由於保護資料的需求興起，密碼已成為驗證使用者身分的主要方式。越來越多的使用者需要透過大量行動裝置進行存取，而且儲存在伺服器和雲端上的資訊量也逐漸增加，使用者在移動時處理業務的機會也越來越多。
機會越多帶來的漏洞也越大，因為更多駭客會嘗試鑽研相關資訊。由於使用者行色匆匆，所以有更多誘因讓使用者使用簡單、好記的密碼存取其企業網路或雲端儲存。
讓我們來看看開發並建置強大的雙重驗證系統，對於協助保護貴公司避免產生安全漏洞有多重要。
什麼是雙重驗證？
雙重驗證也稱為 2FA，此方式可在基本使用者名稱與密碼安全模式之外，提供多一層的驗證與確認。如果沒有雙重驗證，只要輸入您的使用者名稱與密碼即可完成。密碼是您驗證身分的單一條件。然而，若是多個帳戶使用相同的使用者名稱與密碼，則會提高身分遭竊的風險。
雙重驗證是保護敏感資料建議採用的最佳實務準則，而且有時也是處理某些資訊類型時法律規定的驗證方式。
為何需要雙重驗證？
取得未經授權之資料存取權的關鍵是竊取使用者憑證 (例如密碼)，只要使用這些密碼，就可以存取帳戶；然後便可入侵伺服器或資料庫，或部署惡意程式以竊取敏感資訊。只要人們對個別服務備妥唯一的增強式密碼，雙重驗證的需求則會降低。
確定並記住多個帳戶的唯一強式密碼絕非容易的事，因此許多使用者為圖方便而放棄了安全。Verizon 2014 資料外洩調查報告發現，有三分之二的資料外洩是由於脆弱的密碼或密碼遭竊所造成的。
您可以使用 2FA，防止單一條件驗證失敗授予駭客存取權限的機會。因此，如果密碼是第一個條件，若密碼的強度不足時，第二個條件便可保護您。
雙重驗證如何運作？
使用雙重驗證時，會在基本登入程序中增加一個額外的條件，便可針對準駭客提供雙層防護以防破解。總而言之，此措施大幅降低了攻擊得手的機會。減少對密碼的依賴性可提高使用者體驗，並最終減少了整個網路的漏洞。
不同的驗證方式
實現「雙重」驗證有許多方法，但大多數需要透過其他獨立的條件來提升使用者名稱/密碼強度。
典型的驗證方式有三種：
- 您所知道之事 (密碼、PIN 碼、圖案、通行碼，或任何其他根據只有使用者所知資訊而進行的驗證)
- 您所擁有之物 (智慧卡、Token、金鑰、手機、虛擬智慧卡或其他電子裝置)，亦即使用者所攜帶的專用實體裝置。
- 您身體的一部份 (指紋、聲紋或視網膜掃描)
以下是常用雙重驗證的一些例子：
- 使用金融卡 (您所擁有之物) 與 PIN 碼 (您所知道之事)，在 ATM 提領您銀行帳戶中的款項。
- 利用公司 IT 部門所發放的硬體 Token (您所擁有之物)，為您產生特定號碼以結合您的使用者名稱與密碼 (您所知道之事)，登入企業網路
- 利用預先取得授權的智慧型手機或平板電腦上的應用程式 (您所擁有之物)，結合使用者名稱與密碼 (您所知道之事) 以存取私人銀行
- 指定電子郵件帳戶 (您擁有的存取權)，在您輸入使用者名稱與密碼 (您所知道之事) 時接收確認通知，以存取各種安全網站
- 在指定的智慧型手機 (您所擁有之物) 簡訊中收到數字代碼，並搭配您的使用者名稱與密碼 (您所知道之事) 使用，以登入安全網站
注意：SSH 金鑰或 SSL 憑證登入可視為雙重驗證，您出示金鑰 (您所擁有之物) 並使用密碼來解除鎖定 (您所知道之事)。然而，伺服器不知道您是否使用密碼，因此也無法瞭解是否採用雙重驗證或單一驗證條件。
雙重步驟與雙重驗證
雙重步驟驗證結合使用者登入 (包括密碼) 與實際使用智慧型手機或有線電話，以驗證獲得授權存取帳戶。使用者可以藉由輸入 ID 與密碼開始登入安全服務，但必須使用與該帳戶關聯的電話號碼，透過 SMS 簡訊或語音來電，收到一次性代碼 (OTC) 或動態密碼 (OTP)。輸入此額外的一次性憑證，構成驗證的第二個步驟或驗證的第二個條件，利用只有當事人知道的正確帳戶密碼，與實際擁有的必要物件，即可獲得該帳戶的存取權限。
許多網站提供此方法，在使用者透過新裝置存取帳戶時，進行驗證。例如，如果使用者購買新的桌上型電腦，或是從新的行動裝置或從不同於先前使用的其他裝置連線時，可要求使用者完成其他驗證步驟。
