什么是社会工程学

最薄弱的一环

链条总是从最薄弱的一环断开。粗的环再多，只要有一环撑不住，整条链子就垮了。安全也是一样。加密再强、锁再牢，管着它们的人一不留神把门打开，其余的就全白费了。
所以攻击者有时不碰最牢的技术，而是去找最薄弱的一环：人。这并不是说人笨。技术每次都按同样的规则运转，而人会忙、会累、会相信别人。先承认这一点，防御才算开始。俗话说，千里之堤，溃于蚁穴。

先敲一敲那把结实的锁，再点一下有人开门的那一边。技术纹丝不动，可门一打开，锁就没用了。

锁那边怎么敲都纹丝不动，可人那边的门一开，结实的锁就整个失去了意义。攻击者盯的正是这个地方：与其费劲去破难破的技术，不如在旁边找条更容易的路。
听着吓人，但不必惊慌。只要知道这类攻击其实很常见，而且是通过邮件、短信、电话这些天天在用的渠道找上门来的，你就已经防住了一半。那么，攻击者会去碰人的哪些地方？

冲着人的什么来

攻击者会反过来利用人的好心。具体手法不用去背，只要知道哪些情绪会被盯上就够了。最常被碰的心思有三种。
第一是着急：不给你思考的时间，催你马上就办。第二是权威：装成领导、公共机构或银行，让你乖乖照做。第三是好心：装作遇到难处凑过来，利用你想帮人的心。恐惧和好奇也常被一起拿来用。一看到这些信号，最好先停一停。

把三种心思一个一个点开看看。只要知道着急、权威、好心这样的情绪会被盯上就够了。

这三样其实都是我们的优点：想把事情快点办好，尊重比自己位置高的人，关心别人。攻击者把这些好心反过来拧。
这可不是让你变成一个冷冰冰、疑神疑鬼的人。好心照样留着，只要再加一个习惯：被人催的时候先停一下。停下来之后要做的事只有一件，就是确认这个请求是不是真的。怎么确认，下面就讲。

确认的习惯

假设突然来了一个请求。要是顺着它来的那条渠道直接回复，可能会有危险，因为那条渠道本身就可能是伪造的。发件人的名字、号码、页面的样子，都可以随便模仿。
所以防御的诀窍是换一条渠道。有人打电话来要你做什么，别按那个号码回问，而是另外拨打你本来就知道的官方号码去核实。别直接点消息里的链接，而是从平常用的应用或自己输入的网址进去确认。同一件事，换一条渠道再确认一遍。

点一下两种应对，比一比。与其顺着请求来的渠道直接回复，不如通过官方渠道另外核实，这样更安全。

两条路并排一放，区别就很清楚。顺着来的渠道直接回复，那条渠道要是假的就没法拦；通过官方渠道另外核实，假的就会在那里被筛掉。核实也许要多花几分钟，可这几分钟能避免一场大祸。
真正着急的事，再确认一遍也不会耽误什么。倒是那种不让你核实、叫你保密、或者发着火催你快办的，才是更可疑的信号。下面来归纳一下，为什么怀疑本身就是防御。

怀疑就是防御

对付社会工程学的武器并不复杂，几个养成的小习惯就够了。第一，慢一点。越被催，越要停一下，喘口气。第二，换条渠道确认。就像刚才看到的，通过官方渠道另外去问。
第三，秘密不说出口。密码和短信收到的验证码，不管谁问都不给。真正的机构不会整个地向你要这些秘密。认证那一课里讲的第二道关，只要把验证码交给别人，也就失去了意义。

依次点上三条防御守则，把它们记牢：慢一点、换条渠道确认、秘密不说出口。

三条守则都记牢之后会发现，哪一条都不是什么高深的技术，只是放慢一拍、再确认一次、不把秘密说出口的态度而已。所以，防社会工程学不需要特别的设备或知识，谁都做得到。
要是觉得自己已经上当了，最要紧的是别因为难为情就瞒着。马上改密码，通过官方渠道告诉相关机构，在单位的话就向负责的部门报告。报告得越早，损失就越小。怀疑不是失礼，而是保护自己和别人的礼貌。

小结

归纳起来是这样：加密再强，最薄弱的一环也是人。攻击者有时不冲着技术、冲着人心，去碰着急、权威、好心这样的情绪。手法不用背，知道有这类攻击就够了。
防御靠三个习惯：慢一点、换条渠道确认、秘密不说出口。已经上当的话，别瞒着，赶紧报告。冷静地怀疑、认真地确认，这个习惯就是最结实的盾牌。

依次点四个要点回顾一下：最薄弱的一环是人、被盯上的是人心、换条渠道确认、怀疑就是防御。

现在你手里有了安全中关于人的那一块。加密和锁再牢，也要用它们的人保持清醒，才算完整。在陌生又着急的请求面前停一下的那一刻，你就已经在用最强的安全了。
到目前为止学的加密、认证、防火墙，还有人的习惯，都不是各用各的。下一课来看，怎样把这些零件拼成一个安全的结构，也就是设计安全的原则。