Google提倡更安全簡便的兩步驟驗證，將Android智慧型手機作為硬體密碼鎖

身份認證是資訊安全最重要的環節之一，如何讓網路服務提供者、伺服器辨識使用者是本尊、或是冒充的惡意攻擊者，就成了其中的關鍵因素。目前最普遍的方式之一就是透過密碼進行辨識，並可搭配兩步驟驗證提升安全性，Google則透過Android智慧型手機內建的安全金鑰進行驗證增進便利性。

更安全的兩步驟驗證

在理想的狀態下，密碼是只有使用者本人知道，而其他人都不知道的字串，因此能夠有效辨識使用者的身份。但是人們往往因為惰性、記不住密碼，而設定太過簡單、容易被猜中的密碼，讓安全性大打折扣。

而兩步驟驗證則是在原本的密碼措施之上，額外增加1道防線，當使用者（或是冒充的攻擊者）在登入帳號時輸入了正確的密碼之後，系統會要求輸入另一組時效極短的臨時密碼，再次確認使用者身份。

這組臨時密碼往往透過簡訊傳送至先前已綁定的手機，由於攻擊者不太容易同時掌握第1階段的密碼，以及第2階段的臨時密碼，所以能夠有效增加安全性。

▲ 兩步驟驗證能夠藉由額外的驗證程序降低帳號被盜用的風險。（圖片來源：Google）

Google延續Titan Security Key硬體密碼鎖的概念，以FIDO（Fast IDentity Online，快速線上身份認證）聯盟的規範為基礎，推出具高度安全性且更加易於使用的機制，讓使用者能利用智慧型手機為電腦上的Google帳號進行兩步驟驗證。

如果要使用這個功能，使用者需要準備搭載Android 7.0以上作業系統的智慧型手機，並開啟手機的內建安全金鑰功能，而且電腦方面支援Chrome OS、macOS X、Windows 10等作業系統的Chrome瀏覽器，此外電腦需支援藍牙通訊功能。

設定的過程需先在Android智慧型手機上登入Google帳號，並開啟兩步驟驗證功能。接著在電腦上進入與上步驟相同的兩步驟驗證設定網頁，並在增加安全金鑰（Add security key）頁面中，指定對應的Android智慧型手機。

當設定完成後，確定手機與電腦已透過藍牙連線，就能在電腦登入Google帳號時，透過Android智慧型手機作為兩步驟驗證的硬體密碼鎖。

▲ 以手機作為兩步驟驗證裝置可以讓操作更簡便。（圖片來源：Google，下同）

▲ 設定完成後，在電腦登入Google帳號時一樣需先輸入密碼。

▲ 接著系統會提醒使用者透過Android智慧型手機進行兩步驟驗證。

▲ 在手機上確定要帳號無誤，按下確認就可登入。

▲ 操作過程不需等待手機簡訊，整體流程更加便捷。

利用這種方式透過手機進行兩步驟驗證能夠有效提升資訊安全性，同時之間也不會讓操作手續變得太過複雜，但如果對於安全的需求更高時，也可以參考USB介面的硬體密碼鎖，來達到更高層級的安全防護。