雙重驗證
該標籤下有 3 篇文章
設定 GitHub 雙重驗證（2FA）：驗證器 App、passkey、復原碼，以及手機遺失時該怎麼辦
在 GitHub 上設定雙重驗證（2FA）並避免把自己鎖在門外的指南。自 2023 年 3 月起，GitHub 分批要求在 GitHub.com 上貢獻程式碼的使用者開啟 2FA；被選中後有 45 天的啟用期與 7 天的寬限期，之後在開啟 2FA 之前都無法使用 GitHub.com。GitHub Docs 建議以 TOTP 驗證器 App 為主要方式，passkey 或安全金鑰作為備援（passkey、安全金鑰與 GitHub Mobile 只能在設定好 TOTP 或 SMS 之後新增）。本站的看法：GitHub 2FA 常見的失敗不是帳號被盜，而是把自己鎖在門外；2FA 憑證與所有復原方式都遺失的帳號，GitHub Support 也無法恢復。請把 16 組復原碼存進密碼管理器，並在同一天註冊第二種方式。順便改用有期限的 fine-grained 權杖、清理已授權的 App 與 SSH 金鑰，並確認 push protection 與 Dependabot 警示。
什麼是一次性密碼（OTP）？TOTP/HOTP/簡訊的差異與限制
一次性密碼（OTP）是一種用過一次就失效的短命拋棄式驗證碼。種類有驗證器 App 的 TOTP（以時間為基礎）、HOTP（以計數為基礎）、SMS-OTP（用簡訊送達）。它對固定密碼的外洩與重複使用有很強的防護，常被當作雙因素驗證中『你擁有的東西』這個因素。不過它有限制：中間人（AiTM）釣魚仍可透過假網站中繼 OTP 而攻破。更強的抗釣魚能力來自繫結在網域上的通行金鑰。OTP 是『比什麼都沒有好得多，但不是最後一步』。
什麼是雙因素驗證（2FA）？與兩步驟驗證的差異，以及各方式的強弱
雙因素驗證（2FA）是在『你知道的東西（密碼）』之上，加上『你擁有的東西・你本人（驗證碼・金鑰・生物特徵）』這種不同類別的證明，來強化身分確認的機制。它與常被混淆的兩步驟驗證（確認兩次）在嚴格意義上是不同概念，密碼加上透過手機號碼接收的簡訊驗證碼，可組合知識與持有兩種因素；密碼加安全提示問題才是同類別的兩個步驟。強度由方式決定：簡訊/郵件 < 驗證器 App（TOTP） < 通行金鑰/實體金鑰（FIDO2）。本站的立場是：先不論如何都要開啟某種 2FA，再往無法交給釣魚網站的方式靠攏。