［英國美國都係急住食棉花糖嘅小朋友，所以死得人多］鬼佬的吹水能力真強。但一個字講完，咪唔見棺材唔流眼淚

FT Link : The humbling of the Anglo-American world
（https://on.ft.com/2Oe1gPq）

TLDR —咪因為英國美國人自大，開頭又唔肯封城，然後而家未過晒去又急急重啟經濟，結果就大大鑊。英國人自己講架。

1. 棉花糖實驗，著名嘅心理學實驗（https://bit.ly/38L468m）。大約係話，同啲小朋友講，而家有棉花糖，之後大人會行開，話等大人返嚟就有兩粒食。啲小朋友呢，如果可以忍住唔即時食棉花糖嗰啲，識得睇長線喎，或者有自制力，研究見到大個更加有前途咁話。

2. 呢個實驗已經相當耐（有幾耐？就係英格蘭捧世界盃果年做的！咁你知有幾耐啦！）。後來當然唔少人跟進過，駁斥過。最初係講咩策劃能力，之後其實發現係自制力，有啲人就係不能忍受誘惑，係要在的士吹蕭（！）（車，咪又係CFO）。咁自制力，會唔會係天生嘅？定後天？

3. 我舊文都寫過（https://fbook.cc/3BuO），一路都話只係見嗰啲遲食糖嘅小朋友，就好似成就高啲。但當然無法證明因果關係。後來有人質疑，其實係因為社會地會經濟背景—窮撚學生平時冇啖好食，梗係心急。但有錢屋企嘅，靜岡蜜瓜做飯後甜品啦，先唔會貪你啲伊華棉花糖。

4. 另外，一如好多嘅心理實驗一樣（＊），呢個實驗都畀人話有WEIRD偏差。咩WEIRD？就係Western, Educated, Industrialized, Rich and Democratic．啲實驗對象，八九成係呢啲背景嘅人　—　但實際上只係佔全球人口八份一。你拎個實驗去非洲土人度做，往往唔同結果（有機會寫下，真係有人玩過），因為佢地由細到大嘅環境，價值觀都同啲WEIRD唔同

5. 咁，關肺炎乜事？呢個作者就認為，英國美國提早放鬆社交距離，搞到疫情第二波（其實根本第一波都冇完！），就係同啲棉花糖小朋友一樣啦，冇乜自制能力。睇唔到長線，只係掛住短期享受，一見疫情稍為回落就全部仆去沙灘又唔戴口罩云云。

6. 作者都吹得幾遠，由冷戰蘇聯解體開始講（！），話蘇聯倒台，英美最居功，於是就認定，自己係so very good，其他人就so very bad（https://ggle.io/3DBe）。叻啦，我們最巴閉，我地果套無堅不催，係王道，唔使學其他人。結果就係驕兵必敗。留意作者係在美國嘅英國人

7. 你睇？雖然最初話意大利西班牙大爆發，但歐洲大陸，普遍都控制到疫情，亞洲就更加早控制到，倒係英國美國爆極都有。你見美國講明再爆都唔會封城唔會令經濟停頓。恭喜。英國就好少少，但都去到六月先flattened the curve，死亡率全球第二。

8. 作者就認為，根本就係英國美國睇人唔起，即使同樣係民主國家，就係當你德國法國日本意大利西班牙之類唔識嘢。亦都因為其他國家有過不同嘅問題，打敗仗呀，被佔領呀，革命呀等等，所以唔會咁囂張

9. 作者亦都認為，國民優越感，我地最勁，係英國美國，同一樣講英文嘅加拿大澳洲紐西蘭嘅分別。呢啲國家並冇嗰種做過或做緊大佬嘅自high，亦都見到控制疫情較好。亦證明咗，唔係Anglo-Saxon英語系文化啲友就個人主義唔肯戴口罩唔係保持距離。個分別係英國美國人自大，因為過去N年的確就係英國美國主導世界，而家就成為笑柄了（埃汾按：唔係咯，大把港青照樣覺得好勁，仲話莊臣好大盤棋添，笑到我丫）

10. 作者話，咁英國美國，明顯就係啲冇自制能力去食棉花糖嘅小朋友。你見德國之類，一早封城，而家學生已返返學。但英國美國呢？認為係　經濟同人命嘅取捨—其實係偽命題，你越早肯大膽去封城，疫情受控你咪可以重啟經濟。

