2012年10月21日星期日

开通2-step verification并解决它带来的奇难杂症

谷歌对2-step verification的官方翻译是"两步验证"(以下统称),它是谷歌登录安全工程的一部份,用户在登录谷歌时,除了输入正确的邮箱和密码外,还要额外输入手机上的认证码才能顺利登入,大大提高了帐号的安全性。

虽然两步验证使我们更加安全但是用起来却在某种程度上带来了一些不便,以下,我会介绍一下如何开通两步验证,同时也为它所带来的不便提供一点解决方法。

如何开通两步验证?
开通两步验证总共需要4个步骤,在开通过程中需要手机的认证,因此,你要有一部能正常使用的手机放在身边。


进入谷歌帐号后,点击头像隔壁,再进入"帐号设置"->"安全"

进入"修改"页面后,如果你看到的是类似以下页面,说明你已经开通了,不需要再看下去,如果有兴趣的话可直接跳到奇难杂症,看看怎么解决一些由两步验证所带来的一些不便。



如果你进入的是类似以下页面或介绍页面(谷歌可能经常对页面进行修改),那就把手机放在面前,准备好收短信。


第一步:输入手机号码

输入号码前记得选定国家,否则短信无法送达。

第二步:谷歌会发送一个认证码给你,请耐心等待谷歌发来的短信,然后认证手机号码

第三步:认证你的电脑 - 信任这部电脑
完成这步后,以后从这部电脑登陆谷歌就不必需要经过手机认证这一步。

第四步:最后确认
这步完后,两步验证就正式开通。

接下来的一些繁琐设置可暂时放下不管,迟点我们会提及


 现在重新点击"帐号设置"->"安全",你会看到:
 恭喜,你成功了。


奇难杂症
在使用过程中我遇过这种情况;在一次登录中等谷歌的短信等了很久,重发了几十遍,结果还是没发过来,这样很碍事,因此,谷歌除提供了短信和voice call外还提供了手机认证码产生器叫 Google Authenticator(目前只提供个Android,iPhone和BlackBerry三款手机),


它是谷歌的产品,安全易用(无需联网,在飞行模式也能正常使用)。它必须要在开通两步验证后才能使用。以下介绍下初始/激活的方法。

1)进入"帐号设置"->"安全",把两步验证关闭:
 2)然后重新进入"帐号设置"->"安全"进行设置:
 3)进入选择验证码提取方式页面后选定自己的手机,然后点击 "Next"
 4)以安卓为例:进入手机的 Google Authenticator 软件,点击选择键->Setup account,然后点击scan a barcode


对准扫描(假设已安装二维码扫描软件),扫描完毕后,手机就会出现一个验证码,在电脑上输入,然后点击"下一步":

点击"下一步":
点击箭咀所示:
成功!以后你就可以从手机上的认证码生成器中直接拿去认证码而不需要等待那个可能永远不会来的短信了。


另外一个问题是,在国外的一些论坛看到有人反映一旦开通了两步验证后,邮件服务端就无法接收和发送邮件了。这是邮件客户端不能处理两步验证所产生的验证码所至,事实上,不止邮件客户端是如此,所有需要通过谷歌登陆而又不能处理两步验证认证码的软件都会如此,解决这个问题不难,只是繁琐而已。

进入"帐号设置"->"安全"
 进去后就会看见:
 这是一个为不能处理两步验证认证码应用制作临时密码的地方,只要在软件里把原本的谷歌帐号密码更换成在这里所生成的密码就行了。生成密码的步骤是:
1)填写好应用程序的名字(随意) ;
2)点击"生成密码"
3)16位字元密码会弹出来,这个密码只会出现一次,忘记了就要重新生成一次,因此,务必先安置好。密码是没有空格的,在输入时把空格全部去掉方为正确。


