為什麼我認為小米賬戶體系不安全並且小米對曹一聰家的損失應負責任

原帖：https://zhuanlan.zhihu.com/p/22112908?refer=first-aid

我們要明白：現代成熟的安全體系，是一個封閉、結實、可信的圓環。它由一個又一個環節組成，必須得保證每個環節都安全可信才能保證後面環節不受影響。

為什麼這麼說？

如果你有一份機密文件要放起，你用一個不帶鎖的大鐵柜子和一個上了大鐵鎖的紙盒子是一樣不安全的。

為什麼保險箱已經很安全了，卻往往還要存在銀行的金庫中？因為如果保險箱失竊，那麼總有辦法能打開。

為什麼銀行金庫已經很安全了，卻往往還要配備很多保安和很多的安保設施？因為如果人員不到位監控不到位，那麼總有人能靠各種辦法進入金庫從而進行盜竊。

這就是一個系統。必須做到每一個環節都可靠，你的機密才不會丟失。

兩步驗證，就是一個雙保險。

兩步驗證要求用戶首先輸入密碼然後再輸入一個驗證碼。

在如今的【公民信息被大量泄漏、各種網站資料庫被隨意倒賣、黑產行業無比發達】的大形勢下，任何人都沒什麼隱私。即使是你非常信賴的銀行也存在蛀蟲倒賣用戶信息的案例。

你永遠不知道你的信息被賣給了誰。你的父母、家裡的老人，更不會知道。

他們能理解的密碼，只有你們的生日，他們的結婚紀念日，或者是家裡的電話號碼……

這就是為什麼現在各大網站都要用簡訊驗證碼來保證安全。因為這是他們唯一可用的、讓這些中老年用戶也能看得懂、用得起來的安全手段。

而小米在這裡做錯了：它默認同步了用戶的簡訊消息，但它本身的賬號防護卻很不嚴密！

也就是說，小米賬號體系，存在一個不需要經過兩步驗證就能登陸並同步用戶信息的極為嚴重、惡性的安全漏洞！

我們如果縱觀各大廠商的賬戶系統，就會發現，起碼蘋果和微軟，會在它們的賬戶被登陸、訪問敏感信息時，都要給出額外驗證的步驟。例如微軟會在需訪問敏感信息時要求用戶再登陸一次，並輸入兩步驗證的驗證碼。在新設備訪問時也會要求輸入驗證碼。你始終無法繞過。

「兩步驗證」方案的一個基礎假設就是，用戶拿來查看驗證信息的設備是可信的。

而小米呢？它所做的就是：它把所有的新設備都看成是可信的因此導致了它本身的賬戶安全問題；與此同時它又把用戶的信息傳遞給了攻擊者從而導致用戶的驗證設備變成了不可信的！

於是就這樣，曹一聰父母的手機門戶大開，成了犯罪分子大肆掠奪他們財產的工具。

你也許會問，為什麼犯罪分子會知道曹一聰父母的銀行信息？——因為銀行信息往往和手機號會填在一起，還有姓名或者身份證號之類的信息。總之，在你掌握的社工庫足夠多的時候，你一定能把至少一個人的各種主要信息（姓名、身份證號、手機號、銀行卡號、……）能夠匯總在一塊。

比如說你如果填了張快遞單，快遞單信息泄露的話別人就可以獲得你的姓名、手機、家庭住址。

如果你填了張保單然後信息泄露，或者填某些不靠譜的社保表單然後社保機構被黑客攻擊，或者使用過一些在線支付服務並且他們被拖了庫——那麼黑客就可以知道你的銀行信息。

而且，手機銀行登錄，往往不需要知道銀行卡的具體卡號，只要知道手機號，然後猜測對密碼，並且能夠接收驗證碼就行。

很嚇人，但是就是這麼殘酷。只是小米一個環節出了問題，就導致了這麼多餘波。我認為，銀行在此案例里負的責任要比小米輕很多，畢竟信任是一個鏈，下游往往會無條件信任上游，這也算是業界的一個基本標準。但這個案例也告訴我們，這種無條件信任其實是不可靠的，下游有必要仔細檢查上游到底是否可信。即使是手機，即使是這種看似安全性很高的設備（就像一個沒掛鎖的大鐵櫃），也不能放鬆警惕啊。

==