雙重驗證怎麼設定？用驗證器App開啟2FA完整教學

只有密碼的帳號，只要一次外洩，別人就能登入。雙重驗證（2FA）多加了一道檢查：一組不斷變化、只有你的手機能產生的短驗證碼。即使你的密碼出現在外洩資料裡，沒有這組驗證碼，帳號依然打不開。

驗證器的驗證碼如何運作

驗證器App使用TOTP（基於時間的一次性密碼演算法），標準規範在RFC 6238中。開啟2FA時，服務和你的手機會約定一組共用金鑰，通常以QR code的形式提供。之後雙方都把這組金鑰和目前時間結合，算出同一組短驗證碼。大多數服務使用6位數，每30秒換一組新的。

實際使用上有兩點很重要：

• 不需要網路。驗證碼是在手機上計算出來的，所以在飛航模式、出國或飛機上都能用。
• 時間很重要。如果手機的時間跑掉，驗證碼就會對不上。請把日期與時間設為自動。

為什麼不直接用簡訊驗證碼

簡訊驗證碼總比沒有好，但它們經由電信網路傳送，可能被攔截或轉向，例如攻擊者說服電信業者把你的號碼轉到新的SIM卡上。正因如此，NIST的數位身分指南把簡訊驗證列為受限制的驗證方式（SP 800-63B）。驗證器App則把金鑰保存在你的裝置上。

一步步開啟2FA

各服務的選單不同，但流程幾乎都一樣：

1. 打開帳號的安全性設定，找「雙重驗證」、「兩步驟驗證」或「登入驗證」。
2. 選擇驗證器App作為驗證方式。有些服務會優先推簡訊，把它藏在「其他方式」裡。
3. 服務會顯示一個QR code。在Ring中點新增，用相機掃描。如果無法掃描，大多數服務也會顯示一組可以手動輸入的文字金鑰。
4. Ring會立刻開始顯示這個帳號的驗證碼。把目前的驗證碼輸入網站，完成設定確認。
5. 保存備用碼。這是很多人跳過、事後才後悔的步驟。

別把自己鎖在外面

Ring把你的金鑰加密保存在裝置上，其他地方都沒有。這正是它有隱私的原因，但也代表手機遺失或重置時，驗證碼會跟著一起消失。在需要之前：

• 下載或抄下每個服務在設定時提供的備用碼，存放在安全且和手機分開的地方。
• 如果服務允許，加上第二種驗證方式，例如硬體金鑰或第二台裝置。
• 換手機時，先把帳號移到新裝置，再清除舊手機。

如果已經發生了，請看手機遺失、驗證碼也不見時該怎麼辦。

讓它快到你真的願意用

人們再次關掉2FA的主要原因是麻煩。幾個習慣能讓它輕鬆不少：

• 把帳號分到資料夾裡，例如工作、財務和社群，一秒就能找到需要的驗證碼。
• 用一鍵複製，不用重打6位數。
• 把主畫面小工具放在你最常登入的App旁邊。
• 用Face ID鎖住App，即使別人拿著你的手機，驗證碼也不會外露。

從哪裡開始

你不必一次把所有帳號都保護好。先從能重設其他所有帳號的那些開始：你的主要電子郵件、Apple帳號、密碼管理工具和銀行。之後在下次登入社群網站和工作工具時再加上。熱門服務的逐步教學：Instagram和Discord。