多因素认证的最佳安全密钥

对你个人安全的最大威胁之一是攻击者控制了你的在线账户。有了它，坏人可以用你的名字做各种邪恶的事情，如果他们控制了你的电子邮件帐户，他们可以利用密码恢复功能控制更多的帐户。幸运的是,多因素身份验证(MFA)可以防止账户被收购。虽然有很多方法可以实现MFA，但最好的(绝对是最酷的)方法之一是使用安全钥匙——一个安装在钥匙链上的小设备。

---

什么是多因素身份验证?

我们大多数人熟悉的身份验证方法是要求输入用户名和密码。但是密码有很多问题。首先，我们不善于记住它们，更不善于挑选独特而复杂的密码它经得起攻击。另一方面，人们倾向于重复使用密码，这意味着如果一个账户被泄露，所有其他拥有相同密码的账户也有风险。

多因素身份验证，有时称为双因素身份验证或2FA，寻求通过使用多个身份验证因素来改变这一点。这并不意味着要有第二个密码，但至少是三个可能因素中的任意两个:

• 你知道的东西;

• 你拥有的东西;而且

• 你就是你。

一些你知道通常是一个密码。它存在于你的头脑中，理想情况下只有你自己知道。一些你有可能是安全密钥，就像我们在这里找到的一样，也可能是身份验证应用程序你的手机。这是一个陌生人不容易获得的东西。最后，你要做的是是一种可以通过生物识别扫描读取的身体特征。这可能是指纹扫描或面部识别，尽管使用后者是最差的技术上的错误．

因为攻击者几乎不可能拥有不止一种身份验证形式，所以MFA使得坏人很难接管账户。这已经在现实世界中得到了证明。当谷歌要求员工使用硬件MFA键时，账户接管实际上消失了．

---

什么是安全密钥?

虽然安全密钥可以有多种形式，但大多数安全密钥都是小型的、密钥大小的设备，可以唯一地向站点和服务标识自己。记住，它们是你拥有的东西。

要使用安全密钥，首先必须将其注册到您想要保护的每个站点或服务。现在对安全密钥的支持越来越多，但如果你尝试的每个网站都不接受安全密钥，也不要感到惊讶。对于每个密钥和站点，注册密钥稍有不同，但通常是这样的:在站点或服务设置的某个地方，您会发现注册安全密钥的选项。点击它，插入键，当提示时点击键的按钮，然后给键的记录一个名称，以便您知道哪个是哪个。一些网站和服务只限制你使用一个密钥，而另一些则允许更多密钥。

下次登录时，在输入帐户的用户名和密码后，系统会提示您提供安全密钥。您通过某种数据传输连接(通常是USB-A或)连接密钥USB-C然后按下设备上的一个按钮，以验证你是一个真人，而不是一个冒充密钥的恶意软件攻击。如果密码和密钥都检出，则正常登录。

一些硬件键包括无线通信功能，通常通过近场通信(NFC)，与移动设备交互。其他密钥有生物识别认证作为额外的保护层。

---

不是所有的因素都生而平等

虽然两个因素总是比一个因素好，但每个MFA方案都有潜在的优点和缺点。

通过短信短信接收一次性密码是最古老和最广泛的MFA形式之一。这很容易理解，因为许多网站和服务已经有你的联系信息，你甚至可能不需要注册。虽然方便，但短信代码有两个主要缺点。首先，它们需要一部功能正常的手机。如果你的手机没电了，或者你买不起自己的手机，你就无法登录。

第二，已经证明攻击者可以通过一个叫做SIM顶(在一个新窗口中打开)．因此，我们建议读者尽可能避免使用短信MFA。希望联邦通信委员会能够做到应对这一威胁．

MFA的另一种常见形式是使用生成有时间限制的登录码的应用程序。虽然有许多验证程序应用程序的例子，但大多数人可能都熟悉谷歌authenticator。这种类型的MFA比短信代码更安全，允许单个应用程序为任意数量的网站和服务提供代码。

虽然认证程序不需要网络连接，但你的手机需要可用并通电。手机不是专门为其设计的身份验证器;它们是高度连接的设备，可以执行各种任务。这意味着恶意攻击有可能(尽管不太可能)获得您的安全代码。

基于硬件的安全密钥解决了其他MFA方案的大多数问题。硬件键不需要电池，也不需要网络连接。它们也没有活动部件，因此很难折断。因为它们在专门制造的硬件上工作，所以它们更难攻击。最后，有一个专门的登录工具也很有趣。

在MFA中使用硬件键也有缺点。与其他类型的MFA不同，硬件按键需要花钱——通常是20- 50美元。硬件键也可能丢失，而且不像基于应用程序的MFA代码那样得到广泛支持。

如果你是MFA新手，我们建议你从应用生成代码开始。它们是免费的、安全的、易于使用和理解的。但是如果您已经熟悉MFA，并且对升级您的安全游戏感兴趣，那么硬件安全密钥是下一步。

也就是说，重要的是要记住，任何类型的MFA都不能抵御现代世界呈现的所有危险。我们强烈建议使用杀毒软件以及密码管理器为您使用的每个网站和服务创建唯一和复杂的密码。

---

安全密钥如何工作?

