零基資安訓練營（七）：使用二步認證
文：薯伯伯
其中一個最重要，最有效，最必須，但又經常被人忽略的保安方法，是二步認證。例如蕭若元 YouTube 的 2.6 萬條影片被刪，到底是否政治打壓，現在不敢妄下判斷，我還是較為傾向於相信是黑客入侵。（YouTube 「黃標事件」看來應該是政治打壓，但全頻刪片卻保留戶口，又似乎不是 Google 慣用的手法。）
如果能預先做好二步認證，黑客要入侵戶口，難度就高出很多。因為這很重要，所以大家聽我講，不論政見如何，不論是否覺得自己會成為入侵目標，但今天起碼要完成以下其中一個 2FA 保護，之後陸續加強不同服務的 2FA。
所謂「二步認證」，英文叫 two-factor authentication，簡稱 2FA，是指登入戶口時，除了原有的登入認證，還要有其他認證的「因素」，例如額外再加一個密碼、手機短訊驗證，動態密碼（例如 Google Authenticator）、Yubikey 硬件鑰匙等等。
萬一有人偷看到你輸入密碼，例如在電腦裡安裝了 keylogger，記錄鍵盤動作，又或是從遠遠拉長望遠鏡去偷看你打字（哎，你以為你是誰？有人肯定這樣問。）豈料你是一個漂亮又謹慎的人，一早就開通了 2FA，那麼對方即使非法取得你的密碼，但還要輸入另一個動態密碼才能登入，你的戶口安全無損。在這篇文章裡，還是先以手機短訊的方式，談一下二步認證的具體操作。
以下設置 2FA 的方法，通常就是用一個六位密碼（不是太好，但總好過沒有），authenticator
WhatsApp 的二步認證：
當你在新手機上安裝 WhatsApp 後，一般的登入方法，是插入 SIM 卡，收到一個短訊，裡面有個六位認證碼，輸入就能登錄 WhatsApp。這個方法過於簡單，很大風險，所以要二步認證。
啟用二步認證後，除了要輸入短訊內的六位認證碼，還要再輸入一個自訂密碼，設置方法如下：
打開 WhatsApp - （右下方）設定 - 帳號 - 雙步驟驗證 - 自己選擇一個六位數字的 PIN，不要用生日日期。考慮輸入一個後備的電郵地址，萬一忘記了 PIN，可以重設戶口。（但如果你百分之百肯定不會忘記 PIN，就不要額外設定復原的電郵地址，因為越多重設的渠道，也就代表越多保安的漏洞。）
Signal 通訊軟件的二步認證：
點擊自己的頭像，選擇「隱私權」- 設置 Signal PIN 碼，啟用 PIN 碼提醒及註冊鎖。
Google 戶口的二步認證：
1. 打開 https://myaccount.google.com/
2. 選擇保安或安全（Security），如果用桌面版，在左邊。如果用手機版，則在 Google Account 字樣下方的菜單，要用手指向左掃一掃才能看見。
3. 開啟二步認證。
4. 輸入戶口密碼。
5. 選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。
Facebook 的二步認證：
1. 打開 https://www.facebook.com/settings 。
2. 在左邊選擇保安及登入。
3. 選擇「二步認證」，輸入戶口密碼。
4. 之後選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。
Apple ID 的二步認證：
在 iPhone 打開設定 - 點選「你的名字」 - 密碼與保安，再按畫面上的指示去開啟雙重認證。
Patreon 用戶的二步認證：
近來不少創作人都開通了 Patreon 平台（包括我），謹記要加強相關保安，先進入 https://www.patreon.com/settings/profile ，在 Security 下選擇 Add via SMS 或 Add via TOTP authenticator app（即例如 Google Authenticator 之類）。
多了一層 2FA，會否影響日常工作的效率或速度呢？我的主要戶口，是每次關閉瀏覽器都會自動登出，所以我每天都要輸入數次密碼及 2FA 認證，早已是上網生活的一部份。你知道每天都做足 2FA 防護措施，經過一年半載後，會有甚麼效果嗎？就是現在當我使用一些服務，居然是不支援 2FA，我反而會覺得周身不自在，甚至會拒絕使用該服務（如果有其他選項）。
另外，有些服務，至今仍然只支援安全級別較低的手機 SMS 認證，萬一手機 SIM 卡被騎劫了，那這層保障就如同虛設。所以，如果有其他認證因素，就應避免使用 SMS 做驗證。如果真的沒有選擇，必須用 SMS 做驗證，那麼就必須加強 SMS 的保安級別。至於如何去做，因為涉及過多細節，我們找天有時間再好好談談。
照片：Hacker Noon via Unsplash
*———*
請訂閱 Patreon 頻道，支持不受干預的獨立分析及評論。
http://patreon.com/pazu
自動點擊器電腦鍵盤 在 [開發] 自動點擊器- 看板Android - 批踢踢實業坊 的推薦與評價
軟體名稱: 自動點擊器 v1.3.9
軟體分類: 工具
軟體連結: https://tinyurl.com/y4244hl5
自動點擊器類似電腦上的按鍵精靈，它可以根據腳本在手機上自動執行所設定的手勢操作
。
我用過許多自動點擊器後發現，各家的功能只有點擊跟直線滑動功能而已，
對於很多遊戲或是ＡＰＰ的場景來說似乎不是這麼方便！
因此為了達到釋放雙手，我就寫了這套自動點擊器且加入曲線滑動及兩指縮放的手勢
。
這套軟體不用 ROOT 且支援 Android 7.0 以上系統。
✓ 主畫面及控制面板：
「預設值設定」可以預設每個點擊的參數值，如動作間的間隔時間、每個點擊的重複
次數等。
當一切都設定好時，就可以點擊最下面的按鈕「開啟服務」啟動控制面板。控制面板
可以根據你的喜好調整它的位置。
「控制面板」依序有以下功能
* 啟動腳本運行
* 增加點擊動作
* 移除作動
* 直線滑行
* 曲線滑行
* 縮小手勢
* 放大手勢
* 儲存或是載入腳本
* 關閉「控制面板」
✓ 曲線滑動：
可以在任何ＡＰＰ上畫出想要的滑動曲線，在這我拿弓箭傳說這款遊戲來當背景的範
例。
✓ 反偵測：
有些遊戲會偵測是否點擊相同位置，因此可以使用這反偵測機制來避免。
在這裡我去簡化了複雜的操作，可以直接調整亂數點擊的範圍，旁邊有示意圖可參考
。
✓ 腳本儲存 / 載入：
可以儲存起來目前的點擊位置，下次再使用時只需載入就可以恢復設定。
✓ 各別設定點擊參數：
可以各別設定點擊的參數，像是單點的延遲、觸摸時長、重複次數等。
其中滑動曲線會根據曲線長度限制最短的滑動時長。如果設定太短的話，路徑會不如
預期，因此我才加入此限制。
希望你們會喜歡這套自動點擊器，如果喜歡的話還請上 PlayStore 上給予我五顆星，這
會是我最大前進的動力，謝謝!
如果有什麼想法或問題，也請讓我知道喔 : )
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 101.15.132.79 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Android/M.1564849617.A.44E.html
... <看更多>