11. 作者認為，英美都仲係未受到教訓，你見侵侵已經講明再爆疫情都唔會封城，英國一樣開返晒酒吧，而留意，其實而家美國人（至少紐約）好多都戴返口罩，反而倫敦係少好多嘅。

12. 呀作者啲文筆同吹水能力就夠好，但其實我舊文都寫過類似嘅東西（真厚面皮）。講過啦，東亞人或漢字文化唔係因為珍珠奶茶（https://fbook.cc/3BuZ），甚至未必係因為鬼佬macho又講人權而東亞人奴性，而係好簡單：死過人你咪知驚。你見意大利佬開頭幾求其，搞到大大鑊，之後咪知驚，強力封城。美國其實都差不多，開頭睬你都傻，但之後都多咗好多人戴口罩。呢啲教訓，多數係用人命得返嚟嘅，而你就唔好成為人地嘅教訓啦

（＊）你估到了，埃汾係有讀Psycho 101的。原因？梗係多靚女啦！友版話齋，青山一定係庾文翰多過劉俊謙，但心理學系肯定蔡思韵蔡思貝多過鮑起靜。話說我仲好大膽，第一堂就拎隔離個女同學（三唔識七架喎）電話添。喂，嗰個年代好保守架！拖手會有BB架！而佢居然仲要肯畀我添喎！可惜係冇任何下文嘅。

——————————————————————
收費短片第三擊，暫時斷次買。80蚊，講足半個鐘，有圖有表有筆記。
都係一周思考課題，當然唔會就咁報新聞呃錢，係講有乜啟示。

今次內容簡介，可以睇呢度（https://bit.ly/3iGuMeP），或者睇置頂post（https://fbook.cc/3BqP）。
i. 首先係講，2020年，好可能係同2009年走勢相似，會話你知點解。
ii. 仲有講我對移民嘅睇法，點解多人話移民但唔會令樓市跌。
iii. 仲有之前講過Facebook，結果爆鑊，同你分析之後又點。
iv. 最後同你回顧返第二季表現，如果錯過咗嘅之後點好。

以下係報名方法：
【最新李聲揚收費影片】題目:「回顧第二季，有咩啟示？」。
影片下方會有內容撮要，唔想睇片可以睇字
影片/課程編號：CC004
播放平台：https://homebloggerhk.com/web-class-player/
付款及收看步驟：
1/點擊報名收看 [ 影片/課程編號：CC004 ]
2/利用信用卡網上付款
3/及後有登入資料可以立即收看
查詢：whatsapp 63832145

電腦手機網絡安全（四）：有關安全鑰匙 YubiKey，你問我答

文：薯伯伯

早幾天寫了一篇文章，提到二步認證的安全鑰匙 YubiKey，無獨有偶，《立場》的另一位博客，《茉莉花開：中東革命與民主路》的作者陳婉容原來早在七月份就聯絡了瑞典的 Yubico 公司，希望他們可以贊助香港抗爭者五百條 YubiKey，在核實身份後，這家瑞典公司慷慨地向寄出了五百條 YubiKey，實在令人感動。

我發覺不少人對於 YubiKey 的功能及用法均有誤解，甚至有人認為「有伏」，或誤以為用上 YubiKey 後反而更危險。我回應了一些評語，整合之後發到自己的臉書專頁，《立場》的編輯看到，問可否轉載到《立場》，所以我又花了一點時間，再次整理一下文稿，就成了這篇文章。以下的問題，部份是在陳婉容的臉書帖文評語區選取，我把部份的用字修改。

一

問：若果硬體及 YubiKey 都被其他人拿到，怎辦？

答：即使其他人取得你的 YubiKey，也不能單單使用 YubiKey 便登入你的帳戶。「二步認證」是需要你本身的密碼，以及一個額外的認證因素，才能登入戶口。所以如果別人只是取得你的 YubiKey，但又沒有得到你的帳號密碼，那也是沒有辦法登入你的帳號。

二

問：我本身已經用 Authenticator app 去做二步認證，而不是用手機短訊，那為甚麼仍然要用 YubiKey 呢？

答：用 authenticator app 去做認證，本身已經算是較為安全，但相比起 YubiKey 或其他硬件認證，使用 app 較為花時間，也可能因此較難歸入日常網絡安全生活的一部份。