目前最普遍的硬件安全密钥认证手段是基于标准的狗联盟(在一个新窗口中打开)．所有这些标准基本上都做同样的事情:使用非对称密钥加密技术对站点或服务进行身份验证。

每个设备都可以从其私钥生成任意数量的公钥，而不暴露私钥。这允许一个硬件密钥用于多个站点和服务，但最重要的是，这意味着任何一个站点或服务的故障或更改都不会影响到其他站点或服务。您可以轻松地删除并重新注册您的硬件密钥，只要您愿意。

在购买硬件安全密钥时，您应该至少寻找狗U2F认证，因为这意味着密钥将在几乎所有基本安全密钥上下文中工作。FIDO2 /WebAuthn是下一代标准，它支持额外类型的身份验证。如果你想使用生物特征MFA或无密码登录，您需要FIDO2/网络认证。

---

安全密钥安全吗?

从一个(理想情况下)完全保密的密码到一个像安全密钥这样的小玩意，有时会让人感觉不太安全。毕竟，如果你的钥匙被偷了怎么办?还是你把钥匙丢了?

对于第一点，有人有办法追踪单个用户并窃取他们的安全密钥是极其不可能的。大多数网络犯罪都是犯罪集体有成千上万个被泄露的账户。一个安全密钥不值得付出努力。不过，这并不是不可能的，一个坚定的攻击者可以使用偷来的密钥进入你的账户。这就是为什么保持你的密钥安全是很重要的，但也要使用在密码管理器中安全的强密码。如果小偷拿到了钥匙，但无法破解你的密码，他们仍然无法进入。

你丢失钥匙的可能性要大得多，这可能是一个真正的问题。Yubico建议注册第二个密钥，并将其作为安全备份存储。许多支持安全密钥的服务还允许(有些还要求)注册多个MFA因子，因此您可以设置一个验证程序应用程序作为备份MFA选项。服务通常会让你生成备份代码，你可以离线写下这些代码，也可以在密码管理器中进行保护，从而在紧急情况下授予你访问权限。如果这些都不起作用，那就找一个仍然登录的设备，取消注册密钥，或者添加一个新的MFA因子。底线是丢了安全钥匙并不是世界末日．

---

如何选择安全密钥

选择安全密钥时要考虑的第一件事是该密钥如何与您的其他设备相匹配。如果你没有USB-C接口的设备，你应该坚持使用USB-A接口的按键。如果您打算将您的密钥用于移动设备(您应该)，您应该选择一个具有适合您的手机连接器的密钥，或者一个具有NFC的密钥(如果您的手机支持NFC)。

你还需要考虑你的预算。我们评测过的最贵的钥匙价格高达85美元，这是一个很大的变化。如果您是硬件安全密钥的新手，我们强烈建议您从便宜的密钥开始，稍后再升级。Yubico的安全密钥NFC与更昂贵的密钥一样适用于MFA，为移动设备提供NFC，并且可以将USB-C与廉价的适配器相匹配。对于第一次购买的人来说，这是一个很好的选择。

大多数安全密钥只是验证您的身份，这就足够了。但有些还提供了更多的功能。肯辛顿有一系列生物识别密钥，需要正确的指纹来验证你的身份。高端YubiKeys还有许多其他功能:能够回放静态密码，与桌面或移动应用程序一起工作，提供应用程序生成的密码，PGP密钥管理，以及它自己的一次性密码形式。

对于最有眼光的买家来说，每把钥匙上更模糊的部分可能是重要的。NitroKeys和SoloKeys使用的都是开源的代码和硬件，这使得它们成为特定人群的有力选择。Yubico锁定了其所有设备的固件更改，以防止它们被篡改，而NitroKey则庆祝其可更新的固件。

---

安全的关键

硬件安全密钥是最好的，最安全的MFA方法，我们强烈推荐它们。但对一些人来说，花钱买密钥或每次登录都要取回密钥的想法太过沉重，这也没什么。最重要的是，你要找到一个适合你的MFA计划，而且你实际上是这样的使用它．如果忽视它，最好的安全也不会起作用。