对一些vps提供商安全问题的疑问

[tomandjerry27]

写本篇文章是为了做一些理论上的探讨。
首先，我抛出自己的观点，一些vps服务提供商（后文简称vps提供商）习惯性地使用邮箱验证，而邮箱验证是完全不够安全的。

---

翻墙悖论

这里先讲翻墙悖论，是为了说明为何我们会选择使用不安全的邮箱服务商。
若我们想要开始翻墙，就需要先从网络上获取翻墙的工具和翻墙的参数。比如我们去github上下载了v2ray软件，然后去vultr上购买服务器。
如果github和vultr被封锁了呢？我们这会儿还没有翻墙的能力，如果github和vultr被封锁了，那么我们连建立翻墙线路都做不到。
这样的情况不止有可能会发生在我们想要开始翻墙时。如果我们已有的翻墙线路被封锁掉了，在我们想要重建线路时，这种糟糕的情况也有可能发生。
我称这个状况为翻墙悖论。我画了个简单的示意图来说明这一困境：

↓ 想要翻墙
↓ 需要获取翻墙的工具和参数  <--------------
↓ 获取翻墙工具和参数的网站被墙了     ↑
↓ 需要翻墙      ------------------------->

所谓翻墙悖论，并非我一时兴起在此信口雌黄。事实上，现实里有少数机场的网站就是长期处在被封锁的状态的。如果张三去这类机场购买线路，他往往会被圈子里的人打趣道：“你手头明明已经有可用的机场了，为什么要去买第二个？”还有的人可能这么对张三说：“将来你充的钱用完了，线路被机场断了，你要怎么去交钱续费呢？”

---

存在的安全问题

翻墙悖论的阴霾随时都有可能降临到我们头上。为了避免在将来受到翻墙悖论的折磨，我们会更倾向使用国内的邮箱服务商（如QQ邮箱、网易邮箱）来注册vps提供商网站的账号。而不会去使用如Gmail这种需要翻墙才能收发信息的邮箱。
有的vps提供商不仅仅要求用户使用邮箱当作账号的用户名，还每次都把用户的账单（发送账单常见于月付/季付/年付的模式中）发送到用户的邮箱。
那么安全问题存在于何处呢？
我们知道，国内的互联网企业留有给条子准备的后门。条子可以通过vps提供商发送来的账单邮件锁定你所使用的vps提供商。然后在账号用户名一栏填入你的邮箱，点击忘记密码，重置密码的验证码就被发送到了邮箱。条子用验证码重置你的密码就可以进入你的vps页面了。
在你的vps页面中，有你的服务器ip地址，ssh信息，root密码（Linux内核）。条子用这些信息就可以完全掌握你服务器上的数据，也就掌握了你翻墙的确凿证据。
而你会察觉吗？很难，当你有一天无法登录vps提供商的网站时，你或许真的以为是自己记错了密码呢。更遑论神秘人可以把那个验证码邮件移入垃圾邮件/已读邮件 分类，或者干脆删掉，那样你就没有可能察觉了。
 
不论我们使用多么安全的翻墙技术，由于木桶效应（水总从木桶最短的木板处溢出），不安全的邮箱验证会成为条子最好的突破口。

---

我所设想的一些改进

先说我们自己能做到的事，请自己用工具（不应该使用你的vps提供商网站上的key生成工具）生成公钥和私钥，将你的服务器ssh登录方式更改为公钥认证，然后禁用ssh密码登录。
如此一来，即便条子侵入了你的vps账户页面，他也只能清空你的服务器内容，而不能窃取你的服务器数据。
当然，即便是服务器被人清空，也足够让人难受了。我们大抵也是不想这种情况发生的。我认为，既然vps提供商为他的用户们选择了用邮件做用户名，那他便无处推卸地应该为用户的安全负责。
我想vps提供商可以采用一些手段来保证他用户们账户的安全：
1 要求用户在创建账户时设置一对验证问题和答案，在重置密码时，不止依靠邮箱验证，用户还必须答对验证问题才能成功重置密码。
2 如果非要向用户发送账单，请使用匿名发送人和加密邮件，用户得用自己手中的密码（非对称加密会更好）解密邮件才能看到邮件内容。这样条子便无从知晓用户在哪些vps提供商网站注册过账号，针对账户的攻击也就难以展开。

---

伙计，你怎么看呢？