零基資安訓練營（二十七）：人與電腦之互動，應成系統的核心組件
文：薯伯伯
有一句說話，在資訊保安界別裡面算是老生常談，那句說話是：「保安系統裡最大的漏洞是用家本身。」這句話的意思，是說即使保安如何森嚴，只要有人類存在，就總會犯錯誤。
其實想深一層，這句話可以是對，也可以是錯，更可能反映了系統設計者與使用者之間缺少了應有的互動。其中較近期的例子，是在 2020 年美國花旗銀行的職員誤把化妝品公司原定向債權人支付的 800 萬美元貸款利息，錯誤輸入為還款 9 億美元，導致嚴重虧損（詳情請看 https://hk.appledaily.com/international/20210217/SYSVBALFJZB2JP5M3FHHRHAKNU/）。
聽起來好像是職員的問題，應驗了「保安系統裡最大的漏洞是用家本身」，但在設計系統時，如果程式員、管理層與用家多作協調，就可能預測到用戶有機會錯誤把還款金額與利息金額混淆，在設計程式之時，已經能自動避免類似錯誤。如果把一切的錯誤都怪罪於使用者，雖然也是事實，但卻忽略了人類與電腦之間的互動（HCI，Human Computer Interaction）。
我警惕自己在撰文推廣資訊保安時，也應避免踩入類似的誤區。有讀者跟我說，太多保安措施，反而無從入手，又或會有「防賊疲勞」。原則上保安的措施應該要方便易用，成為讀者日常生活的一部份，級別越高越好，但如果用家根本無法適應，是否可以按使用者個人的適應能力，再作相應調整？
我的資訊保安文章，雖然想儘量做到「零基礎」，但有時也會把一些基礎知識當作「人所皆知」的常識，部份讀者未必能跟隨。反而想提及兩個小例子，算是示範了因應不同人的情況，而給出更符合當事人使用習慣的保安方式。
一，長者的手機密碼
話說有次遇到一位長者，手機完全不設開機密碼，說是因為擔心記不住，用 Touch ID 又不方便（指模不清），手機又沒有 Face ID。我之前寫過一篇文章，提及密碼要有 11 個位或以上才算較為安全，但現在面對的，是一位連開機密碼都嫌多的長者。
長者說自己的手機「沒有任何秘密」，但我問長者，如果有壞人檢到手機，打開他的 WhatsApp，發訊息給他朋友騙財匯款買點數卡之類，他的朋友會否上當。長者猶豫了，最後決定使用密碼。
但這組密碼，只有四個位，而且是舊居電話的最後四位數字。這個保安級別當然不足，但以他的情況，最大的風險只是別人檢到手機，而不是面對以色列貴價軟件的入侵，那麼這個措施，總比完全不設防好。如此的保安方法不佳，但也算是與用戶互動及商量之後，採取一個較為折衷的方法。
二，電郵的二步認證
有一位朋友，本身對電腦不熟悉，電子郵箱的密碼寫在紙版的筆記本上，密碼簡單到我過目不忘。我一看到他的情況，第一時間就想叫他更改所有密碼，以後使用密碼管理器去記錄。
但問題是，他目前無法適應，有可能連最簡單的登入都做不了。如果一味只顧提升保安級別，卻連登入都做不到，那是矯枉過正。
所以最後我給他的建議，是先啟用二步認證，但他的手機不適合使用 Authenticator，且多年以來沒有固定的手機號碼，連 SMS 認證都做不到。最後我給他選定的方案，是使用固網電話，每次登入帳號，Google 均會自動打電話去指定的固網電話，以廣東話或普通話說出六個數字，輸入後便可登錄。這個方法當然有其他隱憂，我自己就絕對不會使用這些方法，但以該名用家的情況來說，起碼可以防止較為低端的遠程攻擊，總比只有一層密碼（而且是過目不忘的密碼）來得安全。
結論：
