密碼之後，還有一道門

密碼外流的管道比多數人以為的要多。一處外洩，牽連的是你在別處重複使用的那組密碼，一組被偷走的憑證可能同時打開好幾個帳號。偽裝成正規網站的登入頁面，會把你打進去的字一個一個收走再轉出去。潛伏在裝置裡的惡意程式，則在你輸入的當下就把憑證讀走。面對這些，單靠一道密碼終究單薄，而且已經單薄了很多年。

雙因素驗證換了一條路：多加一把隨身攜帶的鎖。登入時除了密碼，還要輸入一組只存在於你手機裡、每三十秒換一次的動態碼。密碼可以從另一個國家被複製走，這第二道因素卻必須把手機握在手裡才拿得到。就算密碼已經落到別人手上，他仍然站在一道需要號碼的門外，而那個號碼他沒有。

把這個想法變成日常的，是 Google Authenticator。它是這類工具的開山鼻祖，也是事實上的標準，而且極簡到近乎素樸：只有一列滾動的六位數字，沒有任何東西跟你搶注意力。這份簡單背後，是覆蓋網站最多、相容性最好這件事實，也是為什麼那多網站請你開啟驗證時，第一個點名的就是它。

三分鐘完成的帳號加固

設定流程對新手毫無壓力。打開支援動態口令的網站安全設定，啟用雙因素驗證，用這個應用掃一下二維條碼，驗證碼立刻出現，輸入一次就完成綁定。此後每次登入都要密碼加上當下的動態碼，撿到密碼的人依舊進不了門。整段過程大概就是燒一壺水、泡一杯茶的時間。

早年它最為人詬病的弱點，是沒有人宣傳的那一項：換手機等於全部金鑰一起丟失，連帶所有綁定過的帳號一起失去存取權。這個問題已經補上。金鑰現在可以透過帳號雲端同步備份，換機登入之後一鍵就能還原。正是這個補丁，讓它從一件脆弱的工具，變成可以安心跨裝置帶著走的東西。

這件事比聽起來重要的原因在於：第二道因素是完全不同種類的祕密。密碼是你知道的東西，知道就能分享、就能猜、就能被騙著交出去、就能從肩膀後方看走。動態碼是你持有的東西，在一台跟著你走的裝置裡生成，而且在你還來不及使用一份複本之前就失效了。兩種失誤不會同時發生，這正是重點：攻擊者必須一次解決兩個問題，而第二個問題沒辦法像第一個那樣規模化。

Google Authenticator 的哲學是「少即是安全」：沒有社群、沒有推播、沒有多餘的一切。只在你需要登入的那三十秒裡，安靜地交出六個數字，然後退到一旁。

使用建議很直接。電子郵件、雲端硬碟、支付類帳號優先開啟，因為這幾類帳號能牽動其餘全部。綁定後的備份金鑰截圖或恢復碼要妥善保存，手機丟失時它是最後一道保命索。雲端同步雖然方便，若你追求最嚴格的防護姿態，仍然可以選擇不同步、離線使用。

它完全免費，沒有任何干擾，雙平台都覆蓋。作為第一款驗證器，沒有比它更容易推薦的選擇：花三分鐘設定，最重要的那些帳號就多了一道別人打不開的鎖。

這些都不會讓這個應用變得好看，而那是刻意的。沒有動態牆可以滑，沒有紅點要清，沒有哪個功能在招呼你去探索。它就待在資料夾裡，登入頁面要六個數字的時候醒過來，然後又安靜下去。守著東西的工具，通常是靠無聊換來信任的，而它在最好的意義上，已經無聊了很久。