零基資安訓練營（七）：使用二步認證

文：薯伯伯

其中一個最重要，最有效，最必須，但又經常被人忽略的保安方法，是二步認證。例如蕭若元 YouTube 的 2.6 萬條影片被刪，到底是否政治打壓，現在不敢妄下判斷，我還是較為傾向於相信是黑客入侵。（YouTube 「黃標事件」看來應該是政治打壓，但全頻刪片卻保留戶口，又似乎不是 Google 慣用的手法。）

如果能預先做好二步認證，黑客要入侵戶口，難度就高出很多。因為這很重要，所以大家聽我講，不論政見如何，不論是否覺得自己會成為入侵目標，但今天起碼要完成以下其中一個 2FA 保護，之後陸續加強不同服務的 2FA。

所謂「二步認證」，英文叫 two-factor authentication，簡稱 2FA，是指登入戶口時，除了原有的登入認證，還要有其他認證的「因素」，例如額外再加一個密碼、手機短訊驗證，動態密碼（例如 Google Authenticator）、Yubikey 硬件鑰匙等等。

萬一有人偷看到你輸入密碼，例如在電腦裡安裝了 keylogger，記錄鍵盤動作，又或是從遠遠拉長望遠鏡去偷看你打字（哎，你以為你是誰？有人肯定這樣問。）豈料你是一個漂亮又謹慎的人，一早就開通了 2FA，那麼對方即使非法取得你的密碼，但還要輸入另一個動態密碼才能登入，你的戶口安全無損。在這篇文章裡，還是先以手機短訊的方式，談一下二步認證的具體操作。

以下設置 2FA 的方法，通常就是用一個六位密碼（不是太好，但總好過沒有），authenticator

WhatsApp 的二步認證：

當你在新手機上安裝 WhatsApp 後，一般的登入方法，是插入 SIM 卡，收到一個短訊，裡面有個六位認證碼，輸入就能登錄 WhatsApp。這個方法過於簡單，很大風險，所以要二步認證。

啟用二步認證後，除了要輸入短訊內的六位認證碼，還要再輸入一個自訂密碼，設置方法如下：

打開 WhatsApp - （右下方）設定 - 帳號 - 雙步驟驗證 - 自己選擇一個六位數字的 PIN，不要用生日日期。考慮輸入一個後備的電郵地址，萬一忘記了 PIN，可以重設戶口。（但如果你百分之百肯定不會忘記 PIN，就不要額外設定復原的電郵地址，因為越多重設的渠道，也就代表越多保安的漏洞。）

Signal 通訊軟件的二步認證：

點擊自己的頭像，選擇「隱私權」- 設置 Signal PIN 碼，啟用 PIN 碼提醒及註冊鎖。

Google 戶口的二步認證：

1. 打開 https://myaccount.google.com/
2. 選擇保安或安全（Security），如果用桌面版，在左邊。如果用手機版，則在 Google Account 字樣下方的菜單，要用手指向左掃一掃才能看見。
3. 開啟二步認證。
4. 輸入戶口密碼。
5. 選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。

Facebook 的二步認證：

1. 打開 https://www.facebook.com/settings 。
2. 在左邊選擇保安及登入。
3. 選擇「二步認證」，輸入戶口密碼。
4. 之後選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。

Apple ID 的二步認證：

在 iPhone 打開設定 - 點選「你的名字」 - 密碼與保安，再按畫面上的指示去開啟雙重認證。

Patreon 用戶的二步認證：

近來不少創作人都開通了 Patreon 平台（包括我），謹記要加強相關保安，先進入 https://www.patreon.com/settings/profile ，在 Security 下選擇 Add via SMS 或 Add via TOTP authenticator app（即例如 Google Authenticator 之類）。

多了一層 2FA，會否影響日常工作的效率或速度呢？我的主要戶口，是每次關閉瀏覽器都會自動登出，所以我每天都要輸入數次密碼及 2FA 認證，早已是上網生活的一部份。你知道每天都做足 2FA 防護措施，經過一年半載後，會有甚麼效果嗎？就是現在當我使用一些服務，居然是不支援 2FA，我反而會覺得周身不自在，甚至會拒絕使用該服務（如果有其他選項）。

