VPN 与双重验证：两层不同的安全防护

VPN 和双重验证（2FA）经常被放在一起提，因为它们都出现在安全检查清单上。有人以为它们做的是同一件事，或者觉得有了一个就可以不要另一个。这两种想法都不对。VPN 关乎数据所走的那条路，双重验证关乎路尽头的那扇门。一个决定谁能看到你经过，另一个决定谁能走进去。

本文把两者并排比较。你会看到各自能应对哪些攻击、使用 VPN 为什么有时会招来额外的验证提示、遇到提示该怎么办，以及怎样搭建一套既难被攻破又好用的组合。这是面向普通用户的一般性指南，不保证能挡住所有攻击。

区分两者最简单的办法

问一个问题：保护作用在旅程的哪个环节？

• VPN 作用于连接。 它对设备与 VPN 服务器之间的流量加密，在数据传输途中起作用，尤其是在你无法掌控的网络上。
• 双重验证作用于登录。 在密码之外，还要求第二份证明才能进入账号，在有人（可能不是你）尝试登录的那一刻起作用。

因为作用的时刻不同，一个无法替代另一个。你可能通过最好的 VPN 联网，却因为别人掌握了你的密码而丢掉账号；你也可能拥有完美的双重验证，但酒店网络的所有者仍能看到你访问了哪些网站。关于 VPN 一侧覆盖与不覆盖的内容，见 VPN 保护不了你的哪些方面；第二重验证的基础知识，请阅读什么是双重验证。

每一层能挡住哪些攻击

攻击	VPN	双重验证
有人在共用 Wi-Fi 上读取你的流量	有帮助	没有作用
你的密码从被攻破的网站泄露	没有作用	帮助很大，因为仅凭密码不够
针对你账号的猜密码或撞库攻击	没有作用	帮助很大
你把密码输入了假登录页	没有作用	部分有帮助。应用验证码可能被假页面转发；安全密钥和通行密钥可以抵御
网络服务商记录你访问的网站	有帮助	没有作用
有人偷了你的手机并尝试打开应用	没有作用	如果第二重验证不在同一台已解锁的手机上，则有帮助
设备上的恶意软件	没有作用	作用有限
换卡攻击把你的短信转到别人手里	没有作用	短信验证码失效，应用或密钥验证码仍然有效

这张表里两列几乎是相反的。这正是重点：两层防护是互补的。

第二重验证实际是怎么工作的

常见的第二重验证有四种，强度差别很大，了解区别很有必要。

方式	工作原理	优点	缺点
短信验证码	验证码通过短信发来	简单，任何手机都能用	可能被换卡攻击截获，也可能被钓鱼
验证器应用	在设备上生成基于时间的验证码	不需要网络，是 RFC 6238 描述的标准 TOTP	假页面仍可实时转发验证码
安全密钥	需要触碰或插入的小型硬件	抗钓鱼，因为它会核对真实网站地址	需要随身携带，并准备备用
通行密钥	保存在设备上或安全同步的加密密钥	抗钓鱼，并且不再需要密码	各服务的支持程度仍不一致

CISA 关于多因素认证的页面解释了为什么即使较弱的第二重验证也好过没有，FIDO 联盟则说明了通行密钥的原理。NIST SP 800-63B 对各种方式分级，在它的指引中，短信是被接受的方式里最弱的一种。

为什么 VPN 可能引来额外的验证

这是两种工具在日常生活中交汇的地方，也是最常见的困惑来源。

注重安全的服务会观察登录的环境：你常用的国家或城市、常用设备、网络类型。如果登录来自不寻常的地方，即使密码正确，它们也可能要求额外证明。VPN 会把服务看到的地址换成 VPN 服务器的地址。在服务看来，你可能突然出现在另一座城市，或者位于成千上万人共用的地址上。于是服务可能：

• 要求输入验证码，尽管你平时一直保持登录；
• 给你发一封"有新设备登录"的邮件；
• 暂时拦截登录，要求你确认是本人；
• 在登录表单前显示验证码图片（CAPTCHA）。

这些都不意味着 VPN 坏了或账号被入侵，只说明安全系统注意到了变化。多数情况下，服务在你登录几次之后会熟悉这种模式并放宽。如果没有放宽，更长的讨论见在使用 VPN 时使用银行应用。

