Pazu 薯伯伯

Pazu 薯伯伯

旅遊寫作人,為最早一批在網上連載遊記的香港人,多年來足迹遍佈歐、亞多國,在喜馬拉雅山麓、東南亞、南亞等地區生活。著有《風轉西藏》、《北韓迷宮》、《西藏西人西事》及《不正常旅行研究所》,分別在香港、北京及首爾出版。作者 Facebook:https://www.fb.com/pazukong;網誌:https://pazu.com/blog;Pazu 兒歌網:https://www.pazu.com;相集:https://www.instagram.com/pazu;Patreon 頻道:https://www.patreon.com/pazu

2020/6/9 - 13:59

零基資安訓練營(七):使用二步認證

資料圖片,來源:Hacker Noon @ Unsplash

資料圖片,來源:Hacker Noon @ Unsplash

其中一個最重要,最有效,最必須,但又經常被人忽略的保安方法,是二步認證。例如蕭若元 YouTube 的 2.6 萬條影片被刪,到底是否政治打壓,現在不敢妄下判斷,我還是較為傾向於相信是黑客入侵。(YouTube 「黃標事件」看來應該是政治打壓,但全頻刪片卻保留戶口,又似乎不是 Google 慣用的手法。)

如果能預先做好二步認證,黑客要入侵戶口,難度就高出很多。因為這很重要,所以大家聽我講,不論政見如何,不論是否覺得自己會成為入侵目標,但今天起碼要完成以下其中一個 2FA 保護,之後陸續加強不同服務的 2FA。

所謂「二步認證」,英文叫 two-factor authentication,簡稱 2FA,是指登入戶口時,除了原有的登入認證,還要有其他認證的「因素」,例如額外再加一個密碼、手機短訊驗證,動態密碼(例如 Google Authenticator)、Yubikey 硬件鑰匙等等。

廣告

萬一有人偷看到你輸入密碼,例如在電腦裡安裝了 keylogger,記錄鍵盤動作,又或是從遠遠拉長望遠鏡去偷看你打字(哎,你以為你是誰?有人肯定這樣問。)豈料你是一個漂亮又謹慎的人,一早就開通了 2FA,那麼對方即使非法取得你的密碼,但還要輸入另一個動態密碼才能登入,你的戶口安全無損。在這篇文章裡,還是先以手機短訊的方式,談一下二步認證的具體操作。

以下設置 2FA 的方法,通常就是用一個六位密碼的 authenticator(不是太好,但總好過沒有)。

WhatsApp 的二步認證:

當你在新手機上安裝 WhatsApp 後,一般的登入方法,是插入 SIM 卡,收到一個短訊,裡面有個六位認證碼,輸入就能登錄 WhatsApp。這個方法過於簡單,很大風險,所以要二步認證。

啟用二步認證後,除了要輸入短訊內的六位認證碼,還要再輸入一個自訂密碼,設置方法如下:

打開 WhatsApp →(右下方)設定 → 帳號 → 雙步驟驗證 → 自己選擇一個六位數字的 PIN,不要用生日日期。考慮輸入一個後備的電郵地址,萬一忘記了 PIN,可以重設戶口。(但如果你百分之百肯定不會忘記 PIN,就不要額外設定復原的電郵地址,因為越多重設的渠道,也就代表越多保安的漏洞。)

Signal 通訊軟件的二步認證:

點擊自己的頭像,選擇「隱私權」→ 設置 Signal PIN 碼,啟用 PIN 碼提醒及註冊鎖。

Google 戶口的二步認證:

1. 打開 https://myaccount.google.com/
2. 選擇保安或安全(Security),如果用桌面版,在左邊。如果用手機版,則在 Google Account 字樣下方的菜單,要用手指向左掃一掃才能看見。
3. 開啟二步認證。
4. 輸入戶口密碼。
5. 選擇下載 Google Authenticator 動態密碼生成器,跟著畫面指示掃 QR 碼,輸入認證,便能確定完成。

Facebook 的二步認證:

1. 打開 https://www.facebook.com/settings
2. 在左邊選擇保安及登入。
3. 選擇「二步認證」,輸入戶口密碼。
4. 之後選擇下載 Google Authenticator 動態密碼生成器,跟著畫面指示掃 QR 碼,輸入認證,便能確定完成。

Apple ID 的二步認證:

在 iPhone 打開設定 → 點選「你的名字」→ 密碼與保安,再按畫面上的指示去開啟雙重認證。

Patreon 用戶的二步認證:

近來不少創作人都開通了 Patreon 平台(包括我),謹記要加強相關保安,先進入 https://www.patreon.com/settings/profile,在 Security 下選擇 Add via SMS 或 Add via TOTP authenticator app(即例如 Google Authenticator 之類)。

多了一層 2FA,會否影響日常工作的效率或速度呢?我的主要戶口,是每次關閉瀏覽器都會自動登出,所以我每天都要輸入數次密碼及 2FA 認證,早已是上網生活的一部份。你知道每天都做足 2FA 防護措施,經過一年半載後,會有甚麼效果嗎?就是現在當我使用一些服務,居然是不支援 2FA,我反而會覺得周身不自在,甚至會拒絕使用該服務(如果有其他選項)。

另外,有些服務,至今仍然只支援安全級別較低的手機 SMS 認證,萬一手機 SIM 卡被騎劫了,那這層保障就如同虛設。所以,如果有其他認證因素,就應避免使用 SMS 做驗證。如果真的沒有選擇,必須用 SMS 做驗證,那麼就必須加強 SMS 的保安級別。至於如何去做,因為涉及過多細節,我們找天有時間再好好談談。

 

零基資安訓練營系列

作者 Facebook / Patreon