零基資安訓練營（七）：使用二步認證
文：薯伯伯
其中一個最重要，最有效，最必須，但又經常被人忽略的保安方法，是二步認證。例如蕭若元 YouTube 的 2.6 萬條影片被刪，到底是否政治打壓，現在不敢妄下判斷，我還是較為傾向於相信是黑客入侵。（YouTube 「黃標事件」看來應該是政治打壓，但全頻刪片卻保留戶口，又似乎不是 Google 慣用的手法。）
如果能預先做好二步認證，黑客要入侵戶口，難度就高出很多。因為這很重要，所以大家聽我講，不論政見如何，不論是否覺得自己會成為入侵目標，但今天起碼要完成以下其中一個 2FA 保護，之後陸續加強不同服務的 2FA。
所謂「二步認證」，英文叫 two-factor authentication，簡稱 2FA，是指登入戶口時，除了原有的登入認證，還要有其他認證的「因素」，例如額外再加一個密碼、手機短訊驗證，動態密碼（例如 Google Authenticator）、Yubikey 硬件鑰匙等等。
萬一有人偷看到你輸入密碼，例如在電腦裡安裝了 keylogger，記錄鍵盤動作，又或是從遠遠拉長望遠鏡去偷看你打字（哎，你以為你是誰？有人肯定這樣問。）豈料你是一個漂亮又謹慎的人，一早就開通了 2FA，那麼對方即使非法取得你的密碼，但還要輸入另一個動態密碼才能登入，你的戶口安全無損。在這篇文章裡，還是先以手機短訊的方式，談一下二步認證的具體操作。
以下設置 2FA 的方法，通常就是用一個六位密碼（不是太好，但總好過沒有），authenticator
WhatsApp 的二步認證：
當你在新手機上安裝 WhatsApp 後，一般的登入方法，是插入 SIM 卡，收到一個短訊，裡面有個六位認證碼，輸入就能登錄 WhatsApp。這個方法過於簡單，很大風險，所以要二步認證。
啟用二步認證後，除了要輸入短訊內的六位認證碼，還要再輸入一個自訂密碼，設置方法如下：
打開 WhatsApp - （右下方）設定 - 帳號 - 雙步驟驗證 - 自己選擇一個六位數字的 PIN，不要用生日日期。考慮輸入一個後備的電郵地址，萬一忘記了 PIN，可以重設戶口。（但如果你百分之百肯定不會忘記 PIN，就不要額外設定復原的電郵地址，因為越多重設的渠道，也就代表越多保安的漏洞。）
Signal 通訊軟件的二步認證：
點擊自己的頭像，選擇「隱私權」- 設置 Signal PIN 碼，啟用 PIN 碼提醒及註冊鎖。
Google 戶口的二步認證：
1. 打開 https://myaccount.google.com/
2. 選擇保安或安全（Security），如果用桌面版，在左邊。如果用手機版，則在 Google Account 字樣下方的菜單，要用手指向左掃一掃才能看見。
3. 開啟二步認證。
4. 輸入戶口密碼。
5. 選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。
Facebook 的二步認證：
1. 打開 https://www.facebook.com/settings 。
2. 在左邊選擇保安及登入。
3. 選擇「二步認證」，輸入戶口密碼。
4. 之後選擇下載 Google Authenticator 動態密碼生成器，跟著畫面指示掃 QR 碼，輸入認證，便能確定完成。
Apple ID 的二步認證：
在 iPhone 打開設定 - 點選「你的名字」 - 密碼與保安，再按畫面上的指示去開啟雙重認證。
Patreon 用戶的二步認證：
近來不少創作人都開通了 Patreon 平台（包括我），謹記要加強相關保安，先進入 https://www.patreon.com/settings/profile ，在 Security 下選擇 Add via SMS 或 Add via TOTP authenticator app（即例如 Google Authenticator 之類）。
多了一層 2FA，會否影響日常工作的效率或速度呢？我的主要戶口，是每次關閉瀏覽器都會自動登出，所以我每天都要輸入數次密碼及 2FA 認證，早已是上網生活的一部份。你知道每天都做足 2FA 防護措施，經過一年半載後，會有甚麼效果嗎？就是現在當我使用一些服務，居然是不支援 2FA，我反而會覺得周身不自在，甚至會拒絕使用該服務（如果有其他選項）。
另外，有些服務，至今仍然只支援安全級別較低的手機 SMS 認證，萬一手機 SIM 卡被騎劫了，那這層保障就如同虛設。所以，如果有其他認證因素，就應避免使用 SMS 做驗證。如果真的沒有選擇，必須用 SMS 做驗證，那麼就必須加強 SMS 的保安級別。至於如何去做，因為涉及過多細節，我們找天有時間再好好談談。
照片：Hacker Noon via Unsplash
*———*
請訂閱 Patreon 頻道，支持不受干預的獨立分析及評論。
http://patreon.com/pazu
iphone數字鍵盤英文 在 [情報] iOS第三方鍵盤「蝦米鍵盤」4.5版本更新- 看板Liu 的美食出口停車場
4.5 版本的新內容
1. 在符號鍵盤下快速符號無法作動已修復
2. 滑動移動游標現在預設為設定在工具列上
3. 現在鍵盤在iPad iOS9 可以正常出現
4. 移除所有特殊符號
5. 現在在iPad上使用iPhone app鍵盤可以正常出現
5.1 按鍵A呈現半消失，但功能正常
5.2 部份圖示比例無法準確控制
6. 數字鍵盤大小改回原本大小
7. 自定遮蔽透明度
8. 自定文字大小
9. 重新設計數字鍵盤
10. 提示最簡碼功能
11. 現在使用者可以自行選擇點擊組字框是否英文直出
12. 加入按鍵放大效果，並可設定是否顯示放大效果
13. 支援VoiceOver
下載網址：
https://itunes.apple.com/tw/app/xia-mi-jian-pan/id894741887?l=zh
看起來這版本主要應該是修正一些BUG...
前幾天颱風後沒網路~過了幾天大家沒分享我就來分享情報~
還有很多地方沒網路沒電沒水沒電話的~辛苦了
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 117.56.212.5
※ 文章網址: https://www.ptt.cc/bbs/Liu/M.1443688189.A.708.html
※ 編輯: sinlons (117.56.212.5), 10/01/2015 16:31:40
... <看更多>