凌晨两点，六条验证码短信：双因素认证到底在防谁

凌晨两点十七分

手机在床头柜上嗡嗡嗡地响。不是一声，是一串。 我摸黑抓过来，屏幕的光刺得眼睛生疼。六条短信。四条来自银行，两条来自某个我早就忘了密码的购物网站。内容都差不多：您的验证码是xxxxxx，请勿泄露。 心跳一下就上来了。 第一个念头是慌。第二个念头是——他们是不是已经知道我的密码了？ 后来我花了一整个周末去查这件事，才发现自己一直忽略了一个东西：双因素认证。它像门锁之外又加的一道链子，平时感觉不到它存在，出事了才知道它有多重要。

密码这把锁，其实很脆

我们习惯了一个密码走天下。邮箱是它，购物网站是它，连小区快递柜的取件码都差点是它——开个玩笑，但意思你懂。 问题就出在这。 你在某个小论坛注册过账号，用的是同一个密码。那个论坛哪天被拖库了，你的邮箱和密码就出现在一个几十万行的表格里。黑客拿到这张表，不干别的，就挨个去试。试你的邮箱，试你的社交账号，试你绑了银行卡的那个 App。 这叫撞库。效率高得吓人。 密码的本质是“你知道的东西”。而知道的东西，是会被人知道的。可能是你自己不小心输进了钓鱼页面，可能是某个网站的数据库被扒了，也可能只是你用了生日加姓名缩写这种组合，被人猜了三次就中。 那怎么办？再加一道。

第二道门，未必是短信

双因素认证，英文缩写 2FA。名字听着挺正经，说白了就一句话：除了密码，再拿出一样别的东西来证明你是你。 这个东西通常分三类。 你拥有的——手机、U 盾、一张硬件密钥。 你知道的——密码、PIN 码。 你本身是什么——指纹、人脸、声纹。 银行让你插 U 盾，是“拥有”。手机银行刷脸，是“本身”。收到短信输验证码，也算“拥有”——手机在你手上，验证码就到了你手上。 听着挺安全对吧。 但这里有个坑，很多人不知道。短信验证码是双因素里最弱的一种。 为什么？因为手机号本身是可以被“偷”的。有些攻击手法会伪装成你，去运营商那里补办一张你的 SIM 卡。卡一到手，所有短信都进了别人的手机。你的密码加上你的验证码，齐了。 还有一种更阴的。你打开一个和真网站一模一样的登录页，输入账号密码，再输入手机收到的验证码。页面提示“验证失败，请重试”。你纳闷地刷新，其实——你输入的每一步，都被实时转发给了真正的网站。验证码在几秒钟内就被用掉了。

那到底该开还是不开

开。能开就开。 我见过太多人嫌麻烦。“每次登录都要输验证码，烦不烦。”是烦。但你想过没有，麻烦是给攻击者的，不只是给你的。 黑客批量扫号，专挑好下手的。一个账号如果挂了双因素认证，他多花的那点力气，足够他去骗下一个没开的人。你不是打不破，你是“性价比太低”。 不过话说回来，开的方式有讲究。 优先顺序大概是：硬件密钥、App 验证器、短信验证码。 硬件密钥是个小 U 盘一样的东西，插上或者碰一下就行，钓鱼网站拿它没辙。App 验证器，比如各种身份验证器 App，原理是基于时间生成六位数字，不依赖短信通道，安全性远高于短信。 至于短信……有总比没有强。真的。别因为“短信不够安全”就干脆不开，那等于门都不锁了还嫌锁不好。 还有两个小提醒。 一，开启双因素的时候，系统通常会给你一组恢复代码。抄下来，存到别的地方。手机丢了、验证器卸载了，这组码就是你回家的钥匙。 二，别把所有账号都绑在同一个手机号上。鸡蛋别放一个篮子，这话老，但管用。

它防的不是你，是那个假装是你的人

说到最后，我想起那天凌晨的短信。 后来查清楚了，那家购物网站确实被撞了库。但我的密码没被撞开——因为我早就在上面开了双因素。那些验证码，是对方在反复尝试登录，被系统拦下来之后，短信一条条发到我手机上的。 所以那不是我在登录。 是有人在替我“登录”。 而双因素认证，就是那个站在门口、反复问“你确定是你吗”的家伙。有点烦，但关键时刻，它能拦住一个拿着你钥匙的陌生人。 开吧。真的。