几周前，我的另一个朋友是身份盗窃的受害者，我又一次深入了解了美国在安全方面的破坏程度。 “他们有我的社会安全号码，”她说，这让我想起了美国的许多系统设计得非常糟糕。也就是说：今天早上我打电话给我的银行，被要求提供我 SSN 的最后四位数字，他们以某种方式接受了我的身份，因为我知道这四位数字。洛尔沃特？如果我的银行是一家初创公司，我会打电话给董事会主席，要求以严重无能为由当场解雇其首席安全官。
几年前我搬到美国时，我的朋友们确保我知道我必须将我的社会安全号码 (SSN) 保密并隐藏起来。当我开始开设银行账户并制定手机计划时，原因就很明显了：各种真正应该知道的机构都将这串数字视为密码。这是一个巨大而明显的问题。我坚持认为 Equifax 应该因为允许这种情况发生而受到公司相当于死刑的惩罚，但几年前有 1.45 亿个社会安全号码被黑客窃取，这意味着社会安全号码——是的，与正在被处理的号码相同作为“密码”——对于大约一半的美国成年人来说，他们是在风中。
我们现在已经习惯了密码，但至少在大多数情况下，密码被黑客入侵后可以更改。你的社保号？没那么多。如果你的 SSN 只泄露一次，你就完蛋了。改变它是不可能的，这在所有这一切中带来了真正的愚蠢深度：依靠依赖于对不可改变的信息保密的安全性真的是非常愚蠢。
推论是这样的：假设您的电子邮件已被黑客入侵，但您的电子邮件提供商告诉您无法更改密码，您无法更改电子邮件提供商，您只需要处理它。这就是我们目前社会安全号码的情况。
大多数国家/地区都有相应的社会安全号码，州政府或税务人员使用该号码来识别您的身份。但是，在大多数国家/地区，从不认为这个数字是秘密的。你用它登录你的银行账户。你可以自由地告诉你的雇主它是什么。您可以在房子的侧面喷漆或将其纹在额头上。我都不会这样做，但这更多是我对前额纹身和车库涂鸦的品味的问题。从安全的角度来看，没有什么特别的理由不应该这样做。
在世界其他大部分地区，您的 SSN 等效项被视为唯一标识符。换句话说：这是您唯一的用户名。除了您的用户名之外，您还需要一个密码来处理任何事情。出于同样的原因，您不应将用户名用作密码，也不应将任何公共信息作为安全矩阵的一部分。 “你母亲的娘家姓是什么”是一个可怕的安全问题。如果您的妈妈在 Facebook 上，您很可能距离该问题的答案只有 2-3 次点击。你猜怎么了？由于所有的黑客攻击和泄漏，您的 SSN 是事实上的公共信息。
我的一部分认为，Equifax hack 可能是一件好事，但前提是每个依赖 SSN 号码作为密码的人都审查并修改了他们的安全协议。这真的应该是一个警钟。然而，五年后，我们仍然使用我们的 SSN 号码来注册汽车保险、开立信用卡并向我们的银行表明自己的身份。这绝对是荒谬的，它需要停止。
原文： https://techcrunch.com/2022/04/28/ssn-is-a-username-not-a-password/