隨機(jī)強(qiáng)口令的使用幾乎已成主流，略有一點(diǎn)安全意識(shí)的人都清楚：“password1”或“1234567”這種口令不會(huì)給他們帶來(lái)任何好處。但即便口令安全有所改善，卻有更嚴(yán)重的問(wèn)題潛藏其下：安全問(wèn)題。

[[173515]]

由于雅虎數(shù)據(jù)泄露事件，如果你正好有個(gè)雅虎賬戶，那恭喜你，恐怕你得另找個(gè)新媽媽?zhuān)蛘咴诹硪粋€(gè)城市成長(zhǎng)了。多個(gè)站點(diǎn)間安全問(wèn)題及答案的重復(fù)使用，意味著雅虎數(shù)據(jù)泄露的影響，相當(dāng)于生態(tài)災(zāi)害的網(wǎng)絡(luò)安全版。

上個(gè)月底，雅虎曝出大規(guī)模黑客事件，至少5億用戶數(shù)據(jù)被國(guó)家支持的入侵者盜取。且該公司被盜數(shù)據(jù)列表中不僅包括了通常的口令字散列值和電子郵件地址，還有受害者用以重置口令而設(shè)的安全問(wèn)題和答案——你最喜歡的度假地點(diǎn)或你成長(zhǎng)的街道等本應(yīng)私密的信息。雅虎的數(shù)據(jù)大泄洪，昭示出這些無(wú)傷大雅的問(wèn)題依然是我們網(wǎng)上身份驗(yàn)證驗(yàn)證系統(tǒng)的薄弱環(huán)節(jié)。安全社區(qū)對(duì)這種安全問(wèn)題的態(tài)度是：這玩意兒早該廢棄了——而在尚未廢棄之時(shí)，你也不應(yīng)誠(chéng)實(shí)回答。

安全問(wèn)題既容易被猜出來(lái)，在遭遇重大泄露事件(如近期的雅虎)之后又難以修改，作為口令的應(yīng)急機(jī)制，實(shí)在是太不合格了。它們本應(yīng)作為可靠的最后救援手段：即便忘記了復(fù)雜的口令，思路是不會(huì)變的，母親娘家姓氏或自己出生的城市是不會(huì)忘記的。但是，依靠這些根本不保密的真實(shí)數(shù)據(jù)——Web和社交媒體搜索常會(huì)暴露出人們的成長(zhǎng)地點(diǎn)或第一輛車(chē)的牌子，安全問(wèn)題方法會(huì)讓賬戶處于風(fēng)險(xiǎn)之中。而且，鑒于你第一只寵物的名字通常不會(huì)改變，如果你對(duì)這些安全問(wèn)題的回答被數(shù)字窺探或數(shù)據(jù)泄露披露了，那么多個(gè)數(shù)字服務(wù)的安全問(wèn)題也就同時(shí)沒(méi)用了。

母親的娘家姓還是重設(shè)一下吧

所有這些都讓安全專(zhuān)家無(wú)比期待它們的消亡。既然口令都不安全了，那為什么安全問(wèn)題能享受特殊待遇一直生存下去?每發(fā)生一起數(shù)據(jù)泄露，就有更多的個(gè)人信息暴露出來(lái)，猜解安全問(wèn)題答案會(huì)變得更簡(jiǎn)單，黑客也可以重用被泄安全答案染指其他服務(wù)。只要收集整合各起泄露事件成果，攻擊者總能獲得越來(lái)越多的用戶信息。

甚至聯(lián)邦政府都已經(jīng)準(zhǔn)備好拋棄安全問(wèn)題。7月，美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)局(NIST)發(fā)布了一份新提交的草案——《數(shù)字身份驗(yàn)證指南》，該指南的上一個(gè)版本還將“預(yù)先登記的知識(shí)令牌”，也就是安全問(wèn)題，列入身份驗(yàn)證推薦技術(shù)中，但新草案就完全沒(méi)提到此類(lèi)方法。換句話說(shuō)，NIST不再將安全問(wèn)題作為保護(hù)聯(lián)邦賬戶的措施之一。就連因泄露事件而提供用戶賬戶保護(hù)工具的雅虎自身，現(xiàn)在也特別指出，“為保護(hù)您的賬戶，我們建議您禁用安全問(wèn)題。”

2015年，2名谷歌安全研究員曾在文章中分析了安全問(wèn)題方法的弱點(diǎn)。他們認(rèn)為：“安全問(wèn)題既不安全，又不可靠，不足以用作獨(dú)立的賬戶恢復(fù)機(jī)制。其存在根本性缺陷：這些答案要么安全，要么好記，但極少兩者兼?zhèn)洹?rdquo;

其實(shí)早在這份研究出爐之前，谷歌就已經(jīng)在逐步淘汰安全問(wèn)題，轉(zhuǎn)而要求用戶設(shè)置短信和備份電子郵件來(lái)提交賬戶恢復(fù)了。

