兩步驟驗證先開哪個？從信箱開始

1. 第一個要開的是信箱，理由只有一個

兩步驟驗證的意思是登入時除了密碼之外還要再過一關，可能是手機收到的一組數字，也可能是插在電腦上的一把小鑰匙。密碼是你知道的東西，第二道驗證是你手上的東西，兩個同時被拿走的機率低得多。

第一個要開的帳號是公司信箱，或你拿來註冊各種服務的那個信箱。理由不是信件內容有多機密，是它等於所有其他帳號的備用鑰匙。想一下你忘記某個網站密碼時會做什麼：點「忘記密碼」，然後去收信。所有服務的重設流程最後都會回到那個信箱。

所以拿到你信箱的人不需要知道你其他任何一組密碼，他可以一個一個重設。這也是為什麼攻擊者對信箱特別有興趣。進去之後常見的第一個動作不是翻信，是建立一條轉寄規則，把所有通知悄悄轉走一份。你照常收信，表面上什麼都不會發現。

開的位置都在帳戶的安全性設定底下。以 Google 帳戶為例，開啟兩步驟驗證是一個獨立的選項，設定完同一頁就看得到目前綁了哪些方式。微軟、Apple 與多數雲端服務的位置差不多。

2. 接下來的順序怎麼排

信箱開完之後，排序的判斷標準只有兩個：這個帳號掉了會不會讓別的帳號跟著掉，以及它能不能直接動到錢或客戶資料。照這兩個標準排下來，多數公司的清單長得像下面這樣。

這張表不必一次做完。實務上把前三項開完，就已經處理掉大部分會讓公司真正停擺的情況。剩下的排在每個月固定的時段，一次兩三個，半年內就會清完。

3. 簡訊、驗證應用程式、實體金鑰，差在哪

開的時候會遇到一個選擇：驗證碼要用簡訊收、用驗證應用程式產生、還是插一把實體金鑰。三種都算兩步驟驗證，安全程度和麻煩程度都不一樣。

簡訊最容易上手，不用裝任何東西，不熟電腦的同事也會用。它的弱點是門號本身可以被拿走。對方用偽造的文件去補辦 SIM 卡，或說服客服把號碼轉到他的卡上，你的驗證簡訊就會寄到他手上。NIST 的身分驗證指引因此把透過電話網路傳送驗證碼列為受限制的方式。

驗證應用程式是手機上一個每三十秒換一次數字的程式。它不經過電信網路，補辦 SIM 卡那一招對它無效，而且沒有網路也能產生驗證碼。對多數中小企業來說，停在這一層就已經夠好。

實體金鑰是一把插在電腦上或靠近手機感應的小東西。它比另外兩種多擋一件事：假的登入頁面。金鑰會檢查你人在哪個網址上，網址不對就不動作，所以沒辦法被輸入到釣魚網站裡。代價是要花錢，而且要買兩把，一把備用。

4. 備援碼要現在就存好

這是整篇最實際的一段。備援碼是服務在你開啟兩步驟驗證時給你的一組號碼，每個只能用一次，用途是手機不在身邊時還登得進去。多數人設定到這一步按了「稍後再說」，然後就沒有然後了，而需要它的那天通常也是你最沒空的一天。

以 Google 帳戶為例，備用碼一次給十個，每個只能用一次，重新產生一組新的會讓舊的全部失效。其他服務的規則大同小異。很多人以為重新產生是再拿十個，實際上是把之前印出來的那張紙作廢。

建議至少存兩份，放在不同地方。檢驗方式很簡單：想像手機現在掉進水裡回不來了，這兩份你還拿得到嗎。

5. 手機掉了、備援碼也找不到，怎麼辦

這是最常發生、也最少被寫出來的情況。先講結論：不是完全沒救，但過程會拖很久，而且不保證成功。所以上一節那件事才值得現在就做。

多數服務都有帳號救援流程，做法是要你證明自己確實是帳號的主人。它會問帳號建立的大概時間、常用的裝置，或是要求你從曾經登入過的裝置和地點操作。過程通常要好幾天，有些服務還會強制一段等待期。

有幾件事會讓成功率明顯下降：從沒登入過的新裝置和陌生的網路操作、帳號裡沒有留任何備援聯絡方式、慌張之下反覆嘗試而觸發鎖定。如果手邊還有一台曾經登入過而且還沒登出的裝置，先不要動它，救援流程從那台機器開始成功率會高很多。

6. 在公司推行，順序和講法都要調

技術上開兩步驟驗證只要幾分鐘，難的是讓十幾個人都真的去開。有效的做法是不要一次公告全部，而是照第二節那張表由上往下，一個月處理一層。同事看得到終點，配合度會高很多。

講法也有差。「這是新規定」的效果通常不好，比較有機會的說法是它保護的是你自己，被冒名寄信出去的時候第一個被懷疑的會是你。更有效的是先示範一次：在會議上把重設密碼的流程走一遍，讓大家看到拿到信箱就能重設別的帳號。

最後是留下紀錄。哪個帳號開了、用的是哪一種方式、備援碼由誰保管、綁在誰的手機上。這份紀錄平常沒有用，它的價值在人事異動的那一天。