一般用户安全[关闭]

Question

我只是想知道在您的登录中使用 2FA 是否真的意味着如果有人窃取了您的用户名和密码，您不必担心？

我知道如果有人窃取了您的手机，就会出现问题，并且可以访问 Google Authenticator 或 Microsoft Authenticator 等身份验证应用程序，然后输入该应用程序并读取生成的代码。但是，任何人实际上能够访问您的手机并访问这样的应用程序的可能性有多大？

我在使用的大多数服务中都使用 2FA，因为这样我感觉更安全。但是，如果您的加密系统不是那么好，是否值得在您自己的服务中实现它？如果有人设法闯入我的服务并在每个人都在使用 2FA 和唯一密码的假设情况下读取每个人的用户名和密码，这将是至关重要的吗？

Answer 1

一些想法：

• 当“层”越多时，安全性往往会越好。用户名和密码的组合就是这样的一层。 2FA是另一个。添加 2FA 无疑会提高您的安全性，但您仍应努力为您的用户名和密码保密。 考虑如果有人偷了您的手机，但无法获取您的密码，会发生什么情况。两者都用。
• 相关：登录系统不是唯一的威胁；关于帐户的信息也是如此：如果用户不希望知道他在您的系统中有帐户怎么办？如果有人可以访问您的用户名和密码数据库并且数据已发布，那么全世界都会知道您的用户是谁；也许这对您来说并不重要，但it can be in certain other cases，无论如何都要遵守这个原则。所以尽可能对用户名和密码保密。
• 我知道您已经知道这一点，但您的假设情况只是假设情况。您永远不应假设您的所有用户密码对于您的服务都是唯一的。有些用户会做愚蠢的事情。这可能不是你的错，也不是你的责任，但尽你所能帮助他们保持安全仍然被认为是一种良好的做法。
• 如果您知道您的加密系统“不太好”，那么您显然应该尝试改进它。
• 2FA 可能并不总是有效，或者不是在所有情况下都适合所有人。如果它对您的服务不重要，您可以考虑选择退出。对于一些客户来说，选择接受更多的风险可能是值得的，因为它在登录时稍微减少了“麻烦”。对于其他人来说，这个小小的“麻烦”对于更好的安全性来说可能是微不足道的代价。在任何情况下，您都应该提供 2FA 作为可能的安全改进，而不是作为其他领域安全松懈的借口。