零基資安訓練營（七）：使用二步認證
文：薯伯伯
其中一個最重要，最有效，最必須，但又經常被人忽略的保安方法，是二步認證。例如蕭若元 YouTube 的 2.6 萬條影片被刪，到底是否政治打壓，現在不敢妄下判斷，我還是較為傾向於相信是黑客入侵。（YouTube 「黃標事件」看來應該是政治打壓，但全頻刪片卻保留戶口，又似乎不是 Google 慣用的手法。）
如果能預先做好二步認證，黑客要入侵戶口，難度就高出很多。因為這很重要，所以大家聽我講，不論政見如何，不論是否覺得自己會成為入侵目標，但今天起碼要完成以下其中一個 2FA 保護，之後陸續加強不同服務的 2FA。
所謂「二步認證」，英文叫 two-factor authentication，簡稱 2FA，是指登入戶口時，除了原有的登入認證，還要有其他認證的「因素」，例如額外再加一個密碼、手機短訊驗證，動態密碼（例如 Google Authenticator）、Yubikey 硬件鑰匙等等。
萬一有人偷看到你輸入密碼，例如在電腦裡安裝了 keylogger，記錄鍵盤動作，又或是從遠遠拉長望遠鏡去偷看你打字（哎，你以為你是誰？有人肯定這樣問。）豈料你是一個漂亮又謹慎的人，一早就開通了 2FA，那麼對方即使非法取得你的密碼，但還要輸入另一個動態密碼才能登入，你的戶口安全無損。在這篇文章裡，還是先以手機短訊的方式，談一下二步認證的具體操作。
以下設置 2FA 的方法，通常就是用一個六位密碼（不是太好，但總好過沒有），authenticator
WhatsApp 的二步認證：
當你在新手機上安裝 WhatsApp 後，一般的登入方法，是插入 SIM 卡，收到一個短訊，裡面有個六位認證碼，輸入就能登錄 WhatsApp。這個方法過於簡單，很大風險，所以要二步認證。
啟用二步認證後，除了要輸入短訊內的六位認證碼，還要再輸入一個自訂密碼，設置方法如下：
打開 WhatsApp - （右下方）設定 - 帳號 - 雙步驟驗證 - 自己選擇一個六位數字的 PIN，不要用生日日期。考慮輸入一個後備的電郵地址，萬一忘記了 PIN，可以重設戶口。（但如果你百分之百肯定不會忘記 PIN，就不要額外設定復原的電郵地址，因為越多重設的渠道，也就代表越多保安的漏洞。）
Signal 通訊軟件的二步認證：
點擊自己的頭像，選擇「隱私權」- 設置 Signal PIN 碼，啟用 PIN 碼提醒及註冊鎖。
Google 戶口的二步認證：
1. 打開 https://myaccount.google.com/
2. 選擇保安或安全（Security），如果用桌面版，在左邊。如果用手機版，則在 Google Account 字樣下方的菜單，要用手指向左掃一掃才能看見。
3. 開啟二步認證。
4. 輸入戶口密碼。
5. 選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。
Facebook 的二步認證：
1. 打開 https://www.facebook.com/settings 。
2. 在左邊選擇保安及登入。
3. 選擇「二步認證」，輸入戶口密碼。
4. 之後選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。
Apple ID 的二步認證：
在 iPhone 打開設定 - 點選「你的名字」 - 密碼與保安，再按畫面上的指示去開啟雙重認證。
Patreon 用戶的二步認證：
近來不少創作人都開通了 Patreon 平台（包括我），謹記要加強相關保安，先進入 https://www.patreon.com/settings/profile ，在 Security 下選擇 Add via SMS 或 Add via TOTP authenticator app（即例如 Google Authenticator 之類）。
