“总有一款应用能满足需求”已成为现实，不再只是一句朗朗上口的营销口号。根据移动应用统计汇总，如今每个人的手机上平均安装了80多款应用。其中，平均每天会使用9款应用，一个月内会使用30款。
由于企业对数据和洞察消费者习惯的需求似乎永无止境，这些应用大多可能都要求用户创建账户。无论是关联社交媒体账户还是使用独立账户，大多数应用都会鼓励用户注册，以便使用更实用或更有趣的功能，例如分享今天在Candy Crush的哪一关卡住了。
这些应用无疑包括社交媒体应用。更多数据（可能就是从这些应用中挖掘出来的）显示，2018年，我们平均拥有8.5个社交媒体账号，几乎是2014年平均4.8个的两倍。
接下来是有意思的部分。2018年，每位互联网用户平均拥有1.8个或2.5个电子邮件账户，具体取决于引用的数据来自Radicati还是DMA。无论采用哪组数据，每位用户拥有的电子邮件地址数量都明显少于其每天或每月使用的社交媒体账户和应用数量。
这很合理。通常，社交媒体账号与电子邮件地址并非一一对应。我们对电子邮件地址的依赖已经不亚于对手机的依赖：DMA的研究发现，51%的人使用同一个电子邮件地址已超过10年。这一点我并不意外。我的个人电子邮件地址已经用了20多年，公司电子邮件地址也用了近13年。
不难想象，与这两个电子邮件地址关联的应用和社交媒体账号数量远超平均水平。
同样不足为奇的是，我的个人电子邮件地址曾多次出现在因信息泄露而遭泄露的地址列表中，而且次数很多。从统计数据来看，我想大多数人都有类似经历。如果社交媒体账号数量近乎线性的增长趋势再持续4年，那么随着可攻击目标数量的增加，这一数字也可能继续上升。
现在，请思考一下这一点，然后再看密码管理供应商LastPass的以下调查结果：
- 员工最常使用的30个域名中，有43%也是热门的消费者应用（例如Dropbox）
- 50%的人不会为个人账户和工作账户设置不同的密码
如果这已经让人担忧，那么还有更多问题。同一项研究发现，平均每名员工会与他人共享6个密码，也就是说，会与同事共享6个密码。
安全专家，先深呼吸一下。
尽管企业开展了安全教育，并不断提醒所有人都应对安全负责，但企业与个人使用场景之间的界限仍经常被打破，而且在应用和密码方面，最基本的安全实践也完全被忽视。《Verizon 数据泄露调查报告》发现，超过 70% 的员工会在工作中重复使用密码。
因此，组织必须认识到保护自身企业资产的重要性，并采取更有效的保护措施。这些企业资产通常可通过平均每人拥有的2.5个电子邮件地址之一进行访问。采用多重身份验证（MFA）并实施密码复杂度要求，是防止攻击者轻易通过暴力破解侵入高价值数据源的有效防御措施。这也是防止共享密码的有效措施之一，因为MFA更进一步，要求完成一个额外步骤，而大多数同事无法完成这一步骤。
每暴露一个账户，每增加一个企业应用，风险都会随之上升。这些风险包括员工共享密码、一个固定电子邮件地址对应多个密码，以及攻击者掌握所有这些统计数据并深谙如何加以利用。
MFA并非万能之策，但它是应对这一风险的良好开端。随着手机上的应用以及个人和企业环境中使用的应用不断增多，这一风险只会持续上升。
| 如果已在使用BIG-IP APM，可查看以下选项，将MFA添加到身份验证流程中： |
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。