另外，有些服務，至今仍然只支援安全級別較低的手機 SMS 認證，萬一手機 SIM 卡被騎劫了，那這層保障就如同虛設。所以，如果有其他認證因素，就應避免使用 SMS 做驗證。如果真的沒有選擇，必須用 SMS 做驗證，那麼就必須加強 SMS 的保安級別。至於如何去做，因為涉及過多細節，我們找天有時間再好好談談。

照片：Hacker Noon via Unsplash

*———*

請訂閱 Patreon 頻道，支持不受干預的獨立分析及評論。

http://patreon.com/pazu

#童顏針有效果嗎？
經由原廠實驗數據顯示，童顏針可以促進膠原蛋白再生，然而臉部膠原蛋白的數量及細胞活性與年齡有關，若膠原蛋白所剩無幾，刺激的效果就不夠好，因此臨床上最適合的族群是25～45歲！
#若已經超過60歲，膠原蛋白流失太多，建議打填充劑或者直接抽取脂肪來填補臉上凹陷，效益才會比較高。
當然，童顏針也不是施打劑量愈多愈好，因為膠原蛋白若增生過多，可能導致臉部變形，臨床上童顏針不會直接打到位，而是分次治療，以免一次打太多量。
#第一次施打童顏針 約生成10~20%膠原。例如有些人凹陷輕微或者膠原生長力旺盛，1瓶效果也會顯著。然而所謂有感非常主觀，若自己覺得生長不足，建議4-6周再接受一次治療。

🌹所以只要是再合適的年紀施打，一罐不是沒有長，而是長的不夠唷～🌹

#舒顏萃Sculptra植入劑台灣衛福部許可證
＊＊＊ 衛署醫器輸字第021227號 ＊＊＊
製造許可登錄編號：QSD5399
有效日期：109/07/08
發證日期：99/07/08
許可證種類：醫　器
醫療器材級數： 第三等級
通關簽審文件編號：DHA00602122705
中文品名：舒顏萃植入劑
英文品名：Sculptra
效能：
1.增加臉部凹陷部位的體積及改善皮膚的凹陷，特別是不同凹陷程度的鼻唇溝、皮膚皺摺及皺紋。
2.改善HIV病人臉部大體積的皮膚脂肪流失(脂肪組織萎縮)。
醫器規格
5ml per vial以下空白。仿單、標籤變更：詳如中文仿單核定本(原100.5.11核准之仿單、標籤核定本予以回收作廢)。
劑型：
醫器主類別一：I一般及整型外科手術裝置
主成分略述：
限制項目：02輸　入
申請商名稱：0941001100 香港商高德美有限公司台灣分公司
申請商地址：台北市大同區承德路一段17號9樓之4、17號9樓之5、17號9樓之6
【主製造廠】
製造廠名稱：F250178000 Sanofi S.p.A.
製造廠廠址：LOCALITA VALCANELLO, 03012 ANAGNI (FR), ITALY
製造廠公司地址：VIALE LUIGI BODIO, 37/B-20158 MILANO, ITALY
製造廠國別：ITALY
製程：Manufactured by
【次製造廠】
製造廠名稱：M420034000 Q-MED AB
製造廠廠址：SEMINARIEGATAN 21, SE-752 28 UPPSALA, SWEDEN
製造廠國別：SWEDEN
製程：委託製造者

#原廠針劑療效為原廠公司保障

【科技】人工智能幫你判案

拉法（Ignacio Raffa）開發的應用——Prometea，能在10秒內做好一個判決。「你好，」拉法對著電話說。
「你好，拉法，你想做什麼？」App回應道。
「做一個判決。」
「案卷號多少？」
「1 - 5 - 0 - 9 - 9。」

幾秒鐘後，這款人工智能軟件草擬了一項公共住房案的裁決：不光有布宜諾斯艾利斯地方檢察官辦公室的信頭，字體和術語也無可挑剔，更重要的是，這一切並沒有律師或律師助理的參與。在阿根廷，裁決由地方檢察官撰寫，主審法官過目後要麼駁回自己重新寫一份，要麼直接通過。Prometea現一般用於出租車牌照糾紛等案件，謀殺案審判還用不上，但這並不妨礙其成為該市司法系統的一項重大自動化舉措。布宜諾斯艾利斯的地方檢察官辦公室稱，該辦公室的15名律師如今能在短短六周內搞定六個月的案件。