总结

两步验证从某个层面上看的确增加了对谷歌用户帐号的保护,但却又带出来了不少琐碎的麻烦事,更糟的是,我觉得,临时密码的出现似乎又在酝酿着另一个安全问题。

2012年10月20日星期六

如何从谷歌市场直接拿取安卓手机软件.apk包及必要的注意事项

众所周知,谷歌市场里的安卓手机软件只能够通过手机下载,用户是无法从电脑上直接获取 .apk 包,基于安全的理由,谷歌没有也不会开发一个利用USB与手机和电脑连接的软件方便软件的下载和安装。有见于此,第三方市场亦就应运而生,从未被谷歌认可的市场里下载回来的问题软件时有听闻,然而,直接从谷歌市场下载的问题软件也不是没有,但总的来说,从谷歌里下载总比未被认可的相对安全,起码,谷歌目标够大,追究起来容易得多。

虽然有了第三方市场,基于各种理由,部份用户仍然希望采用把 .apk 包从play先下载到电脑然后再进行安装,其中一个原因就是流量不够,本人就是其中一位,我不用 wifi, 每月只有不到1G的流量,若下载一个几百M的游戏,完后已所剩无几。在推友的推文中得知一个叫 apk downloader 的工具,网上搜了下发现一些教程,虽然教程完善,但比较单一,只注重达到目的,没有对可能产生的后果加以探讨,以下我将会谈谈怎么使用这个强劲的工具和一些安全防范措施。

什么是 Apk Downloader?
Apk Downloader是一个Chrome的扩展(只限于Chrome),安装后就可以从谷歌市场把 .apk 包直接下载到电脑。

怎么安装 Apk Downloader? 
Apk downloader 并不是谷歌认可的扩展,但可到这里(Chrome v.17)下载,Chrome版本在>=18的可到这里下载。

下载后,按照下图进入Chrome的扩展管理页面
然后把下载回来的扩展拖进去就安装成功了。


怎么设置 Apk Downloader?
点击扩展下面的 "Option" 就会打开设置页面

这个所谓的"Option"其实并不是option,每一项都必须要正确填写。请细阅上图。
如果实在没办法找到 gsf id key, 可到play市场下载一个工具帮助寻找。

填写好后点击 "Login" 就会弹出

选择好国家和运营商,基本上 Apk Doownloader 就已经设置好了。但尚未能使用,你必须要退出浏览器,然后建立一个Chrome的快捷方式(如果已经有了,建议建立一个新的,旧的保留),然后把它的属性掉出来,在“目标”处加上一句话  --ignore-certificate-errors(有些教程还有另外一句:--allow-running-insecure-content)

有些没有引号就变成 chrome.exe --ignore-certificate-errors

好了,现在基本上可以用了。

Apk Downloader 安全吗?
我们回想一下Apk Downloader的设置部分,我们把邮箱和密码赤裸裸的给了一个未经认证的扩展知道,危不危险?虽然不能说日后这个帐号一定会被盗,但此终存在着风险。 

有见于此,我们必须要对这个填上去的密码加以保护;谷歌提供了一个很好选择:2-step verification,它是一个谷歌登录认证方案,任何人在未认证的机器上登录你的谷歌,你都会在手机收到认证码,只要输入正确的认证码,方可登录。

有关2-step verification的建立,请参阅这里(教程里的部分内容和这里的重复)。

一旦2-step verification建立成后,在你的帐号里点击 setting->security,就会进入以下页面
点击"Edit"进入另一页面,拉倒底部就会看到这个:
这个有什么用呢?原来,目前几乎所有需要通过谷歌登录的软件都不能处理由2-step verification产生的认证码,因此,谷歌提供了临时密码给这些应用,这里就是为这些应用制作临时密码的地方。留意一下最下面用红圈圈住的就是我的outlook和apk downloader的临时密码,只要把 "Name"填上,然后点击 "Generate password",就会出现16位字元的密码,把它复制,粘贴(去空格)最后点击"done"就完成了。

好,现在按照这种方法,返回Apk Downloader的"option" 设置页面,点击"logout",重新输入一次,除了密码用临时密码外其他不用变。

现在你安全了。

如何使用 Apk Downloader?
一切就绪后,我们打开play,随便选个应用并点击进入,你就会看到apk downloader的图标出现在地址栏上:

点击图标并开始下载:


好吧,Enjoy!!