为Apple ID和DropBox启用双因素认证（2FA）

鉴于最近的账户泄露事件，许多人可能想知道如何防止此类攻击。尽管未经证实，但一些文章指出，苹果服务的漏洞允许攻击者在没有速率限制或账户锁定的情况下暴力破解密码。无论攻击是否通过暴力破解密码实现，启用双因素认证（2FA）已成为热门话题，尤其是在iCloud和DropBox等流行服务中。本指南将逐步指导您如何在Google、Apple ID和DropBox账户上启用2FA，这是一种免费的方式，为处理敏感信息的服务增加额外的安全层。

什么是双因素认证？

用户名和密码认证使用单一因素验证身份：用户知道的东西。双因素认证在用户名和密码之上增加了一层安全性。通常，第二个因素是只有真实用户拥有的东西，例如由硬件（如RSA令牌）生成的临时密码、通过短信发送到用户手机的密码，或实现相同功能的移动应用程序。

启用双因素认证后，仅窃取用户名和密码不足以登录，还需要第二个因素。这种多因素认证意味着攻击者必须超越密码猜测或窃取凭据数据库，才能获取用户的额外、唯一且通常是临时的2FA信息。

大多数服务通过多种方式提供2FA令牌（短信、移动应用程序或单独的硬件令牌），但设置2FA有时可能很棘手。2FA仍未默认启用，用户也不被强制使用。

除了2FA，请为所有账户使用唯一密码。攻击者可能有权访问其他被泄露网站的密码和用户名列表，这些列表可能包含您的用户名和密码。启用2FA后，他们将缺少账户认证的最后一块拼图。

Apple ID

苹果允许您设置短信和移动推送2FA。移动推送意味着2FA代码将通过苹果的推送消息系统发送到您的手机。

尽管苹果已为某些服务实施了2FA，但尚未完全推出，尤其是iCloud。苹果已被看到在iCloud上测试2FA，但尚未推出支持。一旦苹果为iCloud推出2FA支持，您很可能会自动提示输入2FA代码。iCloud的注册过程应与以下苹果2FA注册过程相同。

在本教程中，我们将仅设置短信2FA，因为这将最兼容所有手机，而不仅仅是iPhone。

1. 登录您的Apple ID（https://appleid.apple.com），并从右侧菜单中点击“密码与安全”： 您将被要求回答个人安全问题以继续。

2. 在顶部，您将看到一段解释两步验证的段落。点击“开始使用”以注册。

3. 苹果将要求您在开始注册过程的第一步之前阅读一些通知。阅读每个屏幕并点击继续，直到进入第一步。每个屏幕如下所示：

4. 苹果现在将要求您提供手机号码。这将用于向您发送2FA令牌短信，以验证您输入的号码是您的且由您物理持有。 输入手机号码后，将收到一条包含4位代码的短信。 苹果网站将要求您输入此代码。 输入后，您的手机号码将被“验证”。 点击“继续”以继续。

5. 苹果现在将为您提供一个“恢复密钥”，以防您丢失手机或手机号码。这是一个秘密代码，允许您在2FA过程出现问题时恢复账户。保持此代码的安全和私密非常重要！拥有此代码，攻击者可能能够入侵您的账户。不要将此代码电子存储在计算机上。打印出来并放在安全的地方。 没有它，您可能无法访问苹果账户且无法追索。

6. 苹果现在将要求您重新输入“恢复密钥”。这确保您已复制下来，并且现在由您负责安全存储。

7. 快完成了！阅读呈现给您的条件，并点击“我理解上述条件”复选框。 然后深呼吸，点击“启用两步验证”。 恭喜！您现已为Apple ID账户启用双因素认证。注销并重新登录以尝试。

DropBox

DropBox允许您使用短信或移动应用程序设置2FA。在本指南中，我们将逐步介绍仅使用短信设置2FA，以兼容大多数手机配置。

1. 登录您的DropBox账户，点击屏幕右上角的您的姓名。从下拉菜单中选择“设置”。

2. 点击页面左上角的“安全”选项卡。

3. 在“两步验证”下，点击“启用”。

4. DropBox将显示一些关于其两步验证过程的信息。点击“开始使用”以继续。

5. DropBox将要求您输入密码以继续两步验证过程。

6. 在本教程中，我们将选择“使用短信”选项。这将通过短信向您的手机发送2FA代码。

7. DropBox将要求您的手机号码。 点击“下一步”后，将向您的手机发送一条包含“安全代码”的短信。 DropBox将要求输入代码并验证您的手机号码。

8. DropBox将询问您是否希望提供备用手机号码。这是一个可选步骤，如果您选择提供备用号码，您将需要重复上述过程以注册另一个手机号码。

9. 类似于Apple ID，DropBox将为您提供一个“恢复密钥”或他们称之为“紧急备份代码”，以便在您丢失手机或失去对手机号码控制时禁用两步验证。 写下来并保持安全，DropBox不要求您重新输入此代码，因此请确保您在某处保留副本。

10. 最后，点击“启用两步验证”，您就完成了！

其他服务

除了Google、苹果和DropBox，许多服务提供某种形式的2FA。您可能需要在账户设置中搜索以找到注册选项。并非所有服务都允许通过短信进行2FA，可能需要使用移动应用程序，如Duo、Authy或其他2FA软件供应商。使用twofactorauth.org发现您使用的服务是否支持2FA： twofactorauth.org跟踪哪些服务支持2FA。

结论

不幸的是，在今天的互联网上，即使您使用信誉良好的互联网公司的网络服务，您也需对自己的安全负责。双因素认证通过使被盗密码更难滥用，显著提高了账户的安全性。

启用双因素认证并非没有额外责任。您必须确保在您控制的设备上设置2FA，并保护任何“恢复密钥”，以防您失去对设备或手机号码的控制。2FA并非万无一失，但尽可能使用它将使您领先于他人。

更新 – 2014年9月16日

苹果最终在iCloud.com上启用了双因素认证。现在，它要求您通过使用上述说明注册的2FA方法验证自己。

使用Elcomsoft的iCloud取证工具测试显示，2FA阻止了该工具即使使用有效密码也无法成功登录。

Elcomsoft可能会更新工具以支持2FA令牌，但这仍然要求攻击者获取访问您接收2FA令牌的设备或方法，并在其过期前使用它们。这仍然比仅需要用户名和密码好得多。它提高了攻击者入侵您账户的门槛。

如果您喜欢这篇文章，请分享： Twitter LinkedIn GitHub Mastodon Hacker News