雙重認證有甚麼用？2FA 的運作原理、常見類型與安全價值

你有沒有試過登入某個網站時，系統除了要求輸入密碼，還要求你輸入手機收到的驗證碼？這就是「雙重認證」（Two-Factor Authentication，簡稱 2FA）。在這個每日都有大型網站被黑客入侵的時代，單靠密碼已經難以保障自己的帳戶安全，2FA 正逐漸成為網絡防護的基本配置。本文將拆解 2FA 的運作原理、常見形式，以及為甚麼你應該立即為常用的網上帳戶開啟這項功能。

甚麼是雙重認證？

雙重認證是一種身份驗證機制，要求用戶在登入時提供兩種不同的「因素」來證明自己的身份。這三種常見的驗證因素分別是：你「知道」的東西（如密碼或 PIN 碼）、你「擁有」的東西（如手機或安全金鑰），以及你「是」甚麼（如指紋或臉部識別）。2FA 的核心概念在於結合兩種不同類型，例如密碼加上手機短訊驗證碼，而不是用兩種密碼。

打個比喻：你家的大門有兩把鎖，一把用鑰匙開，另一把用指紋開。即使小偷複製了你的鑰匙，沒有你的指紋也無法進門。2FA 就是這個概念的數碼版本。

2FA 是如何運作的？

當你啟用 2FA 後，登入流程會分成兩個步驟。第一步，你需要輸入用戶名稱和密碼，這與平常一樣。系統驗證密碼正確後，不會立刻讓你登入，而是觸發第二步：要求你提供第二個驗證因素。這個因素通常是一個隨機生成、短時間有效的驗證碼（通常是 6 位數字），或者是一個推送通知，需要你在已登錄的手機上按「批准」。

背後的機制依靠時間同步和加密演算法。以最常見的 TOTP（Time-Based One-Time Password）為例，伺服器和你的驗證器 App 共享一把密鑰，兩者各自根據當前時間和該密鑰計算出同一個驗證碼，無需經過網絡傳輸，也大大降低了被攔截的風險。

常見的 2FA 類型

手機短訊驗證碼（SMS）：這是最普遍的方式，系統會透過短訊發送一次性驗證碼到你的手機號碼。優點是幾乎所有手機都支援，不需要額外安裝應用程式。缺點是短訊可能被攔截（SIM Swap 攻擊），而且依賴電訊商的網絡穩定性。

驗證器應用程式（Authenticator App）：例如 Google Authenticator、Microsoft Authenticator 或 Authy 等，這些 App 會在手機上定時生成新的驗證碼，每 30 秒更換一次。由於驗證碼在裝置本機生成，不經電訊網絡，安全性比短訊更高。

硬件安全金鑰（Hardware Security Key）：如 YubiKey 或 Google Titan Key，是一種實體的 USB 或 NFC 裝置。使用時需要將金鑰插入電腦或靠近手機，按一下按鈕即可完成驗證。這是目前安全性最高的 2FA 方式，因為黑客必須實體取得你的金鑰才能登入，但成本較高，一般用於企業或高風險帳戶。

生物識別（Biometrics）：指紋、臉部識別或虹膜掃描屬於「你『是』甚麼」的因素。許多銀行 App 和手機系統已支援這類驗證，方便之餘亦有相當的安全性。

推送通知（Push Notification）：部分服務（如 Apple ID 或 Google 帳戶）會在登入時向已信任的裝置發送推送通知，只需在該裝置上點擊「批准」即可，不需手動輸入驗證碼，使用體驗最流暢。

為甚麼你需要立即啟用 2FA？

根據 Google 在 2019 年發表的安全研究，啟用雙重認證可以阻擋 99% 的自動化機械人攻擊、96% 的批量網絡釣魚攻擊，以及 76% 的針對性攻擊。這些數字說明了 2FA 是現有最有效的帳戶保護手段之一。

即使你自問密碼夠複雜，也無法完全避免風險。許多網站曾經發生數據外洩，用戶的密碼哈希值被公開，黑客可以用「密碼庫攻擊」（Credential Stuffing）在其他平台嘗試登入。如果你的密碼在多個網站重複使用，一個網站的洩漏就可能牽連到其他所有帳戶。啟用 2FA 之後，即使密碼外洩，黑客也無法通過第二重驗證。

目前，幾乎所有主流網上服務都支援 2FA，包括 Google、Apple、Facebook、Instagram、Microsoft、Amazon、各大銀行及加密貨幣交易所。設定過程通常少於五分鐘，在帳戶設定的「安全性」或「登入與安全性」頁面中，尋找「雙重認證」或「兩步驗證」選項即可開啟。

2FA 的潛在限制與注意事項

雖然 2FA 大幅提升了安全性，但並非萬無一失。短訊驗證碼容易受到 SIM Swap 攻擊，即黑客說服電訊商將你的手機號碼轉移到他們控制的 SIM 卡上。因此，如果服務支援驗證器 App 或硬件金鑰，建議優先選用這些較安全的方式。

另外，啟用 2FA 時，系統通常會提供一組「備用驗證碼」，這是一組可以在緊急情況下使用的一次性密碼。請務必將這些備用碼儲存在安全的地方（例如打印出來或存放在加密的密碼管理器內），因為一旦遺失手機而又沒有備用碼，你可能會被鎖在自己的帳戶之外。

結語

網絡安全沒有百分百的保證，但雙重認證是目前成本最低、效益最高的防護措施之一。花幾分鐘為你的電郵、社交媒體和銀行帳戶開啟 2FA，就等於為你的數碼生活加多一道可靠的門鎖。在這個數據洩漏已成常態的年代，這一步值得你立即行動。

資料來源：Google Security Blog — New Research: How effective is basic account hygiene at preventing hijacking

開版為AI生成配圖，只供參考會意。