为Apple ID和DropBox启用双因素认证（2FA）

鉴于最近的账户泄露事件，您可能想知道如何防止此类攻击。根据一些未经证实的文章，苹果服务的漏洞可能允许攻击者在没有速率限制或账户锁定的情况下暴力破解密码。尽管尚不清楚攻击是否通过暴力破解密码猜测完成，但许多讨论集中在启用双因素认证（2FA）上，尤其是针对iCloud和DropBox等流行服务。尽管在这些服务上设置2FA并不像应该的那么容易，本指南将逐步引导您为Google、Apple ID和DropBox账户启用2FA。这是一种免费的方式，为处理潜在敏感信息的服务增加额外的安全层。

什么是双因素认证？

用户名和密码认证使用单一因素验证身份：用户知道的东西。双因素认证在用户名和密码之上增加了一个额外的安全层。通常，第二个因素是只有真实用户拥有的东西。这通常是由硬件（如RSA令牌）生成的临时密码、通过短信发送到用户手机的密码，或实现相同功能的移动应用程序。

使用双因素认证，窃取用户名和密码不足以登录——还需要第二个因素。这种多因素认证意味着攻击者需要超越密码猜测或窃取凭据数据库来危害用户。攻击者必须获得构成2FA的额外、唯一且通常是临时信息的来源。

大多数服务通过多种方式提供2FA令牌（短信、移动应用程序或单独的硬件令牌），但在这些服务上设置2FA有时可能很棘手。2FA仍然不是默认启用的，用户也不被强制使用它。

来自Google关于其2FA版本的说明视频（您也应该使用这个）

在2FA之上，为所有账户使用唯一密码。攻击者可能有权访问其他被泄露网站的密码和用户名列表。这些列表可能也包含您的用户名和密码。启用2FA后，他们将缺少账户认证的最后一块拼图。

Apple ID

苹果允许您设置短信和移动推送2FA。移动推送意味着2FA代码将通过苹果的推送消息系统发送到您的手机。

尽管苹果已为某些服务实施了2FA，但尚未完全推出，最显著的是iCloud。苹果已被看到在iCloud上测试2FA，但尚未启动支持。一旦苹果为iCloud推出2FA支持，您很可能会自动被提示输入2FA代码。iCloud的注册过程不应与以下苹果2FA注册过程分开。

出于本教程的目的，我们将仅设置短信，因为这将是最兼容的，并覆盖所有手机的2FA设置过程，而不仅仅是iPhone。

在 https://appleid.apple.com 登录您的Apple ID，并从右侧菜单中点击“密码与安全”：您将被要求回答您的个人安全问题以继续。
在最顶部，您将看到一段解释两步验证的文字。点击“开始使用”以注册。
苹果将要求您在开始注册过程的第一步之前阅读一些通知。阅读每个屏幕并点击继续，直到您到达第一步。每个屏幕如下所示：
苹果现在将要求您提供手机号码。这将用于向您发送双因素认证令牌作为短信，以验证您输入的手机号码是您的并由您实际拥有。输入手机号码后，将收到一条包含4位代码的短信。苹果网站将要求您输入此代码。输入后，您的手机号码将被“验证”。点击“继续”以继续。
苹果现在将为您提供一个“恢复密钥”，以防您丢失手机或手机号码。这是一个秘密代码，允许您在双因素认证过程出现问题时恢复账户。保持此代码的安全和私密非常重要！有了此代码，攻击者可能能够危害您的账户。不要将此代码电子存储在计算机上。打印出来并放在安全的地方。没有它，您可能会被锁定在苹果账户之外，无法挽回。
苹果现在将要求您重新输入“恢复密钥”。这确保您已抄下它，并且现在由您负责安全存储它。
您快完成了！阅读呈现给您的条件，并点击“我理解上述条件”复选框。然后深呼吸，点击“启用两步验证” 恭喜！您现已为Apple ID账户启用双因素认证。注销并重新登录以尝试。

DropBox

DropBox允许您使用短信或移动应用程序设置2FA。出于本指南的目的，我们将逐步介绍仅使用短信设置2FA，以与大多数手机配置兼容。

登录您的DropBox账户，并点击屏幕右上角的您的姓名。从下拉菜单中选择“设置”。
点击页面左上角的“安全”选项卡。
在“两步验证”下，点击“启用”
DropBox将显示一些关于其两步验证过程的信息。点击“开始使用”以继续。
DropBox将要求您输入密码以继续两步验证过程。
出于本教程的目的，我们将选择“使用短信”选项。这将向您的手机发送2FA代码作为短信。
DropBox将要求您的手机号码。点击“下一步”后，将向您的手机发送一条包含“安全代码”的短信。 DropBox将要求输入代码并验证您的手机号码。
DropBox将询问您是否希望提供备用手机号码。这是一个可选步骤，如果您选择提供备用号码，您将需要重复上述过程以注册另一个手机号码。
类似于Apple ID，DropBox将为您提供一个“恢复密钥”或他们称之为“紧急备份代码”，以便在您丢失手机或失去对手机号码控制时禁用两步验证。写下并保持安全，DropBox不要求您重新输入此代码，因此请确保您在某处保留副本。
最后，点击“启用两步验证”，您就完成了！

其他服务

除了Google、苹果和DropBox之外，许多服务提供某种形式的2FA。您可能需要在账户设置中搜索以找到注册选项。并非所有服务都允许通过短信进行2FA，可能需要使用移动电话应用程序，如Duo、Authy或其他2FA软件供应商。使用 twofactorauth.org 发现您使用的哪些服务支持2FA：

twofactorauth.org 跟踪哪些服务支持2FA

结论

不幸的是，在今天的互联网上，即使您使用受人尊敬的互联网公司的网络服务，您也对自己的安全负责。双因素认证通过使被盗密码更难滥用，显著提高了您账户的安全性。

启用双因素认证并非没有额外的责任。您必须确保在您控制的设备上设置2FA，并保护任何“恢复密钥”，以防您失去对设备或手机号码的控制。2FA并非万无一失，但在可能的情况下使用它将使您领先于他人。

更新 – 2014年9月16日苹果终于在 iCloud.com 上启用了双因素认证。它现在要求您通过使用上述说明注册的2FA方法验证自己。

使用Elcomsoft的iCloud取证工具测试显示，2FA正在阻止该工具即使使用有效密码也无法成功登录。

Elcomsoft可能会更新工具以支持2FA令牌，但这仍然要求攻击者获得访问您接收2FA令牌的设备或方法，并在它们过期之前利用它们。这仍然比仅需要用户名和密码好得多。它提高了攻击者危害您账户的门槛。

如果您喜欢这篇文章，请分享： Twitter LinkedIn GitHub Mastodon Hacker News