USB-Dongle Authentication 查詢服務是否支援雙重驗證或 USB 安全金鑰

這幾年大多數常見網路服務幾乎都已內建兩步驟驗證（雙重驗證，2FA），簡單來說，在原有只有密碼的驗證防護下加入另一道安全措施，例如在登入時需要輸入一次性密碼（One-time password，OTP），現在多半以手機應用程式產生，像是 Google Authenticator 或是可備份的 Authy 等等，或以簡訊方式接收驗證碼，這麼做即使在密碼被破解、遭竊時也不會被其他人登入取得帳號權限。

如果你需要更高強度的驗證機制，可使用 FIDO 聯盟的 U2F 裝置（Universal 2nd Factor）做為驗證方式，例如之前介紹過的「以 YubiKey 實體安全金鑰設定 Google 兩步驟驗證教學」就是使用 USB 安全金鑰來進行雙重驗證，有些還會支援 NFC 技術，讓智慧型手機以感應方式進行實體金鑰驗證，當然我覺得沒有 OTP 方式那麼方便，而且也要避免實體金鑰遺失。

本文要介紹「USB-Dongle Authentication」是很實用的網站，列出一些常見網路服務或網站是否支援一次性密碼（OTP）或是 FIDO2、U2F 的 Web Authentication（WebAuthn），依照服務類型分類，如果要尋找特定服務可以先從網站確認是否支援 OTP 或實體金鑰驗證方式，當然資訊可能不是立即更新，實際支援情形還是要以原服務公告為主。

原則上大多數的主要服務都已經支援 OTP，也就是以應用程式產生驗證碼或從手機接收驗證簡訊的驗證方式，至於實體金鑰在部分服務上已經支援，尤其是需要更高安全性的服務（例如密碼管理器）。網站也允許使用者提交自己喜歡的服務或進行資料更新，只要透過 GitHub 發送 pull request 即可。

USB-Dongle Authentication
https://www.dongleauth.info/

使用教學

STEP 1

開啟 USB-Dongle Authentication 網站會看到各種網路服務分類，像是備份同步工具、網路銀行、雲端運算、開發工具、網域名稱註冊商、Email、政府機構、健康、網站主機、身份管理等等，也能直接輸入服務名稱進行搜尋。

STEP 2

點選服務分類會看到所有收錄的服務名稱、圖示，後方會有一次性密碼（OTP）或實體金鑰的支援情形，有些也會提供說明頁面鏈結，可以點選後取得更多說明或設定教學。

還不支援的服務會顯示 Facebook 或 Twitter 按鈕，使用者可以告訴這家公司請他們盡快支援兩步驟驗證或實體金鑰驗證方式（USB-Dongle Authentication 是由 Nitrokey 贊助，宣傳推廣實體驗證時亦可拉抬自家驗證產品的銷售量）。

STEP 3

有些服務會標記紅色驚嘆號圖示，將滑鼠游標移動到上方會顯示原因，舉例來說，Bitwarden 密碼管理器只有提供給 Premium 付費帳戶設定實體驗證金鑰權限（免費方案僅限於一般應用程式驗證功能）。

STEP 4

如果你想知道市面上常見的 Dongle（USB 驗證金鑰）有那些選擇、是否支援 OTP 功能，也可從 Dongles 頁面找到，不過台灣不一定買得到就是了，有興趣的朋友就自行研究看看。