【BBC中文網】未來密碼可能過時 我們會用什麼來取而代之

密碼已經成為現代人生活必不可少的一部分。我們生活在各種密碼的世界：銀行密碼、電郵密碼、手機密碼、社交媒體密碼等等。

一旦忘記密碼，就會被鎖住，錢取不出來、電郵打不開、機票無法訂等等，讓人無限苦惱和著急。

有些人為了方便記憶，乾脆使用一碼通，即所有帳戶都使用同一個密碼。這樣做的危險是一旦一個密碼被盜，所有賬戶都面臨危險。

而現實生活中，密碼和身份被盜的情況比比皆是。例如，雅虎電郵以及臉書旗下的Instagram用戶等被黑客攻入，導致高達數億人的個人信息被洩露。

這些個人信息中包括用戶的電郵地址、密碼以及個人安全信息等。

密碼身份被盜

來自倫敦的伊莎貝拉就碰到過這種事。2017年，她發現家中的郵箱被盜。

隨後，伊莎貝拉發現銀行以她的名義簽發了兩個新信用卡，但問題是伊莎貝拉並沒有申請這些信用卡。

接下來，伊莎貝拉費時費力，還要破費金錢跟銀行以及各種相關機構打交道，試圖澄清自己身份被盜的事實，令她苦不堪言。

其中一家銀行最初拒絶取消小偷以她的名字開設的帳戶，原因是她不知道密碼。

而伊莎貝拉的情況決不是個例，僅去年一年，英國欺詐防範服務機構（CIFAS）就記錄了19萬個身份被盜的案例。

這一切都與我們日益數字化的生活，使欺詐者比以往任何時候都更容易獲得我們的個人信息有關。

廢除密碼？

正是因為種種風險，去年美國微軟宣佈該公司計劃廢除使用密碼，而用生物識別或是特殊安全鑰匙取而代之。

美國技術公司高德納（Gartner）預測，到2022年，全球60%的大公司以及幾乎所有中等公司將會減少對密碼的依賴。

專家說，對黑客來說，密碼是最容易攻擊的對象。因為，通常人們會選擇好記的密碼，因此破解起來也相對容易。

如果未來大家都不用密碼了，還會為各公司的技術部門節省一筆開銷。

因為由於重新設置密碼，每名員工每年的平均費用大約為200美元，累計起來也是一筆不小的開銷。這還不包括為此而損失的生產力。

想像一下，如果是一家大公司，那將是一筆可觀的費用。

新風險

菲利普·布萊克（Philip Black）是英國網絡安全公司Post-Quantum的負責人之一。該公司為客戶設計強大加密系統以保護數據。

布萊克表示，密碼本身就是薄弱點。同時，人們必須要設立許多密碼，讓人管理起來非常困難。這就是為什麼有些人乾脆使用同一個密碼，但這又會讓他們容易成為別人攻擊的目標。

歐盟制定的新規定旨在解決這一問題，比如，歐盟的支付服務指令的更新版本（The updated Payment Services Directive, known as PSD2）要求商家在驗證客戶身份時必須使用兩步驗證方法（或叫雙重驗證法，two factors authentication） ，以提高安全性能。

比如，客戶的信用卡，加上密碼，或是生物識別信息等。

現在，安全公司對使用生物識別技術興趣大漲。根據2019年畢馬威（KPMG）全球國際銀行欺詐調查顯示，67％的銀行已投資於諸如指紋、語音模式和面部識別等生物識別技術。

今年，英國國民西敏寺銀行（NatWest）已經開始試行把用戶指紋掃描直接植入現金卡的做法。

生物識別

過去，生物識別技術之所以滯後是因為它需要使用專門設備。但是，隨著智能手機的普及，許多人兜裏的手機都可以提供指紋掃描技術。而且，這一數字仍在增長。這就給生物識別技術的普及提供了便利和可能性。