以上兩個例子，不是說我認同那些保安措施，但按用家的能力或其他條件，選取更為合適的保安措施。而非一味追求更高的保安級別。
設計資安措施時，切忌把用家當成是必然的潛在漏洞，處處要求用家接受高度培訓。更應在設計資訊安全的方案時，把用家的執行速度、效率、學習能力、記憶能力及使用取向等納入其中，才不致於本末倒置。
照片：Unsplash / Cameron Armstrong
🔑 【資訊保安文章整理，超務實長清單】 https://www.patreon.com/posts/46192115
▶️ 請訂閱 Patreon 頻道，支持不受干預的獨立創作及評論 | www.patreon.com/pazu
第一銀行更改手機號碼 在 [心得] 換手機各大銀行app重新設定分享- 看板Bank_Service 的推薦與評價
※5/8王道app處理狀況更新
後來隔天王道客服outbound給我，說有方法可以解決
就是再次視訊進線客服，請客服刪掉現有的網銀使用者帳號和密碼，重新設定就可以了
一開始我以為新的帳號和密碼不能重複，要多記一個，還有點惱怒
（被台新網銀更換密碼得來的PTSD）
但客服說明使用者帳號和密碼可以重複，設一模一樣都沒問題
確實有解決我的問題，所以剛剛進線客服處理完了，現在使用正常中
幫王道平反一下，能主動回覆，幫我解決問題我覺得很棒
我會繼續拿王道當主力定存戶的！
-----
買了新手機後，除了資料回復外，最重要的就是每一個銀行app重新設定生物辨識登入
剛剛花了一些時間把全部都設定完畢（其實沒有，有某間網銀問題很大）
趁記憶猶新的時候來po篇分享文
＊以下情境為iPhone資料無痛轉移，Andriod或不是使用資料轉移的iPhone情境應該會不同
台新 Richart
無痛啟用，打開時詢問要不要使用Face ID，點選是，就直接無痛登入了
完全不用裝置綁定什麼的
連進入設定裡開啟生物辨識、電話驗證都沒有
第e行動（第一銀行）、富邦行動銀行、KOKO、DAWHO（永豐大戶）、聯邦銀行
以上這幾間的流程都是先以手動帳號密碼輸入後
再到設定裡啟用生物辨識功能就可以了
是第二簡單的方法
中信Home Bank app
我是活期存戶兼信用卡友，純卡友似乎設定方式不同
首先使用帳號密碼正常登入後，進入個人設定打算開啟「簡易登入設定」
在「指紋/臉部登入」項目按下要啟用，輸入手機號碼後，出現訊息表示裝置不同
銀行存戶請至櫃台/網路ATM/實體ATM 申請裝置驗證碼
於是我透過網路ATM申請裝置驗證碼，但什麼反應都沒有
查過全部app功能後，我還是只能回到「簡易登入設定」重複剛剛的動作
然後他還是會一直叫我去申請驗證碼
打電話客服等了2分鐘後，決定使用線上文字客服
我還是有跟著客服機器人的指示再跑一次（其實完全就是我剛剛自己跑的流程）
仍然無解，轉真人文字客服，但客服因疫情關係都在忙線中，要等候
於是我大概又等了2-3分鐘，並且持續不斷努力找到底我哪裡操作錯誤
又絕望的按下啟用「指紋/臉部登入」後，終於跳出輸入裝置驗證碼的畫面
看起來應該是資料同步太慢，等個5分鐘就好了
於是我還沒被客服服務到就解決了
LINE Bank
因為在申請的時候就有印象「這密碼規則與我慣用密碼的要求不相符，我一定會忘記」
果不其然輸入兩次錯誤後，還是得找線上客服重新設定密碼
（重設密碼要真人視訊客服這個機制我實在是很好奇，這樣客服loading不大嗎？）
LINE BANK的線上視訊客服沒有等很久，1分鐘內就接通了
先請客服幫我設定重設密碼後，順便詢問有沒有手機裝置綁定的問題，以免再度進線客服
