安全令牌

本文约需 2 分钟阅读

安全令牌 (Security Token) 是指用于身份验证的物理设备或软件。包括生成一次性密码的硬件令牌、 USB 连接的安全密钥 (如 YubiKey)、智能手机的身份验证应用等。它作为在密码之外附加的多因素验证的持有要素发挥作用，能够大幅增强账户的安全性。

现场使用案例

“将访问云管理控制台强制要求使用 FIDO2 安全密钥后，经由钓鱼攻击的管理员账户入侵降为了零。 YubiKey 的引入成本每支数千日元，但投资回报率极高。”

安全令牌的种类

硬件令牌是物理设备，分为显示 OTP (一次性密码) 的类型和通过 USB/NFC 连接的 FIDO2 安全密钥。软件令牌作为智能手机应用运行，生成 TOTP。 FIDO2 安全密钥是抗钓鱼能力最强的验证方式， Google 报告称在向全体员工部署后，钓鱼受害降为了零。截至 2025 年，随着通行密钥的普及，对支持 FIDO2 的安全密钥的需求进一步上升。安全密钥相关书籍 (Amazon)可供深入学习。

部署场景与选择方法

在个人使用中，现实的做法是首先为主要账户 (邮箱、银行、社交媒体) 引入 TOTP 应用，并为特别重要的账户追加 FIDO2 密钥。在企业环境中，越来越多的情况是对访问 VPN 和云服务强制要求使用硬件令牌。为应对令牌丢失，重要的是妥善保管备用的恢复代码，或预先注册备用的安全密钥。网上银行也会利用用于交易认证的令牌。

令牌的运用

将强随机密码与安全令牌结合使用，即可实现最高级别的账户保护。请参考两步验证设置指南，从重要账户开始依次部署。由于 SMS 验证易受 SIM 卡交换攻击，建议尽可能迁移到 TOTP 应用或硬件密钥。账户保护相关书籍 (Amazon)也可供参考。