《华尔街日报》：保护在线账户的最强防线？这把小钥匙
Nicole Nguyen
强密码非常重要，但仅靠它们还不足以保护你免受网络罪犯的侵害。
密码可能会被泄露或猜中。在线安全的关键在于用强大的二次验证措施保护你的账号，通常是一次性验证码。这就是技术宅们熟知的“双因素认证”（2FA）。
我曾撰文介绍过各种类型的2FA，比如通过短信接收验证码或通过验证器应用生成验证码。任何形式的二次验证都比没有强，但物理安全密钥——在登录账号时插入USB接口或轻触手机的小型加密狗——能提供最高级别的保护。
安全密钥已存在十多年，但如今它们备受关注：苹果公司最近宣布支持该技术，将其作为Apple ID账户的可选附加保护。上个月，推特取消了短信验证功能，建议非付费用户改用验证器应用或安全密钥。
有些人犹豫是否使用安全密钥，因为随身携带物理设备似乎很累赘，而且还需要额外支付30美元以上的费用。另外，如果弄丢了怎么办？
我从2016年就开始使用安全密钥，认为它们实际上比验证码更容易管理——特别是对于那些不需要频繁登录的账户。它们不仅方便，而且黑客无法复制或伪造，因此也更安全。
以下是权衡在钥匙链上添加一两个安全钥匙的益处与常见顾虑的方法。
我应该使用哪种安全钥匙？
许多互联网服务支持使用安全钥匙，你可以用同一把安全钥匙解锁多个不同服务的账户。我推荐行业领导者Yubico的两款产品：
- YubiKey 5C NFC（55美元），适用于配备USB-C接口的笔记本电脑或平板电脑
- YubiKey 5 NFC（50美元），适用于带有旧式USB接口的设备
其他选择包括谷歌的Titan安全钥匙（30美元起）。除了支持带USB接口的笔记本电脑和平板电脑外，这些钥匙还与具备NFC无线功能的智能手机兼容。如今大多数智能手机都具备此功能，因为这是Apple Pay等无线支付背后的技术。
网络安全公司Arctic Wolf的首席信息安全官Adam Marrè建议，你选择的安全钥匙应获得FIDO联盟的认证，该机构负责制定这些设备的标准。
安全钥匙如何工作？
要添加钥匙，请查看你主要账户（Facebook、Twitter、Google等）的安全设置。在设置过程中，系统会提示你将钥匙插入笔记本电脑或平板电脑的接口，或将钥匙靠近手机进行无线连接。
将安全密钥视为家门或车钥匙：永远备有备用钥匙。图片说明：Rachel Mendelson/华尔街日报，Yubico苹果公司要求您为Apple ID账户添加两把安全密钥，以防丢失其中一把。
通常登录时，您只需前往已设置密钥的应用或网站，照常输入用户名和密码，然后再次将密钥插入设备或贴近设备（部分密钥需按压金属片激活）。此时服务应会允许您直接进入。
为何如此安全？
通过短信接收双重验证码虽然方便，但若成为犯罪分子的目标，您可能遭遇SIM卡劫持。窃贼会诱使运营商将您的号码转移到他们持有的新手机，利用该号码与窃取的密码入侵您的账户。
即使不如此大费周章，犯罪分子也可能通过电话或仿冒常用网站骗取验证码。安全公司Material Security首席执行官Ryan Noon表示，此时他们约有60秒时间利用该验证码尝试入侵。
安全密钥通过两种方式提供保护：其一，无验证码可窃取；其二，登录时使用安全协议验证网站域名，因此对虚假网站无效。
您还可以为最重要的账户添加如Authy这样的认证应用，仅作为备用方案。但一旦启用这些安全方式，建议考虑移除短信验证码选项。
极少数情况下，若有人窃取您的密码并盗走iPhone，请注意：不法分子仍可能仅凭密码修改Apple ID账户设置，甚至移除您账户中的安全密钥。
丢失密钥怎么办？
安全密钥的首要使用原则是：额外准备一（或两）把备用。
“请像对待家门或车钥匙一样保管安全密钥，“Yubico解决方案架构副总裁Derek Hanson表示，“始终建议您留有备用钥匙。”
若遗失安全密钥，请立即从账户中移除。您应已预先注册备用密钥或认证应用作为临时替代方案。
哪些场景适用安全密钥？
从最重要的账户开始：谷歌、苹果、微软、密码管理器、社交-媒体账户及政府账户。
在金融机构领域，许多银行并未提供安全密钥保护选项，不过大多数主流加密货币交易所都已配备该功能。
安全密钥之后是什么？
安全专家和科技公司普遍认为通行密钥是未来趋势。这种新型软件方案既具备物理密钥的高安全性，又融合了人脸或指纹等生物识别的便捷性。通行密钥已全面支持Android、iOS、Mac和Windows平台，部分常用网站现已开放该功能。
在Facebook和Dropbox等网站，您可将生物识别通行密钥用作双重验证要素。图片来源：Nicole Nguyen您可按照安全设置中安全密钥选项的指引创建通行密钥。Dropbox也提供类似设置。完成设置后，您的人脸或指纹将替代验证码或密钥成为第二重验证。
未来，物理安全密钥或许会被我们锁进保险箱，作为生物识别通行密钥的备用方案。即便如此，您可能仍需准备备用密钥。
——欲获取更多《华尔街日报》科技资讯、评测、建议及头条新闻，请订阅我们的每周通讯。
写信给Nicole Nguyen，邮箱：[email protected]
刊登于2023年3月28日印刷版，标题为《一把小钥匙提供最佳在线保护》。