微软逐步取消短信登录，转向通行密钥

关键信息

微软表示，短信身份验证如今已成为欺诈的重要来源，因为短信没有端到端加密，可能被拦截。公司建议将通行密钥存入密码管理器、使用实体安全密钥，或通过 Windows Hello、面部/指纹识别和 PIN 完成登录。

资讯摘要

微软正在改变个人 Microsoft 账户的认证方式，开始逐步取消用于登录和账户恢复的短信验证。公司是在一页新的支持文档中公布这一变化的，并表示将引导用户转向通行密钥。微软认为，基于短信的认证容易受到钓鱼和 SIM 卡交换攻击，攻击者可能借此获取验证码并接管账户。微软还指出，短信并没有端到端加密，因此在传输过程中更容易被拦截。

为了替代短信，微软表示会引导用户添加已验证邮箱和通行密钥。如果用户想更早使用通行密钥，微软也提供了设置方法的支持说明。文章提到，通行密钥可以通过主流密码管理器、实体安全密钥、移动设备，或 Windows 电脑上的 Windows Hello 使用。虽然这一迁移需要一些额外设置步骤，但文章认为从长期看，安全性和便利性的提升值得这样做。

资讯正文

微软不会再向你发送用于登录的短信了——为什么它正在转向通行密钥

ZDNET要点：微软正在逐步取消 SMS 作为一种身份验证方式。SMS 短信未加密，容易受到黑客攻击。微软账户持有人将被提示改为设置通行密钥。

当你尝试登录或恢复某个在线账户时，通常会收到一条短信，提示你验证自己是账户所有者。但这种基于 SMS 的消息并不是安全的身份验证方式。现在，微软正在对使用微软账户的用户叫停这一做法。

此外：移动钓鱼现在比电子邮件更具威胁——如何保持安全

在一个新的支持页面上，微软宣布，它将开始逐步取消对个人微软账户使用 SMS 作为身份验证和账户恢复方式。取而代之的是，该公司正在推广通行密钥，这种方式能提供强得多的安全性。

是什么让 SMS 身份验证如此不安全？为什么 SMS 是如此糟糕的身份验证形式？无论你使用哪款消息应用，SMS 都缺乏端到端加密来保护短信在传输过程中的安全。因此，黑客可以截获消息，进而获取其中包含的安全代码。

一种常见手法是 SIM 卡交换。黑客一旦截获你的短信，就可以利用安全代码登录你的移动账户，从而诱使运营商把你的号码转移到另一张 SIM 卡上。之后，他们就能接收发送到你号码上的 SMS 验证短信，进而逐个接管你的个人账户。

“基于 SMS 的身份验证如今已成为欺诈的主要来源，而通过转向无密码账户、通行密钥和已验证电子邮件，我们正在帮助你领先于不断演变的威胁，同时让账户访问更简单、更无缝，”微软在其支持页面上表示。“SMS 身份验证容易受到网络钓鱼和 SIM 卡交换攻击。我们正在用通行密钥和已验证电子邮件取而代之，以提供更好的保护和便利。”

此外：你是否应该停止通过 Google 和 Facebook 登录？权衡这些单点登录（SSO）的风险与收益

移动运营商当然也意识到了 SIM 卡交换的风险，如今许多运营商都提供 SIM 保护，将你的电话线路锁定，以防止未经授权的更改。不过，SMS 仍然是一种本质上脆弱且容易受到攻击的身份验证方式。随着 SMS 逐渐退出舞台，你将如何验证微软账户的登录或恢复？对此，微软表示，它会引导你添加已验证电子邮件和通行密钥。如果你不想等待，并希望立即设置通行密钥，另一篇微软支持页面解释了具体做法。

使用密码管理器的又一个理由

通行密钥的一个小麻烦是它们与设备绑定。比如，如果你在电脑上创建了一个通行密钥，但之后需要在手机上使用，或者反过来，会发生什么？

为跨过这道障碍，微软建议使用密码管理器来存储通行密钥，并在安装了该程序的任何设备上使用它。如今，大多数主流密码管理器都支持通行密钥，包括 Edge 中的 Microsoft Password Manager、Google Password Manager、Apple Passwords、1Password、NordPass、Bitwarden 和 Dashlane。

另外：最佳密码管理器：经专家测试

另一种方法是将通行密钥保存到实体安全密钥中，然后你可以把它插入电脑或移动设备来验证你的账户。或者，你也可以把通行密钥保存在手机上，并在需要在电脑上登录时扫描它。在 Windows 电脑上，Windows Hello 也支持通行密钥。无论你选择哪种方式，通常都会使用人脸、指纹、安全密钥或 PIN 来通过通行密钥登录。

尽管向通行密钥的过渡确实需要几个步骤，但俗话说，短期的痛苦换来长期的收益。我赞赏微软做出这一改变。我希望更多公司也能效仿。

来源与参考

1. 原始链接
2. Microsoft won't send you SMS texts for login anymore - why it's pushing passkeys instead