電腦手機網絡安全（三）：二步認證的驗證因素

文：薯伯伯

之前提到要為 SIM 卡上鎖及二步認證，兩個方法是最為基礎的網絡保安措施，實行起來也相對簡單，所以先行在前面兩篇文章介紹了。但要強調，即使鎖上了 SIM 卡及用了二步認證，還是有風險，其中脆弱的環節，是 SIM 卡的安全問題。例如在 2018 年，美國著名網站 Reddit 一批員工的戶口被盜，入侵者是在沒有取得受害者手機的情況下，騎劫了 SIM 卡。

所謂「SIM 卡騎劫」，方法很多，例如冒充卡主打電話去電訊公司，申請更換 SIM 卡，又或者要求電訊公司解鎖電話卡。而大部份電訊公司對用戶的認證，既要顧及客人觀感，又要顧及私隱保安，確是兩難。我有一位做客戶服務的朋友說，卡主登記人是女性，但如果有人用男人的老牛聲打上台，只要對方說自己是女人，他們也不能質疑，否則可能成為公關災難。

就算不用打上台冒充卡主，還有不同的方式去攔截 SMS，上網搜查 SMS interception，即能搜到一大堆示範片段及方法。所以，使用二步認證雖然較為安全，但若然用了較不可靠的驗證因素，便會削弱二步認證的保護力量。

那麼，我們應該如何選擇二步認證的驗證因素呢？常見的驗證因素（factor），包括了以下三類：

一，手機短訊
二，軟件認證
三，硬件認證

軟件認證，就是在手機下載一個專門的動態密碼產生器，即 authenticator，每分鐘也會顯示一組六位數字的驗證碼。操作的情況是，不論在手機或電腦登錄二步認證的網站，先輸入戶口本身的密碼，再在手機上打開動態密碼產生器，取得六位驗證碼，再輸入到網站，才能登入。

動態密碼的手機軟件，最常用的是 Google Authenticator，但這個軟件本身沒有上鎖功能，萬一別人取得你手機的開機密碼，就能進入，感覺還是不太可靠。我推介另一款，叫 Lastpass Authenticator，可設置六位的開啟密碼，Lastpass 本身也是另一家非常有名氣的密碼保安公司，使用起來更覺安心。

具體的設置方式如下，只以 Google 戶口做例子：

先在手機下載 Lastpass Authenticator，地址在： https://lastpass.com/auth/ 免費的（如果要備份，需另外付費，但其實不備份也可以）。

之後用手機或桌面電腦的瀏覽器：

1. 登錄 https://myaccount.google.com/security 並輸入密碼。
2. 選擇「兩步驗證」。
3. 重新輸入 Google 的戶口密碼。
4. 選擇「Authenticator 應用程式」
5. 選擇 Android 或 iPhone，按下一步，出現二維條碼。
6. 在手機上打開 Lastpass Authenticator 的 app，按右下方「＋」號，選擇 Scan Barcode，再掃一掃上一步驟顯示的二維條碼。
7. 用手機掃完二維碼之後，在瀏覽器中的二維碼畫面，按「下一頁」。
8. 在瀏覽器中輸入 Lastpass Authenticator 顯示的六位數字驗證碼，再按「驗證」。
9. 完成。

（以上步驟，其實按著電腦或手機上畫面的指引去做，可能更為容易。）

其他戶口，例如 Facebook、Dropbox 等，也可以類似的方式註冊，但 Apple ID 不支援這個硬件鑰匙的驗證方式。

* * *

之前介紹了手機短訊，以及軟件認證，那麼還有一個方式，即硬件認證。所謂硬件認證，即「安全金鑰」，就是一隻 USB 手指（也有 NFC 無線介面）。操作的情況是，當你用電腦上的瀏覽器登錄戶口時，輸入戶口密碼後，要插入「安全金鑰」，再用手指摸一摸上面的金屬圈，這樣才能登錄網站。

其中最廣為人知的「安全金鑰」，是 Yubico 的出品，官方網站是：https://www.yubico.com/

網站上有多種產品，眼花瞭亂，選擇上，第一個應該考慮的，是你的桌面電腦用 USB-A 還是 USB-C 的接口。至於無線 NFC 或 iPhone 的 Lightning 插頭（尤其 Lightning 插頭，支援實在太少），有點雞肋，可有可無。

