安全的密碼恢復：保護您的重設流程
密碼重設機制是帳戶奪取中最常被利用的攻擊向量之一。無法破解您密碼的攻擊者往往會針對恢復流程——而許多恢復設置都弱得令人震驚。
密碼重設機制是帳戶奪取中最常被利用的攻擊向量之一。無法破解您密碼的攻擊者往往會針對恢復流程——而許多恢復設置都弱得令人震驚。
無法破解您強密碼的複雜攻擊者面臨一個問題——除非您的帳戶恢復機制比密碼本身更弱。密碼重設流程通常需要存取已註冊的電郵地址、已註冊的手機號碼（用於短訊驗證碼）、安全問題的答案，或這些方式的某種組合。這些恢復方式中的每一個都可能遭到入侵：電郵帳戶可被接管；電話號碼可被換卡攻擊；安全問題的答案往往可透過公開的個人資訊回答。
經典的帳戶奪取劇本往往從恢復機制而非密碼開始。想要存取您銀行帳戶的攻擊者，可能會先接管與銀行帳戶關聯用於密碼重設的電郵地址，然後使用該電郵存取權限向銀行請求密碼重設。或者，他們可能透過換卡攻擊（說服您的移動電話運營商將您的號碼轉移到他們控制的 SIM 卡）獲取您的電話號碼，從而接收您的短訊重設驗證碼。這就是為什麼保護您的電郵帳戶是基礎——它是大多數其他帳戶的恢復機制。
安全問題代表許多恢復系統中特別薄弱的環節。「您母親的娘家姓是什麼？」、「您出生在哪個城市？」或「您第一隻寵物叫什麼名字？」等問題，往往可以由任何對目標進行了幾分鐘社交媒體研究的人正確回答。更糟糕的是，這些事實中有許多是靜態的且永久不變——與密碼不同，您無法更改您母親的娘家姓。依靠安全問題進行密碼重設的系統，其安全性明顯低於依靠電郵或基於 TOTP 驗證的系統。
您的主要電郵帳戶是最重要的帳戶，因為它幾乎是所有其他帳戶的恢復中心。它應具備：您管理的最強密碼（僅次於您的保險庫主密碼）、使用驗證器應用程式（而非短訊）啟用的雙重驗證、本身安全良好的恢復電郵或電話，以及安全儲存的強帳戶恢復密語。如果您的主要電郵是 Gmail 帳戶，請啟用 Google 的進階保護計劃以獲得最高安全級別——它需要硬件安全金鑰，並大幅限制恢復選項以防止帳戶奪取。
對於基於電話號碼的恢復，請了解換卡攻擊的風險。換卡攻擊之所以成功，是因為移動電信商的客戶驗證流程有時可以使用公開的個人資訊繞過。緩解措施包括：為您的電信商帳戶添加 PIN 或密碼（香港主要電信商包括中國移動香港、香港電訊/電訊盈科和數碼通均提供 SIM 卡 PIN）；盡可能使用驗證器應用程式而非短訊進行雙重驗證；以及對於最高價值的帳戶，使用完全不依賴您電話號碼的恢復選項。
在將安全問題用於密碼恢復的系統中，絕不應如實回答安全問題。取而代之，生成隨機字串作為答案，並將其儲存在密碼管理器中該帳戶的備忘錄字段中。「您母親的娘家姓是什麼？」在您的保險庫中可能得到答案「Kx7mNqR2@vL9」——這個答案無法被研究或猜到，但在需要時可立即取得。這將歷史上弱的機制轉化為更強的機制。
當您在帳戶上啟用雙重驗證時，大多數服務會提供一組單次使用的備用恢復碼——通常是 8 至 12 個數字或英數字碼，在您無法使用主要雙重驗證方式時可代替使用。這些碼至關重要：如果您遺失手機且沒有這些碼，您可能會被永久鎖在帳戶之外。它們需要以既安全（不易被竊取）又可存取（即使手機遺失也能取得）的方式儲存。
對大多數帳戶而言，儲存雙重驗證恢復碼的最佳位置是密碼管理器的安全備忘錄——附在相關帳戶條目中。這意味著您的恢復碼在保險庫中加密，可在任何能開啟保險庫的裝置上存取，並與其保護的憑證一起整齊存放。例外情況是密碼管理器帳戶本身的恢復碼，必須單獨儲存（因為如果您被鎖在管理器之外，就無法存取保險庫）——這些屬於應與主密語備份一起放在實體安全位置的資料。
對於主要電郵和銀行服務等關鍵帳戶，恢復碼的實體備份提供了額外的安全網。為這些最高價值帳戶打印或寫下恢復碼，並儲存在防火保險箱或保險櫃中。實體儲存的不便對於保護您的財務和身份基礎設施的帳戶而言是合理的。每年為高價值帳戶審查並重新生成恢復碼，使舊的一組失效並創建新的。
系統性的恢復安全稽核在一次操作中審查所有關鍵帳戶的恢復設置。從您的主要電郵帳戶開始——檢查已註冊的恢復電郵、已註冊的電話號碼、恢復電話是否有自己的 SIM 卡 PIN，以及您是否安全儲存了帳戶恢復密語。進行任何必要的更改，然後轉至財務帳戶：您的主要銀行、投資平台和 PayMe 或其他電子錢包服務。
對於每個關鍵帳戶，記錄：可用的恢復方式；您已啟用哪些方式；恢復碼儲存在哪裡；以及您最後一次審查此資訊的日期。這個文件不需要很詳細——在密碼管理器的每個帳戶備忘錄中的簡單記錄（「恢復電郵：[地址]。雙重驗證碼：在保險庫備忘錄中。最後審查：[日期]」）就足夠了。記錄的行為迫使您檢查每個帳戶，並為未來的審查創建提醒系統。
初始稽核完成後，持續的恢復安全維護就很簡單了。當您更改電話號碼時，在停用舊號碼前立即更新所有帳戶恢復設置——這是一個經常被忽視的步驟，可能會鎖定您的帳戶，或留下舊的、可被入侵的號碼作為活躍的恢復選項。更改主要電郵地址時，同樣更新所有帳戶恢復設置。將「恢復設置審查」納入您的年度密碼安全審查週期。