先說明一下，我強烈建議每次上網之後，都要登出 Facebook 及 Gmail 的戶口，不要長期處於登入的狀態，儘可能避免使用 Facebook app 或 Gmail app，最好是用瀏覽器登錄，並設定瀏覽器關閉的時候，會自動把 cookies 刪除。又或者乾脆使用「隱私模式」，不留痕迹。要把登出及登入，變成上網的常態，要反複練習。

如果你一天要登錄帳戶五次，假如用的是 app 去做認證，安全是安全，但每次都要先找來手機，輸入手機密碼，打開 authenticator app，可能也要再輸入一次 app 密碼，取得六位數字後，再把六位數字傳去電腦，或手動輸入，再按確認，這樣才能登入戶口。

但如果有 YubiKey 或其他硬件認證，過程就相對快速。先輸入帳戶密碼，把 YubiKey 插進電腦，便能登入（注意是密碼加硬件，單靠 YubiKey 是不能登入）。如果你所處的環境是較安全，例如數小時裡都在家中，那隻 YubiKey 可以一直插在電腦，雖然不算完美，但尚能接受。

用上二步認證，是極為關鍵的保安措施，但很多人是因為二步認證的過程繁瑣，所以棄用或懶得去用，從而嚴重危害到戶口安全。YubiKey 的作用，是加速了二步認證的速度，但又不會降低安全系數。

三

問：我應該要有一條還是兩條 YubiKey 呢？

答：按官方的說法，最好是兩條，因為一條常用，一條做後備。但對於大多數用戶來說，其實用一條也是足夠。我會建議大家先買一條，再以其他方式去做後備的密碼重設方案，例如 YubiKey 加上 authenticator app，或記下後備的認證碼（通常有八組，可以交給朋友代為保管）。不過後備的密碼重設方案，不應該用自己的手機號碼。

至於是否需要用兩條，如果你本身打算參加 Google 的高級保護計劃（Advanced Protection Program），你是必須有兩條鑰匙。不過參加了這個計劃之後，使用服務時是極為不便，尤其如果你是用 iPhone 就更為麻煩。（即使是講到明支援 iOS Lightning 接頭的 YubiKey 5Ci，還是不支持 Google 的高級保護計劃認證。）

方便與安全，往往是對立，要取得一個平衡點。我覺得二步認證的安全系數已經足夠，除了特殊的人群，大多數人也沒有必要參加高級保護計劃。而對於不打算參加高級保護計劃的用家來說，一條鑰匙，也是足夠的了。

四

問：YubiKey 會否影響我使用 WhatsApp、Telegram 或 Signal？

答：YubiKey 不支援 WhatsApp、Telegram 或 Signal，所以不會影響你使用這些聊天軟件。

YubiKey 支援的服務，常用的包括 Google 戶口、Facebook、Dropbox 等，還有很多，這裡不一一列出。

五

問：Google 官方推介的那款安全鑰匙，叫 Titan，為甚麼你反而要推介瑞典出品的 YubiKey？

答：Titan 的製造商是飛天誠信（Feitian Technology），總部設於北京。這家公司獲得不少國家認證及讚許，並對其安全產品及科技成就作出高度的認可及肯定，目前並沒有證據顯示這家公司的產品有後門或安全漏洞。

所以，我選擇用瑞典及美國製造的 YubiKey。還有，大家可以比較兩者的設計，YubiKey 真係靚仔好多。

六

問：如果有人用 YubiKey 插進我的電腦，是否沒有密碼就能直接打開電腦？

答：這個要看你如何設置，如果你想設置為開啟電腦時，要先輸入密碼，再插入 YubiKey 才能登入電腦，那你應該要使用 pluggable authentication module（PAM，可插拔認證模塊）。相關設定請看 https://support.yubico.com/support/solutions/articles/15000015045-macos-logon-tool-configuration-guide

如果你是用 PAM 模塊的設定，即使別人取得你的 YubiKey，也不可以打開你的電腦，他是必須有你的 YubiKey，加上你的密碼，才能登入電腦。

不過話又說回來，如果是使用電腦，只要設定妥當，其實不用 YubiKey 開機，也算安全。因為我是用 Mac 機，也只能用 Mac 機的情況去說一下，如何才算安全。

1. 你常用的開機戶口的權限只是 standard 而不是 admin。
2. 你的硬盤本身有開啟加密，即 FileVault。
3. 你本身 admin 及 standard 的戶口密碼夠強。