這種進階的登入安全方式，通常稱為「雙重步驟驗證」。 許多資料安全專家、媒體報導，以及網站也稱之為「雙重驗證」，而這兩個詞彙已開始交替使用。其他業界人士，包括密碼編譯專家和進階驗證解決方案的開發人員，將這兩個詞彙賦予不同定義，並在它們之間做出重要區別。這些區別舉出安全基礎架構和方法的根本差異，對於瞭解資料安全的個別層面和各種驗證方法的能力，以保護使用者和企業避免遭受駭客入侵，相當重要。
如何確保雙重驗證安全無虞？
雙重驗證的安全性完全取決於執行方式，在案例中的部署方式，以及嘗試擊敗所選取雙重驗證方法之攻擊者的可用資源。
雙重驗證如何運作？
大部分用於實現雙重驗證的方法涉及透過其他獨立因素，讓使用者名稱/密碼更加完善。下面是一些常見的雙重驗證方法及其挑戰。為了實現更精密的防護，可結合兩個以上的條件來達到 多重驗證 (MFA)。
離線動態密碼 (OTP) 產生器
離線 OTP 產生器包含傳統的 OTP Token (用於產生多位數代碼的硬體或軟體)，證實使用者擁有該 Token 產生器。Token 透過相同的對稱式密碼，催化產生器和伺服器，並根據目前時間或計數器，使用數學演算法來產生動態密碼。這些解決方案最好是在分散的硬體上建置，但它們也適合可在行動裝置上執行的軟體中建置。此方法不需要連線至網路的產生器裝置即可驗證。
系統的安全取決於關鍵元素
- 種子安全性：如果用於驗證密碼的 OTP 產生器或伺服器已遭受攻擊者入侵以獲取該種子的存取權限，則安全性已毀損。如果攻擊者擁有驗證的第一個條件 (使用者名稱/密碼)，攻擊者即可隨時產生正確的 OTP，以冒充一般使用者。
- 用於提交 OTP 的通道安全性：如上述，OTP 產生器本身處於離線狀態；OTP 產生器用於建立動態密碼，可讓使用者利用連線到網路的裝置來提交動態密碼。很遺憾的，如果用於傳送 OTP 的裝置已遭到惡意程式入侵，或當使用者受到社交互動誘使，因而將此資訊提交至詐欺網站，則攻擊者可代表使用者進行單一條件驗證。
- Token 硬體的安全性：確保硬體 Token 已傳送給正確的一般使用者而未遭到攔截，這一點十分重要！
除了以上列出的安全挑戰以外，硬體 OTP Token 也會受到一些其他缺點的危害：
- 使用性：一般使用者必須將 OTP 從自己的 Token 裝置複製到需要驗證的裝置。將六位數正確轉譯為八位數對使用者而言困難重重。使用者可能會因嘗試失敗而感到沮喪，並且可能抗拒使用 2FA 的相關規定。當 OTP 已使用行動裝置上的軟體應用程式部署時，隨即增加了使用性問題，因為使用者必須在產生動態密碼的裝置與應用程式，以及要輸入 OTP 的原始裝置與應用程式之間切換。
- 部署能力：就硬體 OTP Token 而言，購買、設定以及發送 Token 給一般使用者的成本可能十分昂貴。這表示許多大型企業只針對部分使用者部署 2FA。採用行動裝置做為 OTP 產生器可降低一些成本，卻提高了行動裝置上惡意程式可能竊取植入 OTP 產生演算法之對稱式密碼的可能性。
- 維護能力：OTP Token 有其他隱藏性成本。硬體 Token 需要電池，而且使用者可能會遺失、損壞或忘記帶 Token，而更換或部署臨時替代品的成本可能十分昂貴。此外，某些硬體 Token 內建了使用壽命；基本上，Token 是一種容易損壞的物品，將在特定時間後失效。
儘管 Token 提供硬體型安全性，但只有在信任您的廠商不會遭受入侵、確信您的使用者不會擅自輸入自己的 OTP、您的 OTP 密碼在 OTP 伺服器上受到妥善的保護，並且不介意相關成本費用，才能達成這項目標。行動裝置上的 OTP 產生器應用程式會使用硬體 Token 來解決一些問題，但可能會提高手機上對稱式密碼遭到攻擊者竊取的可能性 (無論是否實際存取手機皆然) 。
SMS/語音動態密碼的傳送
除了使用專門的硬體 Token、甚至是應用程式之外，某些廠商會改用手機簡訊 (傳送至使用者已知的電話號碼)，將伺服器產生的 OTP 傳送給使用者，或撥打使用文字轉語音的電話，以大聲讀出 OTP。
