专家解析：“小米短信云同步安全缺陷导致被盗10万” 谁之过？该如何防范？

　　短信验证码缺陷背后是一个很长很长的链条，此文仅是趁着小米短信验证码事件进行初步解析，并非针对小米一家，恰恰在这件事中，枪口仅仅对着小米也是不公平的。启明星辰副总裁，特邀专栏作者，希望本文能让你对小米事件有一个初步的了解，保护好自己的信息安全。

（来自事主的知乎，现原文已被暂时清除）

　　之前发生了因为疑似攻击者通过小米短信云同步功能窃取银行验证短信，从而盗取十万元现金的事件，关于背后的责任问题，我想来仔细分析下。

　　1、“双因素认证”

　　我们知道，信息安全领域有一个原则，就是“不要把鸡蛋放在一个篮子里”，所以一般来说，类似网银转账这样的高安全性要求的操作，应该执行双因素认证。

　　双因素认证：早期的用户认证方式往往只采用账号和密码，默认持有账号密码的就是用户本人，如果用户的账号密码丢失了，那么整个账号的控制权都会丢失。

　　随着信息化越来越普及，出现了针对账号密码的各种攻击手段，包括：木马后门、网络窃听、暴力破解、拖库撞库等等。单一地通过账号密码来验证用户身份的方式已经不能很好地保护用户账号的安全性。

　　因此，大多数重要的系统，都引入了双因素认证，也就是除了账号密码外，还需要通过其他的认证方式再次验证用户身份，从而确保即使用户密码丢失，也不会遭到巨大损失。

　　双因素认证的方式很多，从早期的动态令牌、U-key到现在最流行的手机验证码，都属于双因素认证。双因素认证极大地提高了用户的账号安全性，使得窃取用户账号的难度比原先提高了很多。

　　大家会觉得很奇怪，既然网上银行已经采用了双因素认证，那么银行卡被盗的事情应该很少发生，为什么最近却听到不少手机银行被盗刷的事件呢？