當然，這並非意味著生物識別技術就一點風險也沒有。今年9月份，在上海召開的一個網絡安全大會，中國研究人員展示了從幾米外拍攝的照片中也可以捕捉到人們手紋的做法。

你可以重設你的密碼，但卻很難改變自己的指紋。

未來安全手段

為了加強安全，越來越多的公司開始利用多重要素驗證方法(multiple factor authentication,MFA)。

它們包括密碼、指紋掃描等方式，同時還可以包括像你所在的方位，購物歷史，擊鍵，劃動模式，電話身份，甚至你拿手機的方式等這樣的背景檢查。

移動銀行服務Bunq的總裁尼克納姆表示，不能簡單地用生物識別來取代密碼。未來的安全防範更有可能是利用多重要素結合的方式。

雖然這種方式比較保險，但也十分複雜和不透明。因為你不知道自己應該保護哪些個人信息。

有了身份被盜的教訓後，伊莎貝拉現在特別小心。她不再透露自己的出生日期和家庭住址，特別是在網上。

伊莎貝拉還相對年輕，而且熟知網絡。即使這樣，她也不知道自己還應該怎樣才能更小心。

#科技 #社會 #生活 #商業

【BBC中文網】未來密碼可能過時 我們會用什麼來取而代之

密碼已經成為現代人生活必不可少的一部分。我們生活在各種密碼的世界：銀行密碼、電郵密碼、手機密碼、社交媒體密碼等等。

一旦忘記密碼，就會被鎖住，錢取不出來、電郵打不開、機票無法訂等等，讓人無限苦惱和著急。

有些人為了方便記憶，乾脆使用一碼通，即所有帳戶都使用同一個密碼。這樣做的危險是一旦一個密碼被盜，所有賬戶都面臨危險。

而現實生活中，密碼和身份被盜的情況比比皆是。例如，雅虎電郵以及臉書旗下的Instagram用戶等被黑客攻入，導致高達數億人的個人信息被洩露。

這些個人信息中包括用戶的電郵地址、密碼以及個人安全信息等。

密碼身份被盜

來自倫敦的伊莎貝拉就碰到過這種事。2017年，她發現家中的郵箱被盜。

隨後，伊莎貝拉發現銀行以她的名義簽發了兩個新信用卡，但問題是伊莎貝拉並沒有申請這些信用卡。

接下來，伊莎貝拉費時費力，還要破費金錢跟銀行以及各種相關機構打交道，試圖澄清自己身份被盜的事實，令她苦不堪言。

其中一家銀行最初拒絶取消小偷以她的名字開設的帳戶，原因是她不知道密碼。

而伊莎貝拉的情況決不是個例，僅去年一年，英國欺詐防範服務機構（CIFAS）就記錄了19萬個身份被盜的案例。

這一切都與我們日益數字化的生活，使欺詐者比以往任何時候都更容易獲得我們的個人信息有關。

廢除密碼？

正是因為種種風險，去年美國微軟宣佈該公司計劃廢除使用密碼，而用生物識別或是特殊安全鑰匙取而代之。

美國技術公司高德納（Gartner）預測，到2022年，全球60%的大公司以及幾乎所有中等公司將會減少對密碼的依賴。

專家說，對黑客來說，密碼是最容易攻擊的對象。因為，通常人們會選擇好記的密碼，因此破解起來也相對容易。

如果未來大家都不用密碼了，還會為各公司的技術部門節省一筆開銷。

因為由於重新設置密碼，每名員工每年的平均費用大約為200美元，累計起來也是一筆不小的開銷。這還不包括為此而損失的生產力。

想像一下，如果是一家大公司，那將是一筆可觀的費用。

新風險

菲利普·布萊克（Philip Black）是英國網絡安全公司Post-Quantum的負責人之一。該公司為客戶設計強大加密系統以保護數據。

布萊克表示，密碼本身就是薄弱點。同時，人們必須要設立許多密碼，讓人管理起來非常困難。這就是為什麼有些人乾脆使用同一個密碼，但這又會讓他們容易成為別人攻擊的目標。

歐盟制定的新規定旨在解決這一問題，比如，歐盟的支付服務指令的更新版本（The updated Payment Services Directive, known as PSD2）要求商家在驗證客戶身份時必須使用兩步驗證方法（或叫雙重驗證法，two factors authentication） ，以提高安全性能。

比如，客戶的信用卡，加上密碼，或是生物識別信息等。

現在，安全公司對使用生物識別技術興趣大漲。根據2019年畢馬威（KPMG）全球國際銀行欺詐調查顯示，67％的銀行已投資於諸如指紋、語音模式和面部識別等生物識別技術。

今年，英國國民西敏寺銀行（NatWest）已經開始試行把用戶指紋掃描直接植入現金卡的做法。

生物識別

過去，生物識別技術之所以滯後是因為它需要使用專門設備。但是，隨著智能手機的普及，許多人兜裏的手機都可以提供指紋掃描技術。而且，這一數字仍在增長。這就給生物識別技術的普及提供了便利和可能性。

