双重验证与侧载应用

作者Scarlet iOS Team 更新时间

双重验证（2FA）是你可以使用的最有效的安全措施之一，在进行应用侧载时它变得尤为重要。使用 App Store 之外的应用会带来一些独特的 2FA 问题，从某些侧载工具如何与你的 Apple ID 交互，到身份验证器应用在侧载后如何运作。本指南将介绍你需要了解的一切。

为什么侧载时 2FA 更加重要

侧载会扩大 iPhone 的攻击面。如果恶意应用窃取了你某个重要账户的登录凭据,2FA 就会充当关键的防线：攻击者不仅需要你的密码，还需要能够访问你的身份验证设备。如果重要账户没有开启 2FA,凭据一旦泄露，攻击者便能长驱直入。而开启 2FA 后，他们还需要获取一次性验证码。

这就是为什么对于任何进行侧载的人来说，在每个重要账户上启用 2FA 应该是前提条件，而不是事后补救的措施。

2FA 的类型及其安全级别

短信验证码 2FA

这是最常见的形式，但也是最薄弱的一种。短信验证码可能通过“SIM 卡劫持”攻击被截获（攻击者说服你的运营商将你的手机号码转移到他们的 SIM 卡上）。尽管如此，它仍然比完全不用 2FA 要好，但如果可以的话建议升级到更安全的方式。

TOTP 身份验证器应用

基于时间的一次性密码（TOTP）应用（例如 Google Authenticator、Authy 或 1Password）会在你的设备本地生成验证码，无需任何服务器通信。这些验证码每 30 秒变化一次，比短信验证码更难被截获。这是大多数账户推荐的基础安全方式。

硬件安全密钥

实体设备（例如 YubiKey）在身份验证时必须实际在场。这是目前最强的 2FA 形式。对于电子邮箱、银行账户和开发者账户尤其有用。一些 YubiKey 支持 NFC,便于在 iPhone 上使用。

通行密钥（Passkey）

Apple 的通行密钥系统将强身份验证直接内置于设备中，对于支持的服务可以完全取代密码。通行密钥能够抵御钓鱼攻击：它们通过 iCloud 钥匙串同步，也没有密码可供恶意应用窃取和重复使用。

侧载工具如何与你的 Apple ID 交互

这是需要重点理解的部分。一些侧载服务会要求你提供 Apple ID 和密码，以便代你为应用签名。如果你使用这类服务:

  • 在登录过程中，它们会提示你输入双重验证（2FA）验证码
  • 一旦完成身份验证，该服务可能会获得长期有效的凭据，后续操作无需每次都进行双重验证
  • 你实际上是在信任该服务不会滥用你的凭据

Scarlet iOS 使用共享证书进行签名，而不是使用你的 Apple ID,因此它不会要求输入 Apple ID 密码。代价是,Apple 可能随时吊销该共享证书。如果某个侧载服务要求提供你的 Apple ID,请仔细考虑：这样做带来的好处，是否值得让该服务访问你的账户。对于风险较高的服务，可以考虑专门为侧载创建一个独立的 Apple ID。

侧载的身份验证器应用

有些用户会选择侧载那些在 App Store 上无法获取的身份验证器应用，比如某款特定的 TOTP 应用、某个硬件密钥的配套应用，或是自建的身份验证方案。如果你打算这样做，请注意以下几点:

备份代码至关重要

如果你侧载了一款身份验证器应用，而它突然无法使用（例如因为证书被吊销），你可能会被锁在使用该应用进行双重验证的账户之外。在任何服务上设置双重验证时，都务必保存好备份代码，并将这些备份代码妥善保存在安全的离线位置。

导出你的 TOTP 种子

大多数身份验证器应用都支持导出 TOTP 种子，也就是用于生成验证码的底层密钥。请定期导出这些种子并安全保存。一旦当前应用无法使用，你就可以将其导入到另一款身份验证器中。

使用多台设备或备用验证方式

对于重要账户，不要只依赖某一款侧载的身份验证器应用。请始终保留一种备用验证方式（例如备用设备、硬件密钥或备份代码），以便随时可以使用。

重点保护你的 Apple ID

Apple ID 是你 iOS 设备的总钥匙，应该配置最强的双重认证（2FA）保护:

  • 确保已启用 Apple 原生的 2FA:设置 → [你的名字] → 登录与安全性 → 双重认证
  • 检查受信任设备：受信任电话号码位于“登录与安全性”下方，受信任设备则列在 [你的名字] 页面的底部
  • 移除任何你不认识的设备或电话号码
  • 使用一个强且独一无二、不与其他账号重复使用的密码

针对 Sideloading 用户的分账号 2FA 建议

  • Apple ID:使用 Apple 原生的 2FA（必须开启）
  • 邮箱账号:使用硬件密钥或 TOTP 应用，因为邮箱是其他所有账号的找回途径
  • 银行账户:使用银行所提供的任何方式，并定期检查是否有未经授权的访问
  • 社交媒体:至少使用 TOTP 应用
  • 密码管理器:使用 TOTP 应用，并将应急恢复密钥安全地离线保存

如果 2FA 验证码无法使用该怎么办

TOTP 验证码依赖于 iPhone 时钟是否准确。如果验证码无法使用:

  1. 检查 iPhone 的时间是否设置为自动：设置 → 通用 → 日期与时间 → 自动设置：开启
  2. 如果使用的是 TOTP 应用，可在其设置中查找“同步时间”或“校正时间”选项
  3. 重启验证器应用
  4. 如有需要，使用备用验证码作为应急手段

总结

2FA 与 sideloading 并不冲突：二者可以共同作用，打造一个安全的使用体验。请在所有重要账号上启用强力的 2FA,对索要 Apple ID 的 sideloading 工具保持谨慎，并准备好备用验证方式，以防某个通过 sideloading 安装的验证器应用出现故障。

想了解更全面的安全实践，请参阅我们关于iOS sideloading 安全性以及如何通过第三方应用商店保护隐私的指南。

安全的 sideloading 始于一个安全的基础：立即开始使用 Scarlet iOS。

类似文章