如果你用的是 MacBook/PC 及 iPhone，我較為推介的款式，是：

YubiKey 5 Nano（HK$ 390）
YubiKey 5C Nano（HK$ 470）
YubiKey 5C（HK$ 390）

至於 YubiKey 5Ci（HK$ 550），雖然多了一個 Lightning 插頭，但目前支援的軟件太少，有點雞肋。至於 Android 用戶，因為不太肯定實際的支援情況，在此就不詳述了，有經驗的讀者，請在評論區裡分享一下看法。

另外，要留意不是所有瀏覽器也支援使用 YubiKey，支援的瀏覽器包括 Firefox, Chrome, Opera，但是 Safari 則不支援。如果你本身是習慣用 Safari，即使不是因為 YubiKey，其實基於保安及私隱考慮，也建議儘早改用 Firefox。

* * *

購買這類安全產品，跟買安全套一樣，理論上是要避免使用中介渠道或集運公司，因為理論上越多中間人，那麼理論上就越大機會被人做手腳。其中一種做手腳的方式，是企圖入侵的人，把金鑰裡的物理序列號偷偷記錄，並之後用其他方式去產生密鑰。強調是「理論上」，因為估計實行起來，也非容易，太多顧慮，聽起來好像又太多疑，但既然說到網絡安全，當然要在各個可行的層面，也儘量做好防範的措施。例如萬一你的鑰匙被人偷走，非法扣留，又或是買回來的時候包裝已經打開，就最好不用。

在 Yubico 的官方網站，查看各地的代理名單，在香港有一個官方認可以的代理，是：Netmon Information Systems，地址是：觀塘鴻圖道 57 號，南洋廣場 15 樓 1 室。電話是 25272086。網址是 www.netmon.asia ，建議在辦公時間先打電話去查詢存貨量。

* * *

另外，不少人喜歡把手機號碼作為二步認證的其中一個驗證因素，這個用起來雖然方便，但如果你本身已經有軟件認證的 Authenticator 應用程式，又或是硬件認證的安全金鑰，不妨考慮把手機認證這個因素移除，又或是加上可靠朋友的手機號碼做認證。在 Google 的戶口，也可以考慮把 Google Prompt 關掉，至於備用驗證碼，也建議寫在安全的地方，例如告訴可靠的朋友，沒必要放在家裡或身上。

登入戶口當然麻煩了，但謹記一點，如果你總是不用做任何登入步驟，就能自動進入戶口，代表的不只是方便，還有漏洞。

———

照片：幾部老爺智能手機，是 Treo 系列，分別是 650 及 680，都算是我用過的手機裡，最讓人懷念，但又完全不想再重用的智能手機，攝於 2010 年 5 月。

———

* 想追看薯伯伯的文章，請設定本 Page 為「搶先看 / See First」*

Instagram 🥑🥭🍉🍌: pazu

新博客：http://pazu.com/blog

另外還要提一提大家：

【新書速報】Pazu 薯伯伯《不正常旅行研究所》（白卷出版社）——從西藏拉薩到神州大地；由亞洲各國至中東地區。非常人般玩轉奇異世界、紀錄精彩故事文化習俗。

在旺角序言、北角森記、誠品書店及各大書店，均有代售！其中在旺角序言及北角森記，有少量簽名版本。

#620#～本日冷知識～
你知道嗎？【QR code】

相信大家應該對本期附圖的「條碼」不陌生吧？無論是在捷運站、公車上，甚至在電視上，都看到這個黑白陣列的蹤跡。中文俗稱為二維條碼的 QR code，其實正式的名稱是快速響應矩陣碼 quick response code；嚴格來說 QR code 只是二維條碼的一種，就猶如我們生活中常見的、如斑馬般的一維條碼，其實也有許多種規格，例如書本的ISBN、商店的商品條碼，其實都有所不同。

QR code 的普及與智慧型手機的普及有很大的關係。在QR code被廣泛地使用之前，或甚至在「網址」這個概念被大眾認識之前，一個廣告最重要的資訊之一，大概就是廠商或者聯絡的電話號碼了。在台灣最常幫助使用者或者潛在客戶記憶電話號碼的方式，就是諧音法；而在美國，則是應用我們 #每日一冷 曾經介紹過的電話鍵盤字母對應。到了網路的時代，取一個易於記憶、簡單有力的網址自然成為網站經營者一個重要的準備工作，但是還是會遇到想要的網址已經被網域蟑螂搶先註冊，或者網址不利於非英文母語者記憶等問題；有的時候，即使網站的網址相當簡單，但是要給使用者的網頁網址卻還是又臭又長，例如 Google 的網址大家都知道，但是如果你要傳給朋友一個特定搜尋結果的網頁網址，那恐怕就又是悲劇一場了。有鑒於此，所謂的縮網址、短網址自然就應運而生。不過即使現在大家都已經相當習慣「幫縮網址」的概念，不過卻也存在，在點下縮網址的網址之前，不知道實際連結內容的風險。

