什么是 2FA？当您已经使用 2FA 时，复杂的密码还重要吗？

Lashonda

我们生活在一个数字世界，安全似乎每年都在发生变化。曾经感觉安全的东西突然变得过时了，这样的循环仍在继续。如果您想知道双因素身份验证 (2FA) 是否不再需要又长又复杂的密码，那么您并不孤单。许多人对处理数十种凭证感到精疲力尽，并想知道既然 2FA 无处不在，他们是否终于可以放松一下了。

事实更加微妙。双因素身份验证非常强大——非常强大——但它并不是削弱第一道防线的免费通行证：你的密码。两种系统以不同的方式保护您，当组合起来时，它们会形成最强大的盾牌。让我们像对话一样温和地讨论这个问题，并理清真正重要的事情。

在我们讨论密码复杂性之前，重新审视一下双因素身份验证的实际含义会很有帮助。

介绍

我们经常听到“2FA”这个术语，就好像它是一个神奇的安全解决方案一样。实际上，这是一个简单的概念：您的帐户应该需要你知道的事 和 你拥有的东西。第二层确保即使有人窃取您的密码，他们仍然无法走进您的数字前门。

2FA 包括什么

2FA 可以采取多种形式，包括：

发送到您手机的临时代码
生成一次性代码的验证器应用程序
物理安全密钥
生物识别因素（面部 ID、指纹等）

可以将其视为锁定您的房屋并启用安全摄像头。即使有人拥有您的密钥副本，他们也必须绕过相机的验证。

如果您的密码被盗，2FA 能否保护您？

介绍

这就是困惑的核心。人们认为，由于 2FA 会阻止攻击者，即使他们知道密码，这一定意味着密码不再重要。但这还不是故事的全部。

是的 - 2FA 可以阻止已经拥有您密码的人。这就是它的设计。
但不——这确实不是意味着您的密码变得无关紧要。

为什么？

因为密码和 2FA 可以保护您免受不同的攻击路径。双因素身份验证主要在登录过程中保护您。密码可以长期保护您前那一刻。

知道您密码的攻击者仍然可以：

尝试登录您重复使用密码的网站以及不支持2FA。
触发重复的 2FA 提示（MFA 疲劳），希望您错误地批准一个。
在之前已通过身份验证的设备上使用您的密码，不会再次请求 2FA。
尝试交换 SIM 卡来窃取您的 2FA 代码源（您的电话号码）。
如果他们物理访问您的设备，则劫持您的会话。

2FA 很强大，但并不完美。这就是为什么第一个因素——你的密码——仍然必须发挥作用。

为什么即使启用 2FA，弱密码也会变得危险

介绍

有一个常见的诱惑：
“如果 2FA 无论如何都能阻止攻击者，那为什么还要创建强密码呢？”

这是一个很自然的想法，尤其是当管理许多帐户让人感到不知所措时。但是弱化你的密码就像从你的前门移除锁舌一样，因为你安装了安全摄像头。两者一起提供比单独使用任何一个更好的保护。

弱密码的现实风险

如果您的密码很容易被猜到：

攻击者可以触发重复的 2FA 提示，让你在恐慌或疲劳中意外地批准了一项。
没有 2FA 的服务会立即成为漏洞如果您在其他地方重复使用该密码。
已登录的应用程序或会话可能不再需要 2FA，使得仅密码访问成为可能。
物理访问完全绕过 2FA，尤其是当您离开时有人使用您的设备时。
网络钓鱼攻击可以捕获您的密码和 2FA 代码实时。

在任何情况下，早在 2FA 有机会保护您之前，您的密码强度就已成为决定因素。

无密码未来的神话

介绍

我们经常听说密码正在消失——密钥或生物识别登录很快就会取代它们。虽然这个未来即将到来，但它还没有到来。更重要的是，即使无密码系统仍然依赖于后备，这通常是……另一个密码。

密钥和无密码登录

密钥依赖于您的设备进行身份验证。
如果您丢失了设备，您仍然需要密码作为恢复方法。
许多应用程序仍然需要密码才能设置或恢复新设备。

因此，即使隐藏在更现代的系统后面，密码仍然是生态系统的一部分。

最佳策略：同时使用强密码和 2FA

介绍

与其将密码强度和 2FA 视为非此即彼的情况，不如将它们视为队友——每个人都弥补对方留下的空白。一是防止外人猜测进入；二是防止外人猜测。即使您的第一把锁坏了，另一个也会保护您。

理想的组合

一个独特的每个服务的密码
一个长、强由密码管理器生成的密码
尽可能启用 2FA

这种组合使您的帐户能够抵御网络犯罪分子当前使用的几乎所有主要攻击途径。

请记住 - 您不再需要记住复杂的密码。密码管理器承担繁重的工作。您的主要任务只是设置一次。

最后的想法

今天的安全感觉像是一个不断变化的目标，但一些原则仍然非常稳定。双因素身份验证是一种出色的防御——它每天可以保存无数帐户。但它从来都不是为了取代强密码。相反，两者共同创建分层防御，在不同阶段阻止攻击者。

弱密码会让攻击者成功一半。强密码加上 2FA 迫使他们破解两个强大的锁。当互联网充斥着自动攻击、密码泄露和网络钓鱼尝试时，额外的一层就会发挥作用。

因此，我们的目标不是创建密码更难让你管理，但让他们更强和独特的默认情况下。这就是密码管理器不再只是一种工具，而是必需品的地方。你的工作不再是记住几十个复杂的字符串；而是记住它们。它是为您的保管库创建一个极其强大的主密码，并让管理员为每个站点和服务生成并存储一个长的、随机的、唯一的密码。这毫不费力地实现了等式中的“强密码”部分。

将此与 2FA 配对 — 最好使用 Authy 等身份验证器应用程序或微软身份验证器，或者更好的是，为您最重要的帐户提供像 Yubikey 这样的物理安全密钥，并且您已经构建了该门的数字等效物，具有坚固的锁和门栓。每一层都有其目的。每个都涵盖了另一个无法覆盖的场景。一个不能替代另一个；他们是一个团队。在保护您的数字生活的持续旅程中，接受这种合作伙伴关系是您可以采取的最重要的一步。

所提及工具的官方来源：