去年遭黑之后，Twitter內(nèi)部只使用安全密鑰作為2FA認(rèn)證方式

去年一名當(dāng)時(shí)只有17歲的青少年Graham Clark針對(duì)Twitter內(nèi)部員工展開電話魚叉式網(wǎng)絡(luò)釣魚攻擊，取得了多名Twitter員工的憑證，這起事件讓Twitter痛定思痛，要求內(nèi)部員工只能使用安全密鑰作為雙因素認(rèn)證（2FA）的途徑，并于本周對(duì)外分享了整個(gè)過程。

由于Twitter員工得以永遠(yuǎn)選擇遠(yuǎn)程工作，因此Twitter是統(tǒng)一采購適用的實(shí)體密鑰并發(fā)送至全球的超過5,500名員工，選擇的是YubiKey 5 NFC及YubiKey 5C NFC密鑰，因?yàn)樗鼈兺瑫r(shí)支持采用USB的筆記本，以及采用NFC的Android或iOS設(shè)備。

除了通過YubiKey的傳送服務(wù)將密鑰寄至美國、加拿大與歐洲地區(qū)之外，其地地區(qū)的員工則憑借當(dāng)?shù)氐暮献骰锇閭魉汀?/p>

此外，Twitter也于內(nèi)部系統(tǒng)添加對(duì)安全密鑰的支持，例如該系統(tǒng)原本就支持WebAuthn，但現(xiàn)在也添加對(duì)系統(tǒng)認(rèn)證的支持，包括蘋果的FaceID/TouchID，微軟的Windows Hello，以及Android內(nèi)置的實(shí)體密鑰，以增加使用密鑰的便利性，也不致于對(duì)尚未收到實(shí)體密鑰的員工造成困擾。

接著身居世界各地的員工就必須注冊(cè)密鑰，之后Twitter再關(guān)閉舊有的2FA系統(tǒng)，強(qiáng)制員工于內(nèi)部網(wǎng)絡(luò)使用安全密鑰，整個(gè)流程在3個(gè)月內(nèi)完成。

在這期間Twitter處理了許多意外與難題，像是在疫情期間吃緊的物流有時(shí)會(huì)把密鑰寄丟，也必須開發(fā)機(jī)制來關(guān)注員工的密鑰注冊(cè)狀況，并提供必要的技術(shù)支持，同時(shí)鼓勵(lì)員工擴(kuò)大采用安全密鑰，就算離職了還是可保有安全密鑰來保護(hù)自己的個(gè)人賬號(hào)。

Twitter也發(fā)現(xiàn)了不少安全密鑰生態(tài)體系值得改善的地方，例如雖然有越來越多的系統(tǒng)支持安全密鑰，但仍有些不足，像是某些桌面應(yīng)用程序經(jīng)常通過嵌入式瀏覽器來加載SSO登錄畫面，但這些嵌入式瀏覽器解決方案卻不支持WebAuthn協(xié)議，Twitter認(rèn)為，在理想的狀態(tài)下，桌面的應(yīng)用程序應(yīng)該采用系統(tǒng)默認(rèn)的瀏覽器，因?yàn)樗鼈冊(cè)赟SO登錄流程中皆支持安全密鑰。

此外，若要替換密鑰也是個(gè)挑戰(zhàn)，Twitter發(fā)給每個(gè)員工兩個(gè)實(shí)體密鑰，一個(gè)是主要密鑰，另一個(gè)作為備份使用，再利用SSO來減少員工注冊(cè)密鑰的數(shù)量。不過，Twitter期待會(huì)有更好的方法來幫助員工或用戶添加或移除密鑰，也建議可提供更友善的WebAuthn接口。