無(wú)法一蹴而就

然而，從安全問(wèn)題上轉(zhuǎn)型并不容易。公司需要實(shí)現(xiàn)另外的意外事件解決方案，比如發(fā)送口令重置指令到備份電子郵件地址，要求用戶提供實(shí)體驗(yàn)證加密狗，或者使用安全身份驗(yàn)證App發(fā)來(lái)的實(shí)時(shí)驗(yàn)證碼。但是，情況依然在惡化，因?yàn)樯踔涟l(fā)送短信到預(yù)定義手機(jī)號(hào)，這種當(dāng)前流行的安全問(wèn)題替代方案，也有其自身的安全弊端。出品了流行口令管理器 1Password 的AgilBite公司產(chǎn)品安全官就說(shuō)過(guò)，“問(wèn)題很難解決，(不)安全問(wèn)題很棘手。談?wù)撍鼈円l(fā)的糟糕安全漏洞很容易，提供替代方案卻十分困難。”

不過(guò)NIST負(fù)責(zé)標(biāo)準(zhǔn)修訂的高級(jí)標(biāo)準(zhǔn)與技術(shù)顧問(wèn)保羅·格拉西倒是覺(jué)得，安全問(wèn)題的可用替代方案很多，足以支持讓安全問(wèn)題退出歷史舞臺(tái)，即便是聯(lián)邦政府這么龐大復(fù)雜的機(jī)構(gòu)也夠用。一招通殺的萬(wàn)靈藥肯定沒(méi)有，但值得欣喜的是，各家機(jī)構(gòu)都在出品很多東西。想要谷歌Prompts?拿來(lái)用就是了。想要U2F，用唄!就算想要寄到府上的書(shū)面憑證也行啊。

流行Web服務(wù)正試圖從安全問(wèn)題遷移到這些更高級(jí)的方法，不過(guò)，各自的遷移進(jìn)程不同。大多數(shù)網(wǎng)站都會(huì)在登錄頁(yè)面顯示“忘記口令?”鏈接，引導(dǎo)用戶去向口令修改工具。但想要修改安全問(wèn)題本身，你就得翻遍賬戶選項(xiàng)了。

推特似乎根本沒(méi)采用安全問(wèn)題的方法來(lái)進(jìn)行賬號(hào)恢復(fù)。Facebook首選預(yù)留的備份電子郵件地址和手機(jī)號(hào)，安全問(wèn)題只是以上二者都不可用情況下的最后手段。不過(guò)，F(xiàn)acebook不允許用戶更新或改善他們的問(wèn)題。亞馬遜支付與Facebook策略相同。很多銀行，比如花旗銀行、道明銀行、富達(dá)銀行，依然高度依賴安全問(wèn)題作為賬戶恢復(fù)技術(shù)。

我第一輛車(chē)是Y^i72b(lV$

鑒于安全問(wèn)題還不會(huì)很快消亡，可以暫時(shí)先采取些措施加固一下——至少在某些服務(wù)上。強(qiáng)化安全問(wèn)題的最佳方法，就是在答案中撒謊，最好是用隨機(jī)字符串作為答案，而不是提交有意義的信息。這么做，即便有問(wèn)題問(wèn)的是鮮為人知的生活細(xì)節(jié)，你也不會(huì)曝露出可能在安全事件中被泄的答案。

當(dāng)然，這種方法會(huì)讓安全答案根本不可能像真實(shí)個(gè)人信息一樣好記。這也是為什么應(yīng)該依靠口令管理器的原因所在，管理器不僅僅存儲(chǔ)隨機(jī)產(chǎn)生的強(qiáng)口令，還能存儲(chǔ)安全答案。

如果你已經(jīng)花時(shí)間往口令管理器中添加了盡可能多的賬戶并隨機(jī)化了所有口令，那你就能體會(huì)到這是一個(gè)可行但耗時(shí)的工程。即便你手速快效率高，1個(gè)口令的重置、添加和確保正確存儲(chǔ)到口令管理器，也是需要花費(fèi)1到2分鐘的。互聯(lián)網(wǎng)深度用戶通常會(huì)有100多個(gè)數(shù)字賬戶關(guān)聯(lián)到他們的主電子郵件地址，在安全機(jī)制并不總是觸手可得的情況下，隨機(jī)化每個(gè)安全問(wèn)題依然步履維艱。

專(zhuān)注修改包含有最敏感數(shù)據(jù)的安全答案是個(gè)不錯(cuò)的建議，比如含有你電子郵件、財(cái)務(wù)和醫(yī)療賬戶的那些。而且即使你是那種不用口令管理器的人，現(xiàn)在開(kāi)始用它跟蹤安全答案也不晚。每個(gè)網(wǎng)站或服務(wù)都應(yīng)有唯一的口令，安全問(wèn)題的答案同理，而口令管理器可以完美解決這個(gè)問(wèn)題。你可以先從決定將某些安全答案放到口令管理器中開(kāi)始，不用去做那些不可能做到的事——比如記憶上百個(gè)隨機(jī)安全答案。

只要當(dāng)成第二個(gè)強(qiáng)口令使用，安全問(wèn)題也是能提供一定的保護(hù)性的。不過(guò)，由于在線服務(wù)數(shù)年來(lái)都在訓(xùn)練用戶輸入極不安全的安全答案，想要改變不會(huì)太容易。安全問(wèn)題這套系統(tǒng)，最好情況也就是像口令一樣健壯，最壞情況卻能將你寵物的名字變成危險(xiǎn)的安全漏洞。

安全問(wèn)題，是時(shí)候說(shuō)再見(jiàn)了。