本文重點
- 雙重驗證在密碼之外再加一道關卡，就算密碼外洩，對方也難以登入。
- 安全性由低到高大致是：簡訊驗證碼 < 驗證器 App < 通行金鑰（Google 稱為「密碼金鑰」）／實體安全金鑰。
- 開啟時一定要保存備用碼，換手機或手機遺失時只能靠它登入。
密碼再怎麼複雜，只要被釣魚網站騙走或在其他網站外洩，帳號就可能被登入。雙重驗證（Two-Factor Authentication，簡稱 2FA）的作用，是在密碼之外再加一道關卡：就算別人知道你的密碼，沒有第二個驗證因素也登不進去。這是保護重要帳號最有效、成本也最低的方法之一。
雙重驗證的原理
驗證身分的方式可以分成三類：
- 你知道的東西：密碼、PIN 碼。
- 你擁有的東西：手機、實體金鑰。
- 你本身的特徵：指紋、臉部。
雙重驗證就是結合兩種不同類別。最常見的組合是「密碼 + 手機」。
常見的四種第二驗證方式
1. 簡訊驗證碼
登入時系統傳送一組數字到你的手機。優點是不用額外安裝任何東西，幾乎人人都會用。缺點是安全性相對較低：簡訊可能被攔截，也存在有人冒名向電信業者申請補發 SIM 卡的風險。此外，出國或沒有訊號時可能收不到。
2. 驗證器 App
例如 Google Authenticator、Microsoft Authenticator 等。設定時掃描網站提供的 QR Code，之後 App 每 30 秒產生一組新的數字。驗證碼在手機本機產生，不經過電信網路，比簡訊更安全，沒有訊號也能使用。
3. 通行金鑰（Passkey，Google 稱為「密碼金鑰」）
越來越多服務支援通行金鑰，登入時用手機或電腦的指紋、臉部辨識或裝置 PIN 碼確認即可，連密碼都不用輸入。通行金鑰綁定在正確的網站上，就算你點進假冒的釣魚網站，它也不會被使用，因此能有效防範釣魚攻擊。
4. 實體安全金鑰
一種像隨身碟的小裝置，登入時插上或靠近手機觸碰即可。它同樣具有防釣魚的特性，安全性很高，適合管理公司帳號、加密貨幣或高價值帳號的人。缺點是需要購買，而且要隨身攜帶。
四種方式比較
| 方式 | 安全性 | 方便程度 | 防釣魚 |
|---|---|---|---|
| 簡訊驗證碼 | 基本 | 高 | 否 |
| 驗證器 App | 較高 | 中 | 否 |
| 通行金鑰 | 高 | 高 | 是 |
| 實體安全金鑰 | 高 | 中 | 是 |
要特別說明的是：就算是最基本的簡訊驗證，也遠比完全不設定安全。如果你覺得驗證器太麻煩，先開啟簡訊驗證也很好。
優先設定的帳號
- 主要電子郵件（Gmail、Outlook 等）：它是其他帳號重設密碼的管道，被盜等於全部失守。
- Apple 帳號或 Google 帳號：綁定了手機的所有資料。
- 網路銀行與支付服務。
- 社群帳號與通訊軟體。
- 工作用帳號。
最容易被忽略的一步：備用碼
多數服務在開啟雙重驗證時，會提供一組「備用碼」或「復原碼」。當你換手機、手機遺失，或驗證器資料不見時，只能靠它登入。
- 把備用碼列印出來，或寫下來存放在安全的地方。
- 也可以存在密碼管理器中，但不要只存在同一支手機裡。
- 使用驗證器 App 的話，換手機前先確認能轉移帳號，或先在新手機完成設定再刪除舊資料。
雙重驗證不是萬能
詐騙者知道雙重驗證的存在，常見手法是假冒客服，要你「提供剛剛收到的驗證碼」。請記住：驗證碼只能由你自己輸入到你自己打開的官方網站或 App，任何人向你索取都是詐騙。
小結
先為主要信箱與重要帳號開啟雙重驗證，能用通行金鑰或驗證器就優先使用，最後別忘了妥善保存備用碼。花十分鐘設定，能省下日後帳號被盜的大麻煩。