关于2FA防护有效性、风险概率及自建服务部署价值的技术咨询

1. 启用2FA后，用户名和密码被盗就完全无需担忧安全问题了吗？ #

答案是并非绝对安全，2FA确实能把账号被盗的风险降到极低，但还是存在几种可能的攻击场景：

• 钓鱼攻击：攻击者伪造和官方一模一样的登录页面，诱导你输入用户名、密码，同时还要你输入2FA验证码——一旦你提交，攻击者就能立刻拿着这些信息登录你的真实账号。
• 会话劫持：如果你已经登录了账号，攻击者通过某些手段窃取了你的登录会话（比如XSS攻击、恶意WiFi嗅探），他们不需要2FA就能直接接管你的账号。
• 备用验证码泄露：很多服务会让你保存一组备用的2FA验证码，用来在无法使用认证APP时登录，如果这些备用码被泄露（比如存在不安全的笔记里），攻击者也能绕过APP登录。

不过别担心，2FA依然是目前提升账号安全最有效的手段之一，能挡住绝大多数的密码泄露类攻击。

2. 手机被盗后，他人通过认证APP获取验证码的实际发生概率高吗？ #

实际成功的概率其实不算高，主要有这几个原因：

• 现在绝大多数手机都有锁屏密码、指纹或面部识别，攻击者首先得突破这一层，才能打开你的认证APP。
• 不少主流认证APP（比如Google Authenticator、Microsoft Authenticator）本身也支持设置应用锁或者生物识别验证，就算手机锁屏被破解，打开APP还得再验证一次。
• 只要你发现手机被盗，第一时间就能通过其他设备登录账号解绑2FA，甚至远程擦除手机数据，不给攻击者留操作时间。

当然，如果你的手机完全没设锁屏，那风险就会直线上升——所以一定要给手机设置强锁屏验证，这是基础中的基础。

3. 自建服务加密体系不完善，还值得部署2FA吗？如果所有用户都用2FA和唯一密码，服务遭入侵泄露密码会有严重后果吗？ #

先回答第一个小问题：非常值得部署2FA。哪怕服务端的加密做得不够好（比如密码存储的哈希强度不够），2FA依然能给账号加上关键的一层防护——就算攻击者拿到了哈希后的密码并破解成功，他们还得拿到用户的2FA验证码才能登录，这大大降低了账号被批量盗用的风险。当然，这不是说可以放任加密体系不完善，后续还是要尽快优化服务端的加密（比如用bcrypt、Argon2这类强哈希算法存储密码）。

再看第二个小问题：后果会比没有2FA和重复密码的情况轻很多。因为用户用了唯一密码，就算密码泄露，也不会影响他们在其他平台的账号；加上有2FA，攻击者就算拿到了用户名和密码，也没法直接登录你的自建服务。不过还是要注意，一旦发现服务被入侵，要立刻通知用户修改密码，同时检查有没有其他数据泄露（比如用户的个人信息），及时采取补救措施。

内容的提问来源于stack exchange，提问作者Ryukote