多​重​安全​防護

萬​一​資料​遭竊，​可能​會​造成​慘痛​的​後果。​曾​有​不​知名​的​攻擊​者​盜用​他​人​帳戶，​並​以​受害者​的​名義​在​社群​媒體​上​做亂，​或寄送​詐欺​電子​郵件，​有些​受害​者​則​是​線​上​銀行​帳戶​的​存款​遭竊。​使用​者​通常​都​是​在​損害​造成​後，​才​驚覺​自己​的​帳戶​遭駭。

資料​竊取​事件​之​所以​一​再​發生，​是​因為​大多數​人​過於​仰賴​密碼​保護​自己​的​上網​安全。​使用​者​並​不​知道​有​一​種線​上​清單，​列出數​百萬​種​使用​者​名稱​和​密碼​的​組合。​專家​將​這​類​清單​稱為​「密碼​傾​印」，​是​由​大量​資料​竊​取​成功​案​例​所​取得​的​資訊​組合​而成。​許多​使用​者會​將​密​碼用​在​許多​地方，​因此​即使​他們​的​ Google ​帳戶​並​未​真正​遭​盜用，​登入​資料​也​會​列​在​這些​「密碼​傾印」​清單上。​另​一​種​長​期​存在​的​威脅​是​網路​釣魚，​這​類​詐欺​手法​會​透過​看似​值得​信賴​的​電子​郵件​或​網站，​試圖​騙​取​密碼​和​其他​資訊。

有​鑑於​此，​Google ​等​公司​往往會​建議​透過​雙重驗​證來​保護線​上​帳戶。​登入​帳戶​時，​使用​者​必須​完成​兩​種​不同​的​驗證​方式，​例如​提供​密碼加上​簡訊驗​證碼。​這​種​驗證​方式​現在​非常​普遍，​尤其​是​銀行​和​信用卡​公司​的​服務。

安全​專家​將​安全​驗證​方式​分為​三種​基本​類型。​第一​種​是​提供​個人​資訊 ​(也​就是​「只有​自己​知道​的​資訊」)，​例如​要求​使用​者​輸入​收到​的​簡訊驗​證碼，​或​是​回答​安全性​問題。​第二​種​是​用​實體​物品 ​(也​就是​「只有​自己​擁有​的​東西」​)​ ​來​驗​證​身分，​例如​信用卡。​第三​種​是​提供​生物​辨識​資料 ​(也​就是​「只有​自己​才​有​的​特徵」)，​例​如用​指紋​解鎖​智慧型​手機​螢幕。​所有​雙重驗​證策略​都​會​混用​其中​兩​種​方式。

Google ​提供​多​種​雙重驗證​方式。​除了​傳統​密碼外，​使用​者​在​登入​帳戶​時，​可以​輸入​一​次​性​安全碼，​也​就是​透過​簡訊​或​語音通話​接收​的​安全​碼，​或​是​ Android ​或​ iO​S ​(Apple ​的​行動​作業​系統)​ 版​ Google Authenticator ​應​用​程式​產生​的​安全​碼。​此外，​Google 帳戶​也​能​加入​信任​的​裝置。​如果​使用​者​登入​不​在​該​清​單​上​的​裝置，​就會​收到​ Google​ ​安全性​警示。

過去​三​年​來，​Google ​使用者​還​能​選用​安全​金鑰​等​實體​安全​權杖。​如果​想​在​未加進​信任​清單​的​裝置​上​登入​帳戶，​連接​這​類​ U​SB、​NF​C ​或​藍牙 Dongle ​即可。​這​項​程序​是​以​ ​F​IDO ​聯盟​開發​的​通用​第二​要​素 ​(U2F)​ ​開放​驗​證​標準為​依據。​Google、​Microsoft、​Mastercard ​和​ PayPal ​等​公司，​都​是​這​個​聯盟​的​一​份子。​使用​者​只要​支付​一​小​筆​費用，​就​能​向​各​家​製造商​購買​以​ U​2​F ​標準為​依據​的​安全​權杖。​事實​證明，​安全​金鑰​是​非常​成功​的​驗證​方式，​自​推出​後，​資料​遭竊​的​風險​大幅​降低。​理論​上​駭客​可以​從​全球​各​地入​侵線​上​帳戶，​但​如果​使用​者​選用​這​種​驗證​方式，​駭客​不僅​要​取得​帳戶​的​登入​詳細​資料，​還​必須​拿到​實體​安全​權​杖​才​能​得逞。​目前​除了​ Google​ 外，​也​有​許多​公司​支援​這​類​安全​權杖。

當然，​雙重驗​證功​能​還是​有​缺點。​如果​以​簡訊驗​證碼​做​為​驗證​方式，​使用​者​要​透過​新​裝置​登入​帳戶​時，​手機​一​定​得​在​身邊​；驗​證用​的​ U​SB ​和​藍牙 Dongle ​也​可能​會​遺失。​不過，​這些​問題​都​可以​克服。​考慮到​這些​驗證​機制​帶來​的​額​外​保障，​這​確​實​是​值得​承擔​的​風險。​假如​安全​金鑰​遺失，​使用​者​可​從​帳戶​中​移除​遺失​的​權杖，​再​加入​新​的​權杖。​另​一​種​做法​是​一​開始​就​註冊​第二​個​安全​金鑰，​放​在​安全​的​地方​保管。

詳情請​見​ ​g​.co/2step

插圖：​Birgit Henne