雙重​安全​保障

.
不​幸​成為​資料​入侵​的​受害​者​可能​帶會​來​一些​不​愉快​的​後果。​曾​經​有​不明​攻擊​者​利用​受害者​的​帳戶，​以​使用​者​的​名義​在​網上​挑釁​搗亂，​又​或​者​傳送​欺詐​電郵。​也​有​人​曾​發現​網​上​銀行​帳戶​中​的​金錢​不翼​而​飛。​很多​時候，​受害者​在​問題​出現​之​前​都​不知道​帳戶​已​被​入侵，​但​發現​時​已經​太遲。

資料​盜竊​不斷​重複​發生​的​一​大​原因，​是​大部分​網絡​使用​者​都​過份​依​賴密碼。​很多​人​都​不知道網​上​流​傳載​有數百萬​個​使用​者​名稱​和​密碼​組合​的​清單。​專家​把​這些​清​單稱​之​為​「密碼​轉儲」，​當中​的​資料​來自​過往​多​次​成功​資料​盜竊。​由於​很多​人會​在​不同​地方​使用​相同​密碼，​即使​他們​的​ Google ​帳戶​並​未​被​入侵，​仍然​可能​會​在​這些​「密碼​轉儲」​中找​到​ Google ​帳戶​的​登入​資料。​另​一​項​長期​威脅​是​仿冒​詐騙，​即​攻擊​者​利用​看似​可​信​的​電郵​或​網站​騙​取​密碼​和​其他​資料。

因此，​Google ​等​公司​建議​使用​者​透過​雙重​認證​保護​帳戶，​在​每​次​登入​時​使用​兩​種​不同​的​認證​方式，​例如​是​密碼加​上​透過​短訊​傳送​的​代碼。​這​種​認證​方法日​趨普及，​特別​廣為​銀行​和​信用卡​公司​所​採用。

安全​專家​解釋​安全​認證​有​三​種​基本​類型。​第一​種​是​資料 ​(「您知道​的」)​：​例如，​使用​者​透過​短訊接收代​碼然​後​輸入，​或​需要​回答​安全性​問題。​第二​種​是​實物 ​(「您擁有​的」)，​即可以​用​作​認證​的​實際​物件，​例如​信用卡。​第三​種​是​生物識別​資料 ​(「您身體​的​一​部分」)，​例如​智​能​手機​使用​者​可以​利用​指紋​解鎖手機​螢幕。​所有​雙重認證策略​都​會​結合​以上​其中​兩​種​認證​方式。

Google ​提供​了​不同​類型​的​雙重​認證。​除了​傳統​的​密碼​外，​使用​者​可以​輸入​透過​短訊​或​語音​通話​收到​的​一​次​性​安全碼，​又​或​者​在​ Android ​和​ Apple ​流動​作業​系統​ iO​S ​上​使用​ Google Authenticator ​應​用​程式​產生​的​安全​碼。​使用​者​也​可以​在​ Google 帳戶​內列明​信任​的​裝置​清單。​假如​使用​者​嘗試​利用​清單​以​外​的​裝置​登入，​便會​收到​ Google ​發出​的​安全性​警告。

在​過去​三​年，​Google ​也​為​使用​者​提供​稱​為​安全​密鑰​的​實物​安全​憑證。​這​是​一​種​ U​SB、​NF​C ​或​藍牙外​接式​安全​密鑰，​在​使用​時​需要​連接​至​相關​裝置。​這​種​程序​基於​一​種​由​ FIDO ​聯盟​研發、​稱為​通用​第二​要​素 ​(U2F)​ ​的​開放​認證​標準。​Google、​Microsoft、​Mastercard ​和​ PayPal ​等​公司​都​是​該​聯盟​的​成員。​多​個​製造商​都​提供​基於​ U​2​F ​標準​的​安全​憑證，​使用​時​需​支付少​許​費用。​這​種​憑證​非常​成功，​自​安全​密鑰​推出​以來，​資料​盜竊​風險​已​大幅​下降。​雖然​理論​上網​上​帳戶​可​在​世界​上​任何​地方​被​入侵，​但​假如​使用​了​實物​安全​憑證，​資料​盜竊者​就​需要​實際​取得​憑證​在​手，​同時​備​有​受害人​的​登入​資料​才​能​存取​帳戶。​除了​ Google​ 外，​現時​已​有​不少​公司​支援​此​類​安全​憑證。

當然，​雙重​認證​也​有​其​弊處。​假如​使用​短訊​安全碼，​使用​者​就​必須​有​手機​在​身才​能​登入​新​裝置。​而​ USB ​和​藍牙外​接式​安全​密鑰​也​很易​遺失。​不過​這些​都​並​非​無法​克服​的​問題，​而且​當考慮到​認證​可​帶來​的​額​外​保安，​這些​小風險​還是​相當​值得。​任何​人假如​遺失​了​安全​密鑰，​就​可以​從​自己​的​帳戶​中​移除​遺失​了​的​憑證，​並​添加新​憑證。​另​一​個​方法​是​從​一​開始​就​註冊​第二​個​安全​密鑰，​並​存放​在​安全​的​地方。

如​要​瞭解​詳情，​請​瀏覽：​g.​co/2step

插圖：​Birgit Henne