提示妨碍使用时怎么办

按下面的顺序处理。

1. 完成验证。 额外的验证码只是系统在履行职责，照常输入即可。
2. 保持恢复选项最新。 在需要之前，确认备用邮箱和备份码有效。
3. 保持一致。 在 VPN、无 VPN 和移动数据之间频繁切换，比固定模式更可疑。给敏感账号选定一种方式并持续使用。
4. 如果服务彻底拦截你，暂时停用 VPN。 只在信任的网络上做，比如家里的 Wi-Fi 或移动数据，完成登录后再打开。如何关闭 VPN的帮助指南说明了做法。
5. 避免反复失败的尝试。 连续多次失败可能导致账号被锁定。
6. 仍然进不去，就通过官方渠道联系服务，不要点击来历不明的消息里的链接。

场景示例

出行的人。 小玲到了另一个国家，连上机场 Wi-Fi，打开 VPN 后查看邮箱。邮件服务商发来提示："来自新位置的登录"。她通过服务商应用里的提示在手机上批准，这个方式根本不依赖网络位置。她没有被锁在门外，因为保存了备份码，还有验证器应用。如果她只依赖短信，家乡的 SIM 卡在国外可能收不到。

远程办公者。 阿杰每天换一家咖啡馆登录公司工具。公司要求使用双重验证，他在笔记本上用安全密钥。公司的登录也会检查网络，所以 VPN 地址可能触发第二次检查。IT 团队告诉他哪些 VPN 行为没有问题、哪些要避免，他照公司规定办，而不是自己猜，因为工作系统往往有自己的政策。通用思路可参考远程办公中的 VPN。

谨慎的家长。 小梅帮父亲设置账号。她给父亲的邮箱设置了又长又独一无二的密码和验证器应用，把备份码写在纸上，还在他的平板上装了 VPN，用于他常去的咖啡馆 Wi-Fi。她告诉父亲，如果开着 VPN 时银行要验证码，就照常输入；而且绝不能把验证码读给打来电话的人听。

双重验证被攻破的常见方式，以及 VPN 为何无济于事

• 实时钓鱼。 假页面同时索要密码和验证码，并立刻转发给真实网站。VPN 无法发现这一点。请学习识别钓鱼页面的迹象。
• 轰炸式授权请求。 拿到密码的攻击者不断发出批准请求，直到你因厌烦而点了"批准"。对所有意外的提示一律拒绝，并更换密码。
• 换卡攻击。 犯罪分子说服运营商把你的号码转到他的 SIM 卡上。优先使用应用或密钥，并向运营商设置 PIN。
• 社会工程。 来电者冒充银行，要求你读出验证码。验证码只属于你自己，真正的工作人员不会索要。
• 会话被盗。 恶意软件窃取你设备上已登录的会话。请保持软件更新，不要安装来历不明的应用。

无摩擦地同时使用两者

下面是一套既避免被锁定、又不留漏洞的实用流程。

1. 先为邮箱、银行、云存储和社交媒体开启双重验证。 邮箱是重置账号的总钥匙，最需要保护。
2. 离线保存备份码。 打印或写在纸上，与手机分开存放。
3. 只要服务允许选择，就优先使用验证器应用、安全密钥或通行密钥，而不是短信。
4. 在共用和公共网络上使用 VPN，并在工作或隐私需要时使用。XPASS 用户使用免费的 VPNclient 应用，凭 My Pass 页面上的用户名和密码登录，下载页面列出了各类应用。
5. 预期第一次开着 VPN 登录时会有额外提示。 确认是你本人之后，再有意识地批准。
6. 同时保护好 VPN 的登录信息。 把凭据存进密码管理器，使用不重复的密码，不与他人共享。
7. 每季度检查一次。 移除旧设备，试用一个备份码，更新恢复邮箱。

值得记住的局限

双重验证降低了仅凭被盗密码就打开账号的可能，但并不会让你刀枪不入。VPN 减少了网络能观察到的内容，却不会让你匿名，也不能让你免受钓鱼。两者都无法阻止你自己被骗去批准某件事。最好的习惯是在任何批准或输入验证码之前停顿一下：谁在要求？在哪里？为什么？如果想了解 VPN 软件本身会不会受到攻击，请阅读 VPN 会被黑客攻破吗。

总结

VPN 守护连接，双重验证守护登录。它们应对的攻击不同，所以谁也替代不了谁。VPN 可能引来额外的验证提示，因为它改变了服务看到的地址，这是正常反应而不是故障。请使用你能用到的最强的第二重验证，离线保存备份码，对敏感账号保持一致的使用方式，并对意外的提示或验证码请求保持怀疑。

如果你想以简单的预付形式补上连接这一层，可以随时看看价格页面。