【翻墙问答】脸书手机二步认证欠安全 转用谷歌防入侵

2019-03-08
电邮
评论
Share
打印

问:手机二步认证,众所周知并不安全,只不过,在脸书(facebook)上使用手机短讯二步认证,就比其他平台更不安全?不安全在哪里?

李建军:脸书手机短信二步认证,出现一个严重设计失误,就是个别政府或个人,只要知道你的手机号码,是有可能知道你的脸书户口;政府可以利用手机号码,或反过来查,查到谁在脸书发表一些惹火言论,这就很危险。就算你的号码用香港手机卡,只要你曾经用来收过短讯,中国当局仍然可以用漫游纪录找到你身份。因此,脸书的手机二步认证,对中国听众而言是十分危险,纵使你使用的是香港或其他国家的卡,唯一安全方式是先改用其他二步认证方法,并停用手机短讯二步认证。

问:如果脸书不用手机短讯做二步认证,那有甚么方案可以解决当前的问题?

李建军:暂时而言,在脸书上使用谷歌(Google)的二步认证手机应用程式已经足够,因为谷歌二步认证程式是安全的,以及另一个问题是,在中国的听众,未必在中国能够买到,并非由中国厂商制造的FIDO USB金钥。

当然,如果你因参与谷歌的加强保护计划,使用谷歌指定型号的USB金钥,因为反正你也有用谷歌的计划,就可以一并用在脸书之上。与谷歌的情况相同,USB金钥只适用于Chrome浏览器,但未来应会推广到其他浏览器之上。当然,谷歌推荐的金钥,当中有中国制造的品牌,因此,要自己评估一下你要承受多大的风险,毕竟翻墙到脸书的目的,都是希望知道自由世界的资讯,以及朋友圈中畅所欲言,而不会被中国当局秋后算账,惹上麻类。

如果曾经不止一次收到脸书的提示,有人试图重设你户口密码的纪录,那应该立即停用手机短讯二步认证,并且更改密码,以及使用手机应用程式做二步认证,甚至改用USB或NFC金钥,因为你很明显是当局和黑客的长期目标,可说是高危人士。你若不采取行动,你的户口迟早被攻破。

问:如果在手机用谷歌二步认证程式好些,还是用金钥?

李建军:这要视乎你用的手机,如果手机根本无NFC功能,那你只能在手机上使用二步认证程式,这个是无可奈何的选择,因为USB金钥是无法与手机作出连接,不论是Android手机,还是iOS手机都一样。

但如果你的手机支援NFC,那同时可以用于USB和NFC的金钥是最好,因为当手机坏了的时候,都不用一定要在电脑上剔除原有装置后,才能继续使用脸书。特别手机坏了,你的金钥仍可用于电脑之上。

问:现时USB金钥,是不能够用在Safari浏览器之上,那要等到甚么时候,Safari浏览器才能与Chrome一样,用上USB金钥二步认证?

李建军:现时Safari的开发团队正对相关功能作最后测试,在Safari没有再推出Windows版后,变成一个与Mac作业系统紧密相连的浏览器,当中涉及相当多对Mac作业系统的改动,因此,有可能要等待Mac作业系统去到10.15版才能真的享受相关功能。Mac差不多每年都推出新作业系统,再加上现时甚多人用Chrome,所以还算可以接受。

完整网站