拉法是布宜諾斯艾利斯的一位新創企業創辦人，他和同事聯手當地地方檢察官打造了Prometea。地方檢察官稱，Prometea讓法律工作者從枯燥的雜事從解脫出來，將精力用在更複雜的案件上，而且校對人員在審閱電腦生成的文件時很少發現錯誤。這款應用吸引了聯合國、世界銀行（World Bank）和華盛頓美洲開發銀行（Inter-American Development Bank）等機構的興趣。麻省理工學院的斯隆學者（Sloan Fellow）阿拉溫達克山（Asha Aravindakshan）表示：「全球各國的法律體系都能從中受益。」他今年夏天觀看了Prometea的演示。「大家都有一堆積壓案件。」

一年前，布宜諾斯艾利斯的工作人員為了提交一份簡單的酒後駕駛訴狀，不得不將同樣的39項內容反復填寫了111次。現在，雖然基本的年齡、地址和車輛號碼等信息還是要填寫，但每份文件只需要填一次。Prometea還支援雙語功能。用戶在其應用中搜索以西班牙語提交的案件時，可以輸入英文，該應用會先加以翻譯，然後用西語搜索。

拉法利用地方檢察官辦公室的數字圖書館「訓練」Prometea。該圖書館存有2016-2017年大約30萬份法院文件掃描件，其中包括2000份裁決。當某個案件卷宗進入地方檢察官系統時，Prometea會將其和數據庫中最相關的裁決匹配起來，所以在一些相對簡單的案件中（比如教師沒有收到為教室用品墊付的錢），Prometea就能猜測法院會如何判決。迄今為止，Prometea建議的33項裁決都獲得了法官認可，還有84個未決案件正使用該軟件辦理。

牛津大學（University of Oxford）教授岡薩雷斯（Ezequiel González）表示：「Prometea並不是要代替真人。」他今年5月主持了該應用的演示。「它只是幫忙將法官從堆積如山的案件中解救出來而已。」

29歲的拉法在布宜諾斯艾利斯長大，14歲在爺爺的激勵下開始編程。大學畢業後，他在惠普（Hewlett Packard）和微軟（Microsoft）的當地辦事處工作。他之前的人工智能初創公司製作了一些人機對戰的阿根廷紙牌電子遊戲。不過在兩年前，拉法開始懷疑自己是不是不該從事遊戲行業。「我們讓人們變懶了。」他說。於是，他很快與人合作成立了ZTZ科技集團（ZTZ Tech Group），專注於人工智能的商業用途。

ZTZ有款應用能生成定價數據報告，布宜諾斯艾利斯的副地方檢察官科瓦蘭（Juan Corvalán）相中了這一點，於是在2017年夏天與ZTZ簽約合作。拉法不願透露ZTZ的收入，只是說創建Prometea這類產品要花費5萬-15萬美元，具體取決於項目的複雜程度和收入分成情況。

哥斯達黎加的美洲人權法院（Inter-American Court of Human Rights）也在使用這個應用，而且在今年10月布宜諾斯艾利斯地方檢察官辦公室與聖保羅檢察機構簽署的一項信息共享協議中，該應用也起到了至關重要的作用。拉法說，他和他的三名同事希望明年春天將類似的人工智能系統帶到美國和歐洲。

不過，即便是一些支持者也會擔心Prometea被濫用，因為不管是美國還是其他地方，AI軟件在預測判決方面一直口碑不佳。牛津大學教授岡薩雷斯說：「這引發了各種各樣的法治問題，機器居然代替法官做裁決？」拉法說，他無意賦予軟件決定一個人命運的權力。他說，律師和法官應該繼續做自己的工作——他不過為他們提供了一條捷徑罷了。——Patrick Gillespie；譯 楊熙
#人工智能軟件 #Prometea #惠普 #微軟

本文節選自《彭博商業周刊∕中文版》第158期，如欲查閱全文，歡迎訂閱
★★★訂閱聯絡：bbwhk_cir@modernmedia.com.hk（香港）、（+886）02-23612151（台灣）訂閱即送全年iPad∕iPhone版App閱讀權限和一份精美禮品