先前在《網路安全：啟用兩階段驗證安全密碼安全防護》[3]乙文中介紹過如何啟用 Google 與 Facebook 兩階段驗證服務，透過 Google 的兩階段驗證服務，教大家進一步提升網路活動時的資訊安全防護。
文章提到 Google 在驗證個人身份時，需要傳送「簡訊驗證碼」到我們個人手機，並用該驗證碼進行網頁上的身份認證，這就是普通的二步驟驗證方式：「手機驗證」。
不過這些提供兩階段驗證服務的網站（包括 Google 和 Facebook），大多會提供另一種驗證方式：「程式驗證」。
雖然程式驗證比起手機驗證需要更多繁雜的啟用過程，但是等到第一次設定完成後，不管是重新登入帳號或是更換手機，反而會比手機驗證來得更方便。
畢竟我們有時候並不是都處於能正常接收手機訊號的地方，收不到簡訊又急需驗證時，肯定會讓人感到煩躁。
程式驗證是在智慧型手機（Smart Mobile Phone）或平板電腦（Tablet）上，安裝「二階段驗證」的專用驗證軟體。
例如 Google 的「Google Authenticator」[1]，或是我們推薦的「Authy」[2]。
根據筆者親自用過這兩套資安軟體後得到的評價，Google Authenticator 的推薦度會是 1 顆星的極低評價，Authy 無論是在方便度或使用體驗上的綜合評比可以高達 4 顆星（在 Google Android 系統下）。
Authy 兩階段驗證程式操作教學
當我們在任何網站上啟用「兩階段驗證」服務，除了前面提到透過行動電話取得簡訊驗證碼的方式外，另一種就是利用 Authy 內建的 QR Code 掃描服務或手動輸入網站提供的密鑰字串。
一般在啟用網站的兩階段驗證服務時，網站會自動建立一組內含驗證密碼（密鑰字串）的 QR Code 圖檔（如下圖一）。這時候就能用 Authy App 掃描該 QR Code，藉以自動建立對應的網站資料與所需驗證資訊。
請參考下圖一，以臉書（Facebook）為例，在「帳號安全和登入」頁面中尋找「使用雙重驗證」安全措施，接著執行「代碼產生器」功能後，臉書會自動產生一組包含密鑰字串的 QR Code（也有可供手動輸入的字串）。
由於每個網站都在持續不斷更新設計，我在這邊也只能先提供一些關鍵字讓大家認識。如果真的找不到前面提到的功能或服務時，只要稍微東摸摸西摸摸就好囉。
接著請參考下圖二，等我們在行動電話或平板電腦上安裝 Authy App 後，就能啟用內建的 QR Code 掃描功能。
請參考下圖三所示，當完成網站資料的驗證後，Authy 選單上會出現已建立的網站列表（例如我先前已啟用了 CloudFlare、WordPress、Google 以及 Facebook。）
如果下次打算新增另一家網站的資料時，可接著啟用 Authenticate Account 功能。
使用 Authy 產生網站兩階段驗證所需的驗證碼令牌
在 Authy 中完成網站的資料登錄後，我們就可以在手機或平板電腦中，打開 Authy 任何一個已建立密鑰資料的網站，並且會看見如下圖四所示的畫面。
圖四中包括有顯示網站名稱的標題區塊（這邊是 Google）、一組「循換驗證令牌」以及以一組「倒數計時器」（備註：新版本的倒數計時器不再顯示數字，改以時間光棒的消失為代表）。
其中該倒數計時器會以 20 秒為基數，不斷自動倒數歸零，並在產生一組新的循換驗證令牌（Token，代表獨立驗證碼）後繼續重複倒數的動作。
當我們登入 Gmail 信箱，系統詢問第二階段驗證碼時，我們就能執行 Authy 軟體，開啟 Google 網站資料，並在秒數倒數為零之前，將畫面上顯示的驗證碼（令牌）輸入網頁上的文字框，並按下確認按鈕。
如此一來就能完成網站的兩階段密碼驗證服務。
要是輸入太慢，在按下確認按鈕前，倒數計時器已經重新倒數時，原本的驗證碼也已經沒有用了，需要重新輸入（這是一個考驗手眼併用的時候）。
提到驗證碼的輸入時機，一般是在我們完成傳統的帳號與密碼登入後，網站會自動導向第二階段驗證的網頁。
如果是程式驗證，在這裡要「即時」輸入循環驗證碼；如果是手機驗證，我們就可以好整以暇的等到手機收到簡訊驗證碼後再慢慢輸入即可。
延伸閱讀
- Authy 兩階段驗證 App for Google Android。
- Authy 兩階段驗證 App for Apple IPad | IPhone。
- 網路安全：啟用兩階段驗證安全密碼安全防護（以 Google 為例的設定教學）。
- 兩階段驗證服務：設定 Google 應用軟體專用密碼（臨時密碼）。
- 原文寫於 2014 年 2 月 10 日，於 2015 年 10 月 2 日二修。
發佈留言