當然，這並非意味著生物識別技術就一點風險也沒有。今年9月份，在上海召開的一個網絡安全大會，中國研究人員展示了從幾米外拍攝的照片中也可以捕捉到人們手紋的做法。

你可以重設你的密碼，但卻很難改變自己的指紋。

未來安全手段

為了加強安全，越來越多的公司開始利用多重要素驗證方法(multiple factor authentication,MFA)。

它們包括密碼、指紋掃描等方式，同時還可以包括像你所在的方位，購物歷史，擊鍵，劃動模式，電話身份，甚至你拿手機的方式等這樣的背景檢查。

移動銀行服務Bunq的總裁尼克納姆表示，不能簡單地用生物識別來取代密碼。未來的安全防範更有可能是利用多重要素結合的方式。

雖然這種方式比較保險，但也十分複雜和不透明。因為你不知道自己應該保護哪些個人信息。

有了身份被盜的教訓後，伊莎貝拉現在特別小心。她不再透露自己的出生日期和家庭住址，特別是在網上。

伊莎貝拉還相對年輕，而且熟知網絡。即使這樣，她也不知道自己還應該怎樣才能更小心。

#科技 #社會 #生活 #商業

電腦手機網絡安全（二）：簡介二步認證

文：薯伯伯

前文提過，如果有人取得你的 SIM 卡，可能用這個號碼來重置你的聊天工具、電郵戶口、社交媒體的密碼，所以 SIM 卡最好上鎖。但只是為 SIM 卡上鎖，絕對不足以應付各式情況，因此必須加強戶口本身的安全，其中一個有效的方法，是二步認證。

所謂「二步認證」，即 two-factor authentication，簡稱 2FA，是指登入戶口時，除了要有密碼，還要有其他認證的「因素」，例如額外的密碼、手機短訊，軟件認證、USB 鑰匙等等。

不同的 2FA 認證方式，也有不同的安全級別，以手機短訊最為方便，但也最不安全，這方面要另文再述。在這篇文章裡，還是先以手機短訊的方式，談一下二步認證的具體操作。

WhatsApp 的二步認證：

當你在新手機上安裝 WhatsApp 後，一般的登入方法，是插入 SIM 卡，收到一個短訊，裡面有個六位認證碼，輸入就能登錄 WhatsApp。這個方法過於簡單，很大風險，所以要二步認證。

啟用二步認證後，除了要輸入短訊內的六位認證碼，還要再輸入一個自訂密碼，設置方法如下：

打開 WhatsApp - （右下方）設定 - 帳號 - 雙步驟驗證 - 自己選擇一個六位數字的 PIN，不要用生日日期。考慮輸入一個後備的電郵地址，萬一忘記了 PIN，可以重設戶口。（但如果你百分之百肯定不會忘記 PIN，就不要額外設定復原的電郵地址，因為越多重設的渠道，也就代表越多保安的漏洞。）

Google 戶口的二步認證：

1. 打開 https://myaccount.google.com/
2. 選擇保安或安全（Security），如果用桌面版，在左邊。如果用手機版，則在 Google Account 字樣下方的菜單，要用手指向左掃一掃才能看見。
3. 開啟二步認證。
4. 輸入戶口密碼。
5. 選擇手機短訊的欄目，輸入手機號碼，收到六位認證碼，輸入再確定。

Facebook 的二步認證：

1. 打開 https://www.facebook.com/settings 。
2. 在左邊選擇保安及登入。
3. 選擇「二步認證」，輸入戶口密碼。
4. 在文字訊息一欄，輸入手機號碼，按指示再確認。

Apple ID 的二步認證：

在 iPhone 打開設定 - 點選「你的名字」 - 密碼與保安，再按畫面上的指示去開啟雙重認證。

留意，以上的中文按鍵譯名，在各個版本可能有些出入，但設置上大同小異，不難自行摸索，就不一一細說了。至於服務是否支援二步認證，可以參看這個網站： https://twofactorauth.org/

這篇文章裡提及的二步認證 2FA，均是使用手機短訊方式，但是手機短訊本身也有風險，例如在遠處被人偷取手機短訊的內容，即所謂的「SIM 卡騎劫」。在下一篇文章，我會再分享一下二步認證的其他「因素」，例如軟件認證、USB 鑰匙等。

請記住，煩瑣及保安，有如魚與熊掌，不能兼得。如果你登錄戶口時總是輕鬆自在，往往不是代表方便快捷，只是有保安漏洞，很易被入侵而已。

延伸閱讀：

電腦手機網絡安全（一）：SIM 卡鎖：https://www.facebook.com/pazukong/photos/a.2007886759444126/2634928633406599/
電腦手機網絡安全（二）：簡介二步認證：https://www.facebook.com/pazukong/photos/a.2007886759444126/2636315873267875/
電腦手機網絡安全（三）：二步認證的驗證因素：https://www.facebook.com/pazukong/photos/a.2007886759444126/2637695243129938/

———

照片：前往西藏阿里的路上，當時手機裝了一大堆 apps，現在想來，當中滿是保安隱患及風險。攝於 2018 年 10 月 20 日。

———

* 想追看薯伯伯的文章，請設定本 Page 為「搶先看 / See First」*

Instagram 🥑🥭🍉🍌: pazu

新博客：http://pazu.com/blog

另外還要提一提大家：

【新書速報】Pazu 薯伯伯《不正常旅行研究所》（白卷出版社）——從西藏拉薩到神州大地；由亞洲各國至中東地區。非常人般玩轉奇異世界、紀錄精彩故事文化習俗。

在旺角序言、北角森記、誠品書店及各大書店，均有代售！其中在旺角序言及北角森記，有少量簽名版本。