什麼是驗證器應用程式

驗證器應用程式是一種安全工具，使用加密算法（如 TOTP 或 HOTP）生成基於時間的驗證碼，以為你的賬戶添加額外的保護層。

密碼洩露經常發生，單靠密碼已經不再安全。因此，主要網站和應用程式現在提供雙重身份驗證（2FA）或多因素身份驗證（MFA）。驗證器應用程式是一種流行的 2FA 工具，能夠生成動態驗證碼來保護你的賬戶及密碼。

驗證器應用程式如何運作？#

驗證器應用程式藉由與你的賬戶所屬伺服器共享唯一的秘密金鑰來運作。當你第一次設置 2FA 時，服務會生成此秘密金鑰並顯示為 QR 碼。掃描此 QR 碼後，你的驗證器應用程式和服務都將擁有相同的秘密——只有它們知道。

使用這個共享的秘密和當前時間，雙方可以通過標準化算法（通常是 TOTP - 基於時間的一次性密碼），獨立生成相同的六位數驗證碼。當你嘗試登錄時，服務會將你從驗證器應用程式中輸入的代碼與它生成的代碼進行比較——如果匹配，你就可以獲得訪問權。

設置過程十分簡單：

1. 服務生成一個唯一的秘密金鑰
2. 你使用驗證器應用程式掃描包含該秘密的 QR 碼
3. 該應用程式安全地將秘密存儲在你的裝置上
4. 從此，雙方可以在需要時生成匹配的驗證碼

驗證器應用程式為何安全？#

驗證器應用程式提供了超強的安全性。根據 Google 的研究，它們能阻止 99.9% 的自動攻擊——比短信驗證效果高出 50%。讓我們探討一下為什麼它們如此安全：

數學安全#

想像一下入侵的挑戰：

• 短信代碼：如同猜一個六位數字（有一百萬種可能）
• 驗證器密鑰：如同猜一個 80 位的數字（可能性比宇宙中的原子還多）

基於時間的保護#

代碼有效性比較：

• 短信代碼通常有效 5-10 分鐘，存在顯著的安全風險
• 驗證器應用程式代碼每 30 秒刷新一次，實際上無法被利用

驗證器應用程式的離線生成優勢#

• 不需要網絡傳輸
• 無需擔心短信攔截
• 不受 SIM 卡克隆攻擊影響

為什麼黑客無法破解驗證器應用程式？#

把它當作一個不斷變化組合的保險庫：

• 每 30 秒變動一次
• 需要 "秘密金鑰" 和 "精確時間"
• 即使一個代碼被竊取，下一個仍然安全

你所知道的（密碼） + 你所擁有的（驗證器應用程式） + 基於時間的數學 = 幾乎無法破解的保護

如何使用驗證器應用程式：逐步指南#

讓我們透過一個實際例子來學習如何使用驗證器應用程式。

我們將使用 Logto 的身份驗證服務來演示該過程。

步驟 1：從受信任的來源下載並設置你的驗證器應用程式#

1. 下載受信任的驗證器應用程式：
   • Google 驗證器
   • Microsoft 驗證器
2. 將應用程式安裝在你的手機上
3. 根據應用程式的指示完成初始設定（如需，創建賬戶）。

步驟 2：為 Logto 演示應用程式啟用驗證器應用程式支持#

1. 登錄或註冊 Logto 雲，並按照入門指南建立你的第一個網絡租戶。

2. 前往 控制台 > 多因素身份驗證，開啟 驗證器應用程式 OTP 和 備用代碼 驗證因素，選擇「用戶在登錄時始終需要使用 MFA」作為二步驗證策略，然後單擊 保存更改。

3. 前往 控制台 > 登錄體驗 > 註冊和登錄 頁面，選擇 用戶名 作為註冊標識符，並從登錄標識符中移除 電子郵件地址，然後單擊 保存更改。

步驟 3：掃描 QR 碼將驗證器應用程式與演示應用程式中的你的賬戶連結#

1. 仍在 Logto 控制台的登錄體驗頁面，點擊 登錄預覽 區域右上角的 "實時預覽" 按鈕。然後你將被重定向至演示應用程式的登錄頁面。

2. 在登錄頁面，點擊 創建賬戶 按鈕，輸入你的用戶名和密碼來創建賬戶，然後你將看到一個顯示 QR 碼的屏幕。

3. 打開你的驗證器應用程式，掃描 QR 碼。然後你將看到一個顯示六位數代碼的屏幕。

4. 輸入六位數代碼以確認綁定，然後你將被重定向至備用代碼頁面。記得將備用代碼保存在安全的地方。

5. 點擊 繼續 按鈕，你已成功登錄至演示應用程式。

步驟 4：嘗試使用驗證器應用程式登錄演示應用程式#

1. 當你成功登錄至演示應用程式後，點擊 退出實時預覽 按鈕以退出演示應用程式並返回至演示應用程式的登錄頁面。

2. 嘗試使用你的用戶名和密碼登錄演示應用程式，你會發現需要輸入六位數代碼來登錄。

3. 打開你的驗證器應用程式，輸入與 logto.app 相關的六位數代碼，你就成功登錄到演示應用程式！

如何安全使用驗證器應用程式？#

驗證器應用程式是安全的，但你需要正確使用它們以獲得最佳保護：

從受信任的來源下載#

• 只有從官方應用商店（Google Play 商店、Apple App Store）獲取你的驗證器應用程式
• 使用 Google、Microsoft 這樣可信賴公司的流行應用程式。
• 注意假冒應用程式——它們可能會竊取你的賬戶

保護好你的備用代碼#

• 將你的備用代碼安全地保存 offline 或在密碼管理器中
• 不要將備用代碼保存在與驗證器應用程式相同的裝置上
• 在多個安全的地方儲存備用代碼是個明智的選擇
• 定期檢查你仍然可以訪問你的備用代碼

設置過程中的小心#

當將賬戶新增到你的驗證器應用程式時：

• 在無人時掃描 QR 碼
• 切勿截取 QR 碼或秘密金鑰的截圖
• 不要透過信息或電子郵件共享秘密金鑰
• 如果你複製了秘密金鑰，之後清空你的剪貼板

其他安全提示#

• 若可行，請在你的驗證器應用程式中使用指紋或面部解鎖
• 定期備份你的驗證器應用程式
• 更新你的手機和驗證器應用程式
• 對於重要的賬戶，你可能想使用單獨的驗證器應用程式

如果我丟失了驗證器應用程式怎麼辦？#

如果你丟失了驗證器應用程式，請不要擔心。設置 2FA 時，服務會提供備用代碼——這些是一式的應急代碼，你應將其安全地保存在離線或密碼管理器中。

流行的驗證器應用程式提供備份功能：

• Google 驗證器：雲備份至 Google 帳戶
• Microsoft 驗證器：雲備份及恢復

如果以上均無效，你可以聯繫客戶支持以獲得幫助。