最弱的一环是人

最弱的一环

链子总是在最弱的一环断开。
不管有多少粗壮的环，
只要有一个弱环，整条链就垮了。
安全也一样。
密码再强、锁再结实，
要是经手的人一不小心把门开了，
剩下的全都白搭。
所以攻击者有时不盯最硬的技术，
而盯最弱的一环，也就是人。
先承认这一点，正是防御的起点。

点一下结实的锁。技术纹丝不动，可一旦有人把门打开，这一切就都白搭了。

锁那一边，怎么砸都纹丝不动。
可人那一边的门一开，
结实的锁就整个失去了意义。
攻击者盯的，正是这个点。
他们不费劲去砸难破的技术，
而是找旁边那条更容易的路。
听着吓人，但不必害怕。
光是知道有这种攻击存在，
我们就已经准备好了一半。
那么攻击者盯的是人的什么呢?

盯的是人的什么

攻击者把人的善心反过来利用。
完全不需要去记什么具体手法。
只要知道被盯上的是哪些情绪就行。
通常会去碰三种心情。
一是着急。
不给你思考的空当，催着你赶快做。
二是权威。
装成大人物或机构，让你乖乖照办。
三是善意。
把你想帮人的好心反过来利用。
这三种信号一出现，最好停一下。

点一下这三种心情看看。只需知道着急、权威、善意这类情绪会被盯上。

这三样其实都是我们好的一面。
乐于快快帮忙、尊重长辈、照顾别人的心。
攻击者把这份善心反着拧。
所以这不是要我们变成坏人。
善心照旧保留，
只要在被催着赶时间时，多一个停一下的习惯就行。
短短一停，正是防御的核心。
停下来之后做什么呢?
就是核实这个急匆匆的请求是不是真的。
下面来看那个核实的习惯。

核实的习惯

假设来了一个突然的请求。
顺着这个请求进来的那条途径
马上回应，可能有风险。
因为那条途径本身也许就是假造的。
所以防御的诀窍是换一条途径。
要是有人在电话里要你做什么，
别按那个号码回拨，
而要用你知道的官方号码另行拨打核实。
别一上来就点消息里的链接，
而要顺着你平时常用的路自己进去查。
就是把同一件事换条途径再核实一遍。

点一下对比两种应对。比起顺着进来的途径马上回应，换官方途径另行核实更安全。

把两条路并排放着，差别就清清楚楚了。
顺着进来的途径马上回应，
万一那条途径是假的，就没法拦了。
换官方途径另行核实，
假的就在那里被挡下来。
核实一次也许多花几分钟。
可这几分钟挡住了大事故。
真的急，再核实一遍也没关系。
反过来，要是有人不让你核实，或者发火催你，
那才是更可疑的信号。
好，现在我们来归一归，为什么这份怀疑本身就是防御。

怀疑就是防御

对抗社会工程学的武器并不宏大。
几个变成本能的小习惯就够了。
第一，慢慢来。
越被催着赶，越要停一下，喘口气。
第二，换条途径核实。
就像刚才看到的，换官方途径另行确认。
第三，秘密不外说。
密码、验证码这些，谁问都不告诉。
真正的机构不会直接问你这些秘密。
这三个习惯，就是一面靠得住的盾。

依次点这三条防御守则，记进心里。慢慢来、换途径核实、秘密不外说。

把三条守则都记住，心里就踏实多了。
你大概也看出来了，这三样都不是什么难技术。
不过是慢一拍、再核实一遍、
不把秘密说出口的态度。
所以防社会工程学，谁都能做到。
既不要特别的装备，也不要高深的知识。
要的只是一颗会怀疑、会核实的冷静的心。
怀疑不是失礼，而是保护自己和别人的礼貌。
现在我们把今天学的，归到一处理一理。

来理一理

归到一处，是这样。
密码再强，最弱的一环都是人。
攻击者有时不盯技术，而盯人的心。
去碰着急、权威、善意这类情绪。
我们不必记什么手法，
光是知道有这种攻击存在就够了。
防御就是三个习惯。
慢慢来、换途径核实、秘密不外说。
所以安全说到底是信任的问题。
冷静地怀疑、核实的习惯，就是最结实的盾。

依次点要点回顾一下。(最弱的一环是人 -> 盯的是人心 -> 换途径核实 -> 怀疑就是防御)

现在你把安全的最后一块拼图握在手里了。
密码和锁再结实，
也要用它的人保持清醒，才算完整。
技术是帮我们的工具，
最后那面盾，永远是冷静的我们自己。
在陌生、急促的请求面前停那么一下的瞬间，
我们就已经在用最强的安全了。
慢慢来、换途径核实、秘密不外说。
记住这三句话就够了。
因为安全说到底，是守护我们彼此之间的那份信任。