客服找了一下答案後說LINE Bank是綁Line帳號驗證過的手機
只要綁定LINE帳號就可以啟用生物辨識
（但當下我已經把LINE帳號成功帶入新手機，舊手機也可以同時使用LINE）
於是退出客服後進入重新設定密碼過程
我一定要說，LINE Bank的密碼設定鍵盤真宇宙無敵超級霹靂難用！！！！
不只按鈕按下去沒有反饋，也不會先顯示輸入的字母然後再隱碼
所以我根本不知道我有沒有按對！！！
尤其我有留指甲！！！！我根本不知道指腹到底按到了什麼！！！！
光是設密碼這個過程大概就花了2分鐘，每一次都是前後輸入不相符
我真的要氣死！！！！！
密碼好不容易重設成功後接下來怎麼成功綁定的我就沒什麼印象了
大概是還在PTSD中所以會忘掉不愉快的事情
啊還有一個就是改完密碼後要拍照上傳身分證正反面
我真的完全不懂為什麼！！！WHY！！！！
王道銀行
萬萬沒想到，我的第一間網路銀行是讓我最挫折的一個
一開始輸入帳號密碼登入，很合理，於是打算綁定裝置
新的介面也好用，路徑也好找，然後在啟用快速登入設定的時候看到訊息
「很抱歉，本交易功能暫時停止服務」
大意是前陣子的網銀詐騙頻傳，王道目前先關閉更換裝置啟用快速登入的申請
直到12/31
WTF????????????????
我以為這是要進線客服罵一罵就可以得到的功能，所以我試了視訊客服
想當然客服滿線中，但前面等過中國信託後我覺得等5分鐘都不算什麼
視訊客服接通後，我直接說我的需求，他的回答一樣是
「因為詐騙頻傳，先關閉此功能，預計Q3會再開放」
先不說為什麼他跟我說是Q3但我看到是12/31這件事
（我舊手機裝置解綁了現在找不到一樣的訊息截圖驗證）
想也知道是認證機制出包了現在正在趕工中
所以客服沒辦法解決就是沒辦法解決
話術就是雖然登入時打帳號密碼多花一兩秒，但user的使用功能都不會受影響
但舊裝置客服可以線上幫我解綁
因為手機要賣人了所以還是只好先請他幫我解綁
問說這功能到底什麼時候可以重新開放，再度跟我表示是Q3，7-9月，幾個月而已
這話術真像你問RD新系統什麼時候可以上線
他永遠只會給你一個這麼大的範圍，讓你不知道是真的還假的會上
結束視訊通話前我要求客服幫我強烈表達我的不滿
顧客滿意度能打多差就打多差，打差一點你們上面的人才會知道這有多扯
但我也不是什麼百萬存戶，可能我的滿意度不是很重要啦
總之幾間銀行app設定下來，提醒大家遇到LINE Bank和王道銀行要小心點
雖然我認為王道在Q3真的上線後應該就是個正常的流程了
但還是覺得一間以網銀為主打的銀行，竟然能以月為單位捨棄一個方便user使用的功能
這背後的公司不穩定因素可能很多
然後LINE Bank就是個只想要漂亮噱頭但根本不實用的數位銀行
那個密碼鍵盤連個按下去的反饋都不做，到底是多有被害妄想症
好的我打完也氣完了，謝謝各位的收看
祝大家以後換手機時這些app轉換能無痛一些
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.169.74.129 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Bank_Service/M.1622998218.A.14B.html
這個畫面看起來是首次綁定，我是換手機，但原理相同就是了：
申請驗證碼（網路ATM/實體ATM/分行臨櫃）→輸入驗證碼→啟用
※ 編輯: yavonne (111.250.137.147 臺灣), 06/08/2021 22:11:00
... <看更多>