使用此解決方案的系統安全，取決於略有不同的各項元素：
- 用於傳送 OTP 的通道安全性：擁有用於接收 OTP 的電話號碼，對於此解決方案而言，是重要的安全要素。如果一般使用者的手機遭竊，而且竊賊知道其使用者名稱與密碼，即可冒充一般使用者。攻擊者也可能藉由複製手機的 SIM 卡，收到一般使用者的簡訊或接電話。或者，攻擊者只需透過社交互動，即可誘使電信公司或服務供應商重新導向簡訊或電話流量至新號碼 (「我的手機遺失了，您是否可以將我的電話和訊息轉送至 xxx-xxxx？」)。最後，與更精密的 Hesperbot 攻擊網路銀行應用程式一樣，使用者可能被誘使安裝軟體以攔截並轉送 OTP 給攻擊者。
- 用於提交 OTP 的通道安全性：如果使用者安全收到 OTP，但將其輸入遭受入侵的應用程式或 Web 瀏覽器，則攻擊者可能會進行即時攻擊，以便與服務供應商進行有效接洽。
雖然使用簡訊和語音傳送 OTP 解決方案可避免部署及維護傳統 OTP 產生器的問題，但是仍存在許多相同的使用性的問題。同時也存在以下缺點：
- 成本變異：在某些情況下，2FA 的成本將交由傳送的每則簡訊或語音來電的預定成本來控制。預測交易量可能是一項挑戰，而且傳送的成本也可能有所不同。對 IT 部門而言，編列預算便成為一大難題。
- 可靠度：使用者必須擁有自己的手機，並且可接收使用簡訊和語音傳送的 OTP。在特定情況下，這種狀況特別容易發生問題。例如，跨國漫遊的使用者可能無法及時收到簡訊，或可能會產生額外的傳送費用。在某些情況下，作業環境可能會禁止或干擾手機使用；尤其是涵蓋電磁屏蔽區域的醫療環境特別會加以限制。
在大多數情況下，簡訊易於部署且價格相對便宜，使其在個人銀行業務與消費性網際網路應用程式中備受青睞。也就是說，不但使用不便 (尤其是僅限行動裝置使用的應用程式)，而且提供的安全性可能也不如預期中的高。
推播通知型的驗證
推播通知解決方案使用專用的行動裝置應用程式，以接收核准嘗試驗證的請求。
推播通知型驗證的安全性取決於解決方案的建置方式：
- 加密內容的安全性：行動裝置應用程式可使用公開金鑰加密，以便允許手機針對由推播通知傳送的查詢產生加密的回應；或者，可使用對稱式密碼 (在某些情況下，透過基本上可做為解決 OTP 使用性問題之方法的應用程式，推播通知會成為掌握慣用 OTP 的一個層級)。這些解決方案的安全性將取決於提供給裝置的任何對稱式金鑰、私密金鑰，或階段作業 Token 的安全性。
- 傳送推播通知的通道使用者安全性：這將取決於所使用的特定推播通知服務。
推播通知型系統可因應傳統 OTP 產生器的部署與維護問題，以及簡訊和語音傳送 OTP 解決方案的成本問題。這些系統有一項優點，就是用於核准授權要求的裝置與通道，與原始用於提出驗證要求的通道是各自獨立的。
然而，使用此解決方案仍有以下問題：
- 可靠度：如同簡訊與語音傳送的 OTP 一樣，推播通知型解決方案的效力取決於資料連線的可靠度。不過，由於這種方式通常不是依驗證交易收費，使得這些解決方案得以更經濟實惠。
- 裝置安全性：有時候，只需要擁有一般使用者的裝置，即可入侵其帳戶；有些解決方案甚至不需要使用者名稱與密碼來觸發驗證，因此可能也不會求使用者驗證其手機以核准驗證要求。
重點摘要
隨著我們的線上業務和遠端存取需求的成長，以及攻擊者的動機與方法的不斷演進，保護資料的需求只會不斷增加。
儘管我們教育並訓練使用者要謹慎小心，同時開發屏蔽身分資訊的手段以防止駭客覬覦，速度與便利性的需求往往凌駕於對漏洞的認知。
使用雙重驗證提供保護層，可協助確認您的敏感資訊只能由合法獲得授權交流的對象存取。
賽門鐵克如何協助進行雙重驗證？
賽門鐵克強大的 使用者驗證解決方案 ，提供便利、安全、雲端型的雙重使用者驗證與公開金鑰基礎架構 (PKI) 服務，以保護消費者、業務合作夥伴和員工之間在網路上的身分與互動。
賽門鐵克驗證與身分防護服務 (VIP) 可在使用者透過智慧型手機或平板電腦驗證登入時，提供極致的便利性。簡單、聰明、安全。