每年都会有人细数微信的罪状，，，其中一条必被提及的就是 PC 端永远只能扫码登录，，，比照其他软件账号可以用密码登录并不利便。。。 网络清静公司 Hive Systems 克日宣布了其 2025 年密码表，，，年表显示，，，若是黑客拥有一张前段时间刚宣布的 RTX 5090 的话，，，他们破解一个8位纯数字的密码只需要 3个小时。。。 可是表格里的另一个趋势，，，照旧引起了托尼的担心 —— 同样是8位纯数字的密码，，，用4090 破解还需要 4 个小时，，，而用 5090 的话就能快一个小时？？？？？？ 这还不但是托尼自己有过这样的想法，，，1976 年，，，惠特菲尔德?迪菲（Whitfield Diffie）和马丁?赫尔曼（Martin Hellman）在提出公钥加密理论时指出：“密码学的清静性依赖于盘算重大性，，，而算力的指数级增添可能倾覆这一基础”。。。 也就是说平台生涯的密码不是密码自己，，，而是密码对应的是以哈希值，，，这样做主要是避免有黑客攻破了效劳器的清静防地之后，，，直接就能拿到用户的账号密码。。。 并且哈希值是不可逆的，，，由于用差别哈希值盘算软件获得的哈希值也有可能纷歧样，，，以是纵然黑客真的攻破了效劳器，，，拿到了哈希值，，，也没法直接知道密码。。。除非黑客能同时破解哈希值的加密算法。。。 以是，，，黑客想要进一步的话，，，也没有更好的办法，，，只能实验去列出你键盘上所有字符的组合，，，然后对它们举行哈希运算，，，直到找到跟效劳器偷来的哈希值一样的组合。。。 而显卡在整个历程中施展的作用，，，更多的照旧加速差别字母和数字组合的哈希值盘算，，，让黑客能够尽快得出哈希值跟准确密码匹配的字符组合。。。 智慧的差友们应该就要问了，，，既然是这样，，，我多整几个字符组合，，，既有大写又有小写还带个标点符号不就得了，，，这样黑客就得多试几个组合。。。 虽然啦，，，光靠这样的方法也照旧不敷的，，，由于理论上，，，纵然加了更多的字母和符号密码，，，实质上都只是一堆字符组合，，，依旧能被暴力算出来，，，只是时间和算力的问题罢了。。。 图片泉源：代码讲故事 - 《项目实战详细解说带有条件响应的 SQL 盲注、MFA绕过手艺、MFA绕过手艺、2FA绕过和技巧、CSRF绕过、怎样寻找NFT市场中的XSS误差》 顾名思义，，，多因素认证的意思，，，就是在账号密码的基础上，，，引入别的认证机制实现登录，，，各人较量熟悉的指纹识别登录和面部登录，，，尚有扫码验证这些都属于多因素认证。。。 短信验证码的手艺原理各人应该比我还清晰了，，，现实上就是效劳器给用户发一个暂时性的密钥，，，等用户输入之后再拿来跟刚刚发出去的比照，，，对上了就说明 “ 他是对的人 ”。。。 我们开头提的扫码实现思绪也有相似之处，，，细究起来，，，现实上是将用户的手机账号当成了开锁钥匙，，，默认用户能够进入手机拿到验证码，，，能够扫码，，，就说明用户已经通过了PIN、指纹或面部识别验证，，，基本就可以确保是在机主自己操作。。。 相比之下，，，指纹识别跟面部识别的这种生物特征认证方法会越发重大一点，，，各人感兴趣的话以后有时机可以单开一篇带各人的温习一下这两种认证方法，，，是怎么包管清静登录的。。。 不管是哪一种多因素认证方法，，，他们的焦点逻辑都大差不差，，，那就是给账号再上一道锁，，，让用户在登录时除了输密码这种 “ 知道的工具 ” 之外，，，还得再验证 “ 拥有的工具 ” 。。。 这样就大大地提高了黑客破解的门槛，，，手机号吸收验证码、面部尚有指纹这些，，，可不像一串密码一样，，，光靠几张显卡硬算就能算出来的。。。 早在2020年，，，微软的工程师RSA清静聚会上提到过，，，多因素认证可以对抗掉绝大大都的自动化账户攻击，，，他们每个月追踪的被攻击账户中，，，99.9% 都没有使用多因素身份验证。。。 一家名叫 JumpCloud 的公司，，，在它的《2024年IT趋势报告》声称，，，83%的组织对某些IT资源接纳基于密码的身份验证方法的同时，，，还要求使用多因素身份验证，，，另外凌驾三分之二（66%）的组织要求使用生物识别手艺。。。 一个叫 Beyond Identity 的网站就枚举了十大绕过多因素身份验证的经典案例，，，众多多因素认证计划翻车的平台里，，，不乏有微软、Uber 这样的全球性大平台。。。