到了智慧型手機普及的時代，因為手機普遍搭載了高畫素的照相機，使得讓一般的使用者利用二維條碼讀取資料成為可能，而 QR code 就是今天最常見的標準。

QR code 最明顯的特徵，大概就是三個明顯的「回」記號，這是QR code 的定位記號，讓使用者無論從任何方位、任何角度讀取，都可以讓解析的裝置知道正確的方位。 QR code 還有一個重要的特色，就是包含有冗餘的資訊，也就是所謂的錯誤校正碼。這個特色除了可以避免 QR code 在稍有污損時就無法讀取之外，現在也被廣告商或者設計師廣為利用，也就是可以在 QR code 上加上一些「設計」或者變形，但是卻不影響正常的讀取。

以手機的應用來說， QR code 所能承載的資訊便相當地廣泛；除了大家相當熟悉的網址資訊之外，尚可承載文字、電話號碼，甚至聯絡人名片等資訊。

有興趣的讀者，可以用搜尋引擎「 QR code generator」，即可輕易地找到非常多免費的 QR code 產生器。你也來試試看吧！

#聞史迭

【從四五六年級的成長史，想到大陸旅居日】

在《小學同學會》網頁，看到一篇轉貼文章，樂得我，內容是這樣的。

◎四，五及六年級前半段生（1951-1975出生的呆胞）的成長史！

「四、五及六年級前半段生」的<成長史>

★童年時期只有三家電視台可以選擇，台語節目每天限播時數與時段，布袋戲甚至要「說國語」。

★為了政令宣導，九點鐘到九點半必須是「三台聯播」，轉過來轉過去都是「寒流」「海棠血淚」。堅信大陸同胞都活在「水深火熱」之中，都在啃樹皮
（長大之後第一次在新加坡某研討會遇到一位大陸同胞，才聽說他們的教科書也說台灣同胞在啃樹皮。樹皮好無辜∼）

★小孩時期都曾經被叔叔阿姨舅舅姑姑帶去冰果室跟情人約會充當電燈泡。

★晚飯之後搶不到電視，因為阿嬤都在看楊麗花歌仔戲。

★最紅的卡通片應該是「雷鳥神機隊」「小英的故事」「小甜甜」「科學小飛俠」「無敵鐵金剛」.

★最愛的漫畫書是「小叮噹」「老夫子」「四郎與真平」，第一次投稿是「王子月刊」和「國語日報」。

★「包青天」「保鏢」演好久，好比「夜市人生」和「娘家」。

★很期待中秋節，因為可以蒐集中秋月餅的玻璃紙。

★三不五時就有「反共義士」駕機投奔自由，可以領黃金還能上電視綜藝節目。

★一二三自由日，要聽谷正綱演講，但是聽不懂說什麼。

★大多數的人都知道「宋能爾牧師佈道大會」。

★ 四月四日 兒童節會收到健素糖當禮物，長大之後才知道那是日本人做給豬吃的營養品。

★地理課本歷史課本關於台灣的篇幅可能只有半頁，一定要背黃河跟長江流經哪些省分，但不知道濁水溪在哪裡？

★小時候最大的恐懼就是「共匪打過來」！

★在學校講台語要被罰錢（侯文詠比較倒楣，他要掛牌子！）

★ 10月31日 會發動全國募捐，籌建「介壽號」戰機向偉大的蔣公祝壽

★蔣總統死掉的時候，電視機會從彩色變黑白，學生制服要別黑紗，升旗典禮要「默哀三分鐘」，從此畢業旅行都要去慈湖跟頭寮謁靈。

★但「畢業旅行」不可以是「畢業旅行」，而是「公民訓練活動」。

★每到國定假日就要穿制服去體育館開「團結自強大會」，不知道是什麼道理，但也是男女校互窺的好時機。

★演講比賽不管什麼題目，最後都要「復興中華文化，堅守民主陣容，消滅萬惡共匪，拯救大陸同胞」「以三民主義統一中國」「把青天白日滿地紅國旗插滿秋海棠的每一個角落」等口號做結尾，這是最早的內容自動產生器嗎？

