登入時手機怎麼證明是你？通行密鑰和簡訊哪裡不同

你登入遊戲或學校帳號時，畫面可能叫你抄下簡訊裡的數字。另一種畫面只要你解鎖手機，卻沒有一串數字能被抄走。

那個只用一次的數字，叫簡訊一次性密碼，英文常寫成 SMS OTP。新的做法叫通行密鑰，英文是 Passkey。它讓裝置用數位鑰匙回答網站，不必交出能轉貼的數字。

兩種方法都想證明登入的人拿著正確的東西。但是，它們交給網站核對的內容不同。

簡訊送來的數字，假網站也能讀到

簡訊驗證先由網站產生一組短數字，再經電話網路送到你的手機。你把它輸入登入頁面，網站就知道你收得到這支門號的簡訊。

但是，假網站能照著真網站做出相似的登入畫面。如果你把數字填進去，對方可能趁它還有效時轉交給真網站。這種用假畫面騙資料的方法，叫「釣魚」。

美國國家標準與技術研究院負責制定科技標準，英文簡稱 NIST。NIST把電話網路驗證列為「受限」，並提醒換裝置與換SIM卡等風險。「受限」代表還能使用，但服務必須準備其他驗證選擇。

換卡指門號改到另一張 SIM 卡。SIM卡是讓手機連上電信網路、認出門號的小卡或晶片。

通行密鑰把答案留在裝置裡

建立通行密鑰時，手機或電腦會做出一對數位鑰匙。公開金鑰交給網站，像一把只能核對答案的鎖。私密金鑰由你的裝置保管，網站看不到它。

登入時，網站每次都出一個新問題。你解鎖裝置後，它用私密金鑰做出「數位簽章」。這是只有那把鑰匙能產生的記號，網站再用公開金鑰核對。

科技公司Apple說，網站只保存公開金鑰。它也把通行密鑰列為能抵抗釣魚的做法。私密金鑰由裝置保管，網站不會知道它。

假網站少了一樣可以拿走的東西

簡訊驗證的數字要由你讀出，再填進網頁。假網站只要騙到這串數字，就能趕在它失效前使用。

通行密鑰不會顯示一串登入答案。它和註冊時的網站連在一起，假網站不能拿它回答真網站。

電話門號就算被移到另一張SIM卡，也拿不到裝置裡的私密金鑰。但是，通行密鑰只保護使用它的登入入口。

刷臉不是把臉交給網站

看到指紋或臉部解鎖畫面，有人會以為網站拿到了這些資料。實際上，解鎖通常由手機或電腦自己的系統處理。

科技公司Google說，指紋與臉部資料會留在裝置。它也提醒，只在自己擁有並使用的裝置建立通行密鑰。

能解鎖裝置的人，也可能進入裡面的帳號。所以公用平板、圖書館電腦和別人的手機都不適合建立自己的通行密鑰。

換手機時，先找鑰匙存在哪裡

家裡要換手機時，先找通行密鑰存在哪裡。密碼管理工具是替你保存登入資料的軟體。它也可能把通行密鑰帶到使用同一帳號的其他裝置。

Microsoft是一家軟體公司。它列出的存放處，包括同步工具、手機、平板和Windows電腦。Windows是一套電腦系統。

可用的選項會看服務、電腦系統與瀏覽器。

帳號復原指忘記密碼或裝置遺失後，重新取回帳號。每家服務的做法不同，所以要看該服務的官方說明。

換手機前，請大人一起確認同步是否開啟。也要查看帳號還有哪些復原方法，並在舊手機能登入時先確認。

這不代表簡訊明天就會消失

NIST的文件主要規範美國政府的網路身分驗證服務。它不是全球停用簡訊的命令，也沒有替每個網站訂出同一天。

有些網站還沒支援通行密鑰。也有些網站建立通行密鑰後，仍保留密碼、簡訊或帳號復原入口。

如果較弱的備用入口被騙走，帳號仍可能出問題。通行密鑰能減少一種風險，不能保證帳號永遠安全。

遇到陌生登入要求，先停一下

手機突然跳出你沒發起的登入要求時，不要按下確認。先關掉畫面，再請大人一起查看是哪個帳號。

手機遺失時，也要先告訴大人。請大人查看帳號的裝置清單，再照服務的官方說明處理。