保护资安的两阶段验证手机软件「Authy」推荐

先前在《网络安全：启用两阶段验证安全密码安全防护》[3]乙文中介绍过如何启用 Google 与 Facebook 两阶段验证服务，透过 Google 的两阶段验证服务，教大家进一步提升网络活动时的信息安全防护。

文章提到 Google 在验证个人身份时，需要传送「简讯验证码」到我们个人手机，并用该验证码进行网页上的身份认证，这就是普通的二步骤验证方式：「手机验证」。

不过这些提供两阶段验证服务的网站（包括 Google 和 Facebook），大多会提供另一种验证方式：「程序验证」。

虽然程序验证比起手机验证需要更多繁杂的启用过程，但是等到第一次设定完成后，不管是重新登入帐号或是更换手机，反而会比手机验证来得更方便。

毕竟我们有时候并不是都处于能正常接收手机讯号的地方，收不到简讯又急需验证时，肯定会让人感到烦躁。

程序验证是在智慧型手机（Smart Mobile Phone）或平板电脑（Tablet）上，安装「二阶段验证」的专用验证软件。

例如 Google 的「Google Authenticator」[1]，或是我们推荐的「Authy」[2]。

根据笔者亲自用过这两套资安软件后得到的评价，Google Authenticator 的推荐度会是 1 颗星的极低评价，Authy 无论是在方便度或使用体验上的综合评比可以高达 4 颗星（在 Google Android 系统下）。

Authy 两阶段验证程序操作教学

当我们在任何网站上启用「两阶段验证」服务，除了前面提到透过行动电话取得简讯验证码的方式外，另一种就是利用 Authy 内建的 QR Code 扫描服务或手动输入网站提供的密钥字串。

一般在启用网站的两阶段验证服务时，网站会自动建立一组内含验证密码（密钥字串）的 QR Code 图档（如下图一）。这时候就能用 Authy App 扫描该 QR Code，借以自动建立对应的网站资料与所需验证信息。

请参考下图一，以脸书（Facebook）为例，在「帐号安全和登入」页面中寻找「使用双重验证」安全措施，接著执行「代码产生器」功能后，脸书会自动产生一组包含密钥字串的 QR Code（也有可供手动输入的字串）。

由于每个网站都在持续不断更新设计，我在这边也只能先提供一些关键字让大家认识。如果真的找不到前面提到的功能或服务时，只要稍微东摸摸西摸摸就好啰。

图一，脸书代码产生。

接著请参考下图二，等我们在行动电话或平板电脑上安装 Authy App 后，就能启用内建的 QR Code 扫描功能。

图二、扫描 QRCode。

请参考下图三所示，当完成网站资料的验证后，Authy 选单上会出现已建立的网站列表（例如我先前已启用了 CloudFlare、WordPress、Google 以及 Facebook。）

如果下次打算新增另一家网站的资料时，可接著启用 Authenticate Account 功能。

图三，已启用两阶段验证服务的网站列表。

在 Authy 中完成网站的资料登录后，我们就可以在手机或平板电脑中，打开 Authy 任何一个已建立密钥资料的网站，并且会看见如下图四所示的画面。

图四中包括有显示网站名称的标题区块（这边是 Google）、一组「循换验证令牌」以及以一组「倒数计时器」（备注：新版本的倒数计时器不再显示数字，改以时间光棒的消失为代表）。

其中该倒数计时器会以 20 秒为基数，不断自动倒数归零，并在产生一组新的循换验证令牌（Token，代表独立验证码）后继续重复倒数的动作。

图四，循环验证令牌。

当我们登入 Gmail 信箱，系统询问第二阶段验证码时，我们就能执行 Authy 软件，开启 Google 网站资料，并在秒数倒数为零之前，将画面上显示的验证码（令牌）输入网页上的文字框，并按下确认按钮。

如此一来就能完成网站的两阶段密码验证服务。

要是输入太慢，在按下确认按钮前，倒数计时器已经重新倒数时，原本的验证码也已经没有用了，需要重新输入（这是一个考验手眼并用的时候）。

提到验证码的输入时机，一般是在我们完成传统的帐号与密码登入后，网站会自动导向第二阶段验证的网页。

如果是程序验证，在这里要「即时」输入循环验证码；如果是手机验证，我们就可以好整以暇的等到手机收到简讯验证码后再慢慢输入即可。