The Google Fans Post

Google 与纽约大学、加州大学圣迭戈分校的研究人员合作研究了 基础的账户保护方法对于阻止黑客攻击的有效性问题 。研究发现，给 Google 账户增加一个账号恢复电话号码能够 100% 阻止机器人攻击、99% 的大规模网络钓鱼（Bulk phishing）攻击和 66% 的针对性攻击。 手机短信这种两步验证方式并不很可靠，有时候 能够被人从中拦截 ，但冒这种险是值得的。比短信验证码更安全的是两步验证应用。 安全密钥则可以保护那些最易受攻击的账户，无论是自动攻击、钓鱼攻击还是高度针对性的攻击，后者通常有国家背景。Google 称百万分之一用户会遭受针对性的账户攻击。 对大多数其他人来说，给账户增加一个手机号码来接收验证码可以显著改善账户安全。 我相信 Google 账户请求用户添加电话号码只是为了向用户传递登录验证码，Google 还在不断开发新的技术， 增加可选项 来供用户自由选取。这与很多网站的账户 现在没有手机号码都不能使用 这种“实名制”安排是有本质上区别的。我已经好多年没有更改过自己 Gmail 的密码了，因为根本不需要。一些网站和 Android 应用的登录也不需要记忆密码，甚至 不用自己设计密码 ，所有密码都保存到 Google 账户而自动填充。我觉得这是 Google 账户增加用户便利性而又不破坏安全性的一个表现。

Google 账户的两步验证、 物理密钥 等均是为了保护用户的账户免于钓鱼攻击等网络威胁。现在，用户 Android 7.0 以上的手机也可以成为保证自己账户安全的密钥， Google 博客宣布 。 Google 有一个高级保护计划（ Advanced Protection Program ）旨在保护网络安全的高危人群比如记者、活动人士和政治竞选参与者。Google 推荐这些用户使用此安全服务。 加入两步验证的用户，只需开启电脑及手机的蓝牙，将手机选择加入“安全密钥”设备即可。 Google 还建议用户备份一份密钥，手机如果丢失，使用这个备份的密钥照样可以登录账户。 把物理设备当成安全密钥的好处是它使不能获取你的设备的人 不可能访问你的验证码 ，使用短信、应用作为两步验证的手段就存在这种可能。 激活手机将其变成安全密钥的服务目前还处于测试（Beta）阶段。