用户泄露一般登录密码一样。此外，智能机的应用必须应对恶意程序的威胁，这些程序会危害一次性登录密码的安全性。电话短信扣除一次性登录密码的方法风险特别大，因为除了上述风险外，还有短信被屏蔽接受的风险。我们不能保证电话一直有数据信号，电话可能会消耗光量，这样有限的标准会让用户不得不登录时电话无法使用。

根据谷歌科研人员的报告，智能卡会出现问题，因为智能卡的应用一般规定，所有用户有可能用来登录的电脑都要安装特制的SD卡读卡器和驱动软件。这使得智能卡越来越难以应用于大型机器和设备。此外，在一些国家，这种智能卡必须由政府部门提供。这样的情况不免让人担心智能卡很可能被用来追踪用户的个人在线应用行为。

应用TLS凭证来验证用户的真实身份已经是很多年前的一种选择，但是它们永远不会流行。科研人员提到，这可能是因为一般用户转换资质证书非常困难。另外，TLS资质证书的申请有很大几率泄露用户的真实身份。TLS认证证书将向互联网上的所有对手揭示用户的真实身份。况且资质证书不能移植，普通用户很难在几台机器设备上应用。

与其他选择相比，物理安全密钥提供了安全系数、便利性和隐私性的最佳组合。虽然一些时尚知名品牌的钥匙产品市场价为18美元，如优必可制造的U2F钥匙，但一般钥匙的市场价低至20美元。这种钥匙的体积比防盗锁钥匙小，可以方便快捷地插入电脑的USB接口，也不需要给电池充电。

当特朗普的总统候选人特朗普尼克松当选的现任总统的Gmail账户被简单的造假方法捕获后，越来越多的人意识到双重认证的必要性。虽然有许多不同的方法来完成双因素认证，但调查报告中的有效示例表明，符合U2F规范的实体密钥是最佳选择。

Via:Arstechnica

我...