★選舉賄選最流行送味精與彩色鍋。

★最冷的笑話是：「請問下一屆蔣總統是誰？」

★寫作文寫到「總統」，前面沒有空格就死定了！

★朝會聽演講要是聽到「蔣總統」三個字就要立正！

★超過五成的人會唱兩種版本的「總統蔣公紀念哥」
（噗，寫錯啦，是紀念歌……還有，忘了空一格，警總不要來抓我）

★高中男女在校外走在一起，被教官發現一定記過！

★制服沒有紮進褲子裡也要記過！

★高中女生頭髮長度不得超過耳下一公分或不能超過衣領（所以脖子短的人就倒楣了），要穿軍訓裙，要戴船型帽，軍歌比賽要踢木蘭步，每學期打靶還會被後座力撞到內傷

★大學很難考，俗稱「窄門」，還有一部賣座電影叫做「門裡門外」。

★大學在校外偷開舞會如果遇到警察臨檢，必須開燈關音響，立刻變成包餃子或湯圓聚會。

★幾乎每個人都玩過小天使遊戲。

★暑假不能出國遊學，只好參加救國團活動，因為不是國民黨員，所以報不到最熱門的「溪阿縱走」和「虎嘯戰鬥營」。

★每個班級都有國民黨指派的小組長。

★要看藝術片就要去小隔間的MTV，想約會就去西門町冰宮，要改褲子就去中華商場。

★最時髦的手機是黑金剛。

★有BBCall就很了不起，用數字就可以發簡訊，譬如520就是我愛你！

★看「天天開心」看到主題曲一字不漏記下來。

★剛畢業的時候，平均有四個工作機會可以選擇（好囂張）！

★領到第一份薪水的年頭，定存利率還有10％（神話∼∼）

★見識過股市破萬點的榮景，而且破很多（人生少數驕傲）

★所謂懂電腦的人，就是學過COBOL、BASIC、Fortran。
沒有PC，沒有Internet，只有半夜登記排隊上機房。3.5吋磁碟片還沒出現，用那種軟軟薄薄，容量 1.2M 的5.25吋軟碟。

★剛開始上班的時候，使用過Telex電報機，用過手動打字機（打錯字要用刀片刮。什麼意思？ 唉，聽不懂就算了！）

★沒有ATM，沒有號碼牌，提款存款都要在櫃臺前面排隊。

★星期六要上半天班，除夕要到五點鐘才能下班。

★看病之前要先去公司管理部開一張手寫「勞保單」。

★因為沒有手機，所以才有日劇「東京愛情故事」莉香與完治最後在車站擦身而過的淒美梗。

★沒有交友網站，只有「愛情青紅燈」與「姊妹雜誌」。

★還沒有「壹週刊」跟「蘋果日報」，最猛的是「獨家報導」跟「自立晚報」。

★以前怕人口爆炸，大力鼓吹「家庭計畫」「3321：結婚三年生一個，再過三年生一個， 兩個孩子恰恰好，男孩女孩一樣好」；現在憂心少子化與高齡化，高喊「助你好孕」，
發獎金催生！

★以前要「保密防諜」，不得與匪勾結；現在要ECFA，沒有中國就沒有世界觀！

★以前聽費玉清唱「中華民國頌」好激動；現在重新把歌詞看一遍，覺得好KUSO。

★以前罵總統要被抓去關，現在罵總統有時候被鼓勵，有時候被教育部警告，但還不至於抓去關。

★以前最紅的是綜藝節目，現在最紅的是call in 節目，但兩者基本功能相同

★以前說「當選」，現在說「凍蒜」（吼，講台語，罰錢。指∼∼)

※

前幾年，搬到大陸，看各省電視台連續劇，85％都是抗日的國共間碟戲。

台灣朋友們都問：「你會不會被洗腦？」我笑：「來就補。」

只要把劇中的正派反派對調一下，就可以了，小時候我們看的台灣電視劇，就是這樣。哈哈哈。

台灣的，國民黨一定是好人，共產黨萬惡；大陸的，主角自然是共產黨，墮落殘酷的是國民黨。和美國電影一樣，拯救地球的英雄一定是美國倫。哈哈。

倒是，我在大陸看過各式各樣的川島芳子，大為眼開。

^_^ "

PS/

聽說今年大陸禁拍抗日劇，保持置疑，總之滑頭的娛樂圈商人總會找出方法改編……而且也禁『宮鬥』，就是《甄嬛傳》那種，我北京導演朋友說，山不轉路轉，她的編劇朋友們把《甄嬛傳》寫成現代版了，哈哈）。