這三點當中，以第三點最為容易被用家忽略，很多人為了貪方便，開機密碼簡單到不能再簡單，很易被破解，尤其開機的密碼，是容許不停試，即可以使用「蠻力」（brute force）去猜度，所以一定要小心選擇。至於如何選擇強勁密碼，不妨參考骰子密碼法（Diceware），詳見：https://en.wikipedia.org/wiki/Diceware

大家也可以去這裡測試一下自己的密碼安全程度，不要輸入真的密碼，差不多就可以，我的密碼，聲稱是要用 919 萬億年才能破解。 https://howsecureismypassword.net/

七

問：我本身用密碼管理器，密碼是極為複雜，這樣不是已經很安全了嗎？為甚麼還要用 YubiKey？

答：即使是再安全的密碼，如果你的密碼管理器被破解，又或是被人安裝了鍵盤記錄器（keylogger），再複雜的密碼也沒有用，入侵者照樣可以輕易登入你的帳號。所以一定要有二步認證，而為了加快二步認證的過程，並把這個過程變成生活一部份，用硬件認證，是較好的方式。

當然，如果你真的覺得 authenticator app 已經足夠，其實也不一定要付費買安全鑰匙。只是，我兩者皆用過，我覺得鑰匙方便很多。

八

問：為甚麼我覺得有伏？真的安全？？這個東西有沒有後門？

答：可能因為你不了解個技術，所以覺得有伏。

九

問：我是用 iPhone，為甚麼我覺得這類產品對 iPhone 的支援，好像很弱很不足呢？

答：因為這類產品，對 iPhone 的支援，真的很弱很不足啊！即使 YubiKey 出了一款 5Ci 有 lightning 連接頭，但只有極少量的 apps 支援。如果你是用 MacBook 加 iPhone，我建議你只用買 YubiKey 5 (Nano) 或 5C (Nano)，而不用為 iPhone 買 5Ci 那款，那個 lightning 接頭很雞肋。

對於 MacBook ＋ iPhone 的用家來說，最適合的方案，是在 MacBook 用 YubiKey，在 iPhone 還是用 authenticator app。

十

問：可以在哪裡購買 YubiKey？

答：上官網 Yubico.com，或是去官方認可的香港分銷商。

購買這類安全產品，跟買安全套一樣，理論上是要避免使用中介渠道或集運公司，因為理論上越多中間人，那麼理論上就越大機會被人做手腳。

其中一種做手腳的方式，是企圖入侵的人，把金鑰裡的物理序列號偷偷記錄，並之後用其他方式去產生密鑰。強調是「理論上」，因為估計實行起來，也非容易，太多顧慮，聽起來好像又太多疑，但既然說到網絡安全，當然要在各個可行的層面，也儘量做好防範的措施。例如萬一你的鑰匙被人偷走，非法扣留，又或是買回來的時候包裝已經打開，就最好不用。

Yubico 的官方網站顯示，在香港有一個官方認可以的分銷商：Netmon Information Systems，地址是：觀塘鴻圖道 57 號，南洋廣場 15 樓 1 室。電話是 25272086。網址是 www.netmon.asia ，建議在辦公時間先打電話去查詢存貨量。

———

延伸閱讀：

《Yubico 贊助香港抗爭者世上最強網上保安鎖匙Yubikey》（文：陳婉容）：https://www.facebook.com/sherrychanyy/photos/a.517784544922353/2803649153002536/?type=3&permPage=1

電腦手機網絡安全（一）：SIM 卡鎖：https://www.facebook.com/pazukong/photos/a.2007886759444126/2634928633406599/

電腦手機網絡安全（二）：簡介二步認證：https://www.facebook.com/pazukong/photos/a.2007886759444126/2636315873267875/

電腦手機網絡安全（三）：二步認證的驗證因素：https://www.facebook.com/pazukong/photos/a.2007886759444126/2637695243129938/

———

* 想追看薯伯伯的文章，請設定本 Page 為「搶先看 / See First」*

Instagram 🥑🥭🍉🍌: pazu

新博客：http://pazu.com/blog

另外還要提一提大家：

【新書速報】Pazu 薯伯伯《不正常旅行研究所》（白卷出版社）——從西藏拉薩到神州大地；由亞洲各國至中東地區。非常人般玩轉奇異世界、紀錄精彩故事文化習俗。

在旺角序言、北角森記、誠品書店及各大書店，均有代售！其中在旺角序言及北角森記，有少量簽名版本。