以機子設備為主的身份驗證法

比特幣線上錢包或在線網站最怕存在線上錢包中的比特幣被盜,安全機置很重要,除了防止密碼被盗用,如果被別人偷了密碼,最好也要能防止非法持有密碼的人進入。

安全機置有很多種,但没有任何一種是萬靈丹,通常要多管齊下,缺點是太嚴格的資安機置難免造成使用者不便。

有一個簡單的方法在一般的電商網站不常見,因為會帶給使用者不便,但是用在保護比特幣線上錢包上,這種方式的軟體建置不難,也有其效果,做法是這樣的。

如果你從一台你從來没有用來登入的電腦或智慧手機造訪有這種「以機子設備為主的驗證法」的網站,即使你輸入對的密碼,它會把用戶檔住。

例:

它會要你回到電郵中去點選一個剛寄給你的特殊連結,如果是駭客,只駭到密碼但没駭進用戶的電郵,只偷到密碼的人還是進不去的。

以上這種方法很簡單,雖會造成換電腦的人使用上稍稍不便,但一點點不方便可以提高安全性是值得鼓勵的。Cryptopay 就有用這種方法:

Coinbase 也有採用此種身份驗證法,當你自新手機或新的桌機登入,會看到:

跟GOOGLE的那個2FA 是一樣的嗎?

目的相同:讓偷到(知道)你密碼的人仍無法順利登入。

做法細節上有一點不同,但都是 two-factor authentication。

Google 的 two-factor authentication system (2FA) 的做法有好幾種,由Google帳戶本人設定開啟 2FA 的雙步驟認證,用所選擇的特定2FA的方式:

一種Google 2FA的方式是比如說在登入時打入密碼之後,手機立即會收到訊息要求如果真要登入,還要在手機上按下"YES",才會真的完成登入。這樣一來,没有在手機上按「YES」的人就不能登入了。

另一種Google 2FA的方式是用Google Authenticator的APP,這種方式是在登入時,還要將屬於你要登入的網站它在Google Authenticator APP上當時顯示的一組六位碼也打進去才能順利登入。

而以機子設備為主的身份驗證法是,當網站偵測到使用者的機子以前没有用來登入過,它就會啟動2FA的雙步驟認證,比如加送一個電郵到使用者的電郵去再確認;而如果機子以前用來登入過,就不會啟動2FA。

感謝回覆講解