03 · 常用操作 · 日常与安全
基本安全常识（含上网安全）
本篇你将学到
- 什么样的密码才算强，为什么要用密码管理器
- 两步验证（多因素认证）为什么重要
- 怎么认出钓鱼消息
- 公共 Wi-Fi 能不能用，地址栏的 🔒 说明什么
- 及时更新，以及系统自带的安全防护
1. 密码：长、随机、每个都不一样
美国网络安全与基础设施安全局（CISA）的三条建议[1]：
- 够长：至少 16 个字符，越长越好。
- 够随机：一串随机的大小写字母、数字、符号；或者 4～7 个互不相关的词连起来，叫“密码短语”，比如
HorsePurpleHatRunBay。 - 不重复：每个账号用不同的密码。否则一个网站泄露，别的账号也跟着遭殃。
生日、宠物名、12345 这种密码，就像锁了门却把钥匙插在锁上[1]。
美国国家标准与技术研究院（NIST）给网站定的规矩也说明了“长度比花样重要”[2]：
- 只靠密码登录时，密码至少 15 位；配合两步验证时至少 8 位。
- 不应强制要求“必须同时有大写、数字、符号”这类组合规则，也不应要求定期改密码；但确定泄露了就必须改。
- 应该拒绝常见、易猜、已泄露的密码，并且允许用密码管理器自动填写和粘贴。
密码管理器是帮你生成、保存、自动填写密码的软件。这样你只要记住一个强密码（管理器自己的那个）[1]。浏览器自带的密码管理器就是免费的一种[1]。研究也发现，用密码管理器的人更容易选出强密码[2]。
2. 两步验证：再加一道锁
两步验证（也叫多因素认证，MFA）就是登录时除了密码，还要再证明一次是你本人：比如输入短信或邮件里的验证码、验证器 App 生成的数字，或者用指纹、人脸[3]。
这样就算密码被偷了，坏人也过不了第二步[3]。就像家门有了两把锁，小偷只偷到一把钥匙也进不来。
怎么开：在账号的“设置 → 安全”里找“两步验证”“双重认证”之类的选项，打开它，选一种验证方式[3]。邮箱、银行、社交账号优先开[3]。
3. 识别钓鱼
钓鱼是坏人冒充你信任的人或机构，用邮件、短信、私信或电话骗你点链接、打开附件、交出个人信息[4]。
常见信号[4]：
- 催你、吓你：“立即处理，否则冻结 / 退回 / 罚款”。
- 要你的个人或财务信息：密码、验证码、银行卡号。
- 可疑的链接：短网址，或者看着像、其实拼错的地址，比如把 amazon 写成 amazan。
- 以前“错别字多”也是信号，但现在有了 AI，骗子的文字也可能很通顺，别只看这一点。
怎么办[4]：
- 别点链接和附件，包括“退订”链接，也别回复。
- 觉得可能是真的，就换一种方式核实：自己打开官网或 App，或者打电话问本人。别用消息里给的号码和链接。
- 举报，然后删掉。
两个前面学过的技巧也很管用：看域名最后两段才知道网站属于谁（见 03-05）；附件名字是 .pdf.exe 这种双扩展名的，其实是程序（见 03-01）。还有：验证码就是你的第二把钥匙，谁要都不给。
4. 公共 Wi-Fi 和 🔒
咖啡馆、商场、机场的公共 Wi-Fi 能用吗？
- 美国联邦贸易委员会（FTC）说：以前公共 Wi-Fi 确实危险，因为大多数网站不加密；现在大多数网站都加密了，所以通过公共 Wi-Fi 上网通常是安全的。看地址栏有没有 🔒 或
https就知道连接是否加密[5]。 - 但 🔒 不代表网站可信：骗子也会给假网站加密，你的数据加密送到了骗子手里，一样不安全[5]。
- 当心假 Wi-Fi：中国互联网违法和不良信息举报中心提醒，有人在公共场所搭建假的“免费 Wi-Fi”来套取账号密码。应该先向工作人员确认网络名称，尽量别连不要密码的陌生 Wi-Fi，用公共 Wi-Fi 时最好别登录支付、理财类账号；用了来路不明的 Wi-Fi 登录过账号，事后改一下密码[6]。
- 不用 Wi-Fi 时可以关掉自动连接，防止手机、电脑自己连上同名的假热点[7]。
http 和 https 到底差在哪，见 03-06。
5. 及时更新，用好自带防护
很多软件更新就是为了修补安全漏洞。看到更新提示别一直点“稍后提醒”，尽快装，最好打开自动更新[8]。系统、浏览器、杀毒软件尤其要更新[8]。
Windows
macOS
Linux
- 更新：Ubuntu / Debian 用
sudo apt update && sudo apt upgrade，其他发行版的命令见 02-24。 - 自带防护：只从发行版的官方软件源和可信来源装软件，是 Linux 上最重要的一条。
动手试一试
五条消息，有真有假。点出你觉得可疑的地方，再判断它是不是钓鱼。
先点消息里你觉得可疑的地方（链接、发件人、措辞、附件……），再在下面做判断。
练习用的消息、品牌和网址都是虚构的。
小结
- 密码要长、随机、不重复；用密码管理器，只记一个强密码。
- 重要账号都开两步验证；验证码谁要都不给。
- 钓鱼的信号：催你、要信息、可疑链接；别点，换个方式核实。
- 公共 Wi-Fi 先确认名称，看 🔒；但 🔒 只代表加密，不代表网站可信。
- 及时更新，开自动更新；用好系统自带的防护。
参考资料
- [1]Use Strong Passwords · CISA · Secure Our World（存档页）
https://www.cisa.gov/secure-our-world/use-strong-passwords - [2]NIST SP 800-63B-4: Digital Identity Guidelines – Authentication and Authenticator Management（§3.1.1 Passwords） · NIST
https://pages.nist.gov/800-63-4/sp800-63b.html - [3]Turn On Multifactor Authentication · CISA · Secure Our World（存档页）
https://www.cisa.gov/secure-our-world/turn-mfa - [4]Recognize and Report Phishing · CISA · Secure Our World（存档页）
https://www.cisa.gov/secure-our-world/recognize-and-report-phishing - [5]Are Public Wi-Fi Networks Safe? What You Need To Know · FTC Consumer Advice
https://consumer.ftc.gov/articles/are-public-wi-fi-networks-safe-what-you-need-know - [6]举报中心提醒网民：谨慎使用“免费Wi-Fi” · 中央网信办（中国网信网）
https://www.cac.gov.cn/2015-04/01/c_1114835417.htm - [7]2018国家网络安全宣传周系列漫画丨方便的wifi，还方便了什么？ · 中央网信办（转载自光明网）
https://www.cac.gov.cn/2018-09/11/c_1123412041.htm - [8]Update Software · CISA · Secure Our World（存档页）
https://www.cisa.gov/secure-our-world/update-software - [9]Install Windows Updates · Microsoft Support
https://support.microsoft.com/en-us/windows/install-windows-updates-3c5ae7fc-9fb6-9af1-1984-b5e0412c556a - [10]Stay protected with the Windows Security app · Microsoft Support
https://support.microsoft.com/en-us/windows/stay-protected-with-the-windows-security-app-2ae0363d-0ada-c064-8b56-6a39afb6a963 - [11]Update macOS on Mac · Apple Support
https://support.apple.com/en-us/108382 - [12]Protecting against malware in macOS · Apple Platform Security
https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web