他们没黑掉 iCloud，他们只是猜对了你狗的名字

他们没黑掉 iCloud，他们只是猜对了你狗的名字

2014 年 8 月底，几十位知名女演员和模特的私密照片开始出现在 4chan 上，然后是 Reddit，然后是全网。新闻标题说 iCloud 被"黑"了。苹果调查后发了一份声明，比标题更精确，也更让人不安：这些账号是通过"针对用户名、密码和安全问题的定向攻击"被攻破的。

再读一遍。不是苹果的加密被破解了。不是云出了漏洞。是用户名、密码，和安全问题。

没人撬锁。他们只是问对了看门人几个问题，看门人就把钥匙递了出来。

藏在脚垫下的备用钥匙

每个网络账号都有两扇门。一扇是正门——你的密码，也许还有双重验证，就是你想到"安全"时想到的那个东西。另一扇是侧门：账号找回。忘了密码？回答几个问题。查一下备用邮箱。收一条短信。

侧门的存在，是因为公司知道人会忘密码。这是个客服功能。而它在结构上是整个系统最弱的一环——因为它必须弱。一个合法用户在倒霉的一天、借来的手机上、记忆模糊的情况下能走完的找回流程，攻击者花点心思做点调研，一样能走完。

想想"安全问题"到底在问你什么。你母亲的娘家姓。第一只宠物的名字。你长大的那条街。第一辆车的型号。这些问题设计出来的年代，那些还算是隐私——只有你和家人才知道的事。那个年代，大致终结于 Facebook 诞生的那一刻。

你母亲的娘家姓在族谱网站上。你第一只宠物的名字在你 2016 年的 Instagram 配文里（"怀念饼干！"）。你长大的那条街在你的高中同学群里。你的第一辆车在你十年前发过的一张照片里。对大多数人来说，你那些"秘密"问题的答案，三十来分钟就能搜到。对名人——一个被成千上万陌生人写过传记的人——大概三分钟。

2014 年攻击者到底做了什么

公开报道描述的 2014 年事件，是个耐心但毫无技术含量的操作。一些攻击者发钓鱼邮件，伪装成苹果和谷歌的安全提醒，把目标引向假的登录页面。另一些人利用了当时苹果"查找我的 iPhone"服务不限制密码猜测次数的漏洞——用自动化脚本对着已知的 Apple ID 一天试几千个常用密码，还不会被锁。

这些都不需要破解加密。不需要内鬼。只需要知道正门旁边有扇侧门，而侧门的守卫问的那些问题，答案全是公开的。

苹果的回应很说明问题。他们没有宣布加强加密——加密本来就没问题。他们开始在 iCloud 被新设备访问时通知用户，并大力推广双重验证。换句话说：他们试着让侧门开门的时候响一点，好让你听见。

但侧门还在。它必须在。每个提供"忘记密码"的云服务都有一扇。

找回的悖论

这是个云服务商永远解不开的悖论：账号越容易找回，就越容易被偷走。这是同一个性质。找回流程的定义，就是"不用密码也能进来"的方法。每一个让你更方便的步骤——少问几个问题、重置快一点、客服热情一点——都让冒充你的人更方便。

中国有句老话："家丑不可外扬。"有意思的是，安全问题恰恰把"家丑"——那些本该只有自家人知道的事——当成了身份验证的方法，而在这个年代，"家丑"早就被挖出来晒在太阳底下了。那些本该证明"你是你"的东西，现在证明的是"谁都可以是你"。

这不是在反对云。云是了不起的工具，对大多数事来说，方便值得这个代价。但值得清醒地看明白你在付什么代价：任何被"忘记密码"链接保护的东西，都是被一套"只要故事编得像，就放陌生人进来"的流程保护着。

什么东西值得放在没有侧门的地方

你数字生活的大部分，承受得起这个风险。你的播放列表、购物记录、群聊——就算有人进去了，也就是膈应，不至于天塌。

但每个人都有一类东西，"膈应"这个词太轻了。无法重拍的全家福。日记。一辈子心血的存档。丢不得的东西，有些还见不得光。对这些东西，问题不是正门够不够结实，而是到底有没有侧门。

最强的锁不是更好的承诺，而是根本没有门。

一块你自己加密的离线硬盘，躺在没有网络的保险库里，没有"忘记密码"链接。没有能被花言巧语哄着重置你权限的客服。没有问你狗叫什么的安全问题，因为根本没有登录界面。进去的唯一办法是你脑子里的那串密码——要是连它也丢了，数据就没了。这是这套安排诚实的代价，丑话说在前头。

我们这些年学到一件事：人们要的不是"黑不掉"。人们想停止那种焦虑的算术——每次看到又有数据泄露的新闻，心里就"万一呢、万一呢、万一呢"地打鼓。知道最私密的东西根本没有远程可达的路径，那种安静，庄子两千多年前就说过：无用之用，方为大用。我们管它叫——这就是我们做这件事的全部意义。