多了一層 2FA，會否影響日常工作的效率或速度呢？我的主要戶口，是每次關閉瀏覽器都會自動登出，所以我每天都要輸入數次密碼及 2FA 認證，早已是上網生活的一部份。你知道每天都做足 2FA 防護措施，經過一年半載後，會有甚麼效果嗎？就是現在當我使用一些服務，居然是不支援 2FA，我反而會覺得周身不自在，甚至會拒絕使用該服務（如果有其他選項）。
另外，有些服務，至今仍然只支援安全級別較低的手機 SMS 認證，萬一手機 SIM 卡被騎劫了，那這層保障就如同虛設。所以，如果有其他認證因素，就應避免使用 SMS 做驗證。如果真的沒有選擇，必須用 SMS 做驗證，那麼就必須加強 SMS 的保安級別。至於如何去做，因為涉及過多細節，我們找天有時間再好好談談。
照片：Hacker Noon via Unsplash
*———*
請訂閱 Patreon 頻道，支持不受干預的獨立分析及評論。
http://patreon.com/pazu
google登入驗證關閉 在 [問題] google帳戶要我驗證救不回來- 看板MobileComm 的推薦與評價
我用新手機登入這個信箱，他說我帳戶疑似有異常的活動因此需要驗證，我輸入了正確的
帳號及密碼，但他說需要傳手機簡訊，但我原本那隻門號早就停掉了，而備援的電子信箱
是舊的也已經lost掉了QQ
我覺得很奇怪，另外找回我的一隻舊手機，傻眼的事情來了
裡面有這隻google帳號，但開啟信箱後他也說要我重新登入（跟前面的流程一樣），但是
我明明也沒重灌之類的...
然後唯一救星是底下有顯示安全碼
我現在是取得安全碼了
但是我完全不知道要如何使用這些安全碼去登入我的帳戶
因為我選帳戶救援他也都沒顯示這個QQ
雲端裡面超多重要照片回憶跟資料的
我也沒去設定什麼兩階段驗證
莫名奇妙就被google這樣鎖帳號
我真的很生氣又很慌張
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.200.74.236 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/MobileComm/M.1610812136.A.EE4.html
而且基本人的認知都是存放到google雲端這個步驟就算不錯了，全台灣有像你們這樣那麼
好觀念的只有不到10%吧，所以別怪我了QQ
※ 編輯: a88050488 (1.200.74.236 臺灣), 01/17/2021 00:21:05
連原本的那隻舊手機都要我重新認證...應該說殺的我猝不及防
※ 編輯: a88050488 (1.200.74.236 臺灣), 01/17/2021 00:22:15
可能我不夠成熟還須磨練
※ 編輯: a88050488 (1.200.74.236 臺灣), 01/17/2021 00:23:08
因為這些東西包括備援帳號都是至少十年前設的...所以我也都忘光光了QQ
※ 編輯: a88050488 (1.200.74.236 臺灣), 01/17/2021 00:37:33
畢竟十年前我國小設的
現在口味可能不同吧...？
壽司...？
備援那些不是應該密碼忘記才要用的嗎
※ 編輯: a88050488 (1.200.74.236 臺灣), 01/17/2021 01:03:23
不管怎樣就是找不到用安全碼救援的那個選項...
你的手機也沒有我的帳號資料
怎麼登入...？
我的舊手機是原本就已經登入那隻帳號
就好像你原本待在家好好的
突然一群警察把你趕出去不讓你進來
還說是為了保護這個家的安全
不讓外人闖入
但你明明就有鑰匙QQ
我還有密碼
我舊手機也有那隻帳號的頁面
包括相簿雲端等等
但是一點進去就要我重登
※ 編輯: a88050488 (1.200.74.236 臺灣), 01/17/2021 15:30:49
但你拿你這套標準去問路上路人
看有幾%可以達到你的要求
不用因為你們對這塊比較熟悉比較有概念，就以此沾沾自喜去嘴別人好嗎
※ 編輯: a88050488 (1.200.74.236 臺灣), 01/18/2021 09:42:10
... <看更多>