Security on Freedom Wolf

andOTP 開源的 OTP 軟體

2019-09-16 16:12 +0800

對於現在人來說，雙因素認證（two-factor authentication，簡稱 2FA）已經是在使用網路服務很習慣的一件事了，許多網站都會在設定時推薦使用由 Google 所發行的 Google身份驗證器（Google Authenticator），但是久而久之，遇到了像是更換手機、遺失手機甚至是手機毀損的時候，接著你就頭大了。
然後你就慢慢找，或許找到了 Authy 這個線上服務，但是想一想「這不就是把鑰匙放在別人家嗎？」，於是又開始轉往單機軟體……

程式特點

所以今天要介紹的就是在 Android 上ㄧ款開源的 OTP 應用程式：andOTP，主要功能有：

開源
最少的權限（為了掃描 QRCode 及備份需要相機與檔案存取）
兩種資料庫加密方式
三種備份選項
三種佈景主題
好用
相容於 Google 身份驗證器
支援 TOTP 與 HOTP

andOTP 可以在 GooglePlay、F-Droid 及 Github 上取得。
請注意，三種版本互不相容，轉換前請先備份資料庫。

那就讓我們開始吧！

首先當然是下載囉，上面有三種方式任君選擇，接著就是打開程式。
前幾版的程式雖然有正體中文的翻譯，但是沒有編譯進去，不過現在的版本已經有了，所以使用上不是太困難，繼續下一步。

接著這裡會問你「資料庫加密的方式」，這裡推薦使用 密碼/PIN 的方式，下方說明可以參閱一下，雖然用「密碼/PIN」的方式會稍微麻煩一些（因為必須每次開啟都輸入密碼），但是對於資料庫穩定性較高。

下一步驟是設定加密資料庫的密碼，同時也是開啟所需要輸入的密碼，這邊可以選擇「密碼」或「PIN」，PIN 只接受數字，而密碼則是連同特殊符號也可輸入。

一切準備就緒！

首次使用

設定完成後程式會自動開啟，輸入剛剛設定的密碼解除鎖定。

主畫面就是一片空白，讓我們新增一點東西吧！一般來說你可以用 QRCode 掃描，不過這裡因為是測試，所以選擇「鍵入詳細資訊」。

如果只是要測試的話，可以用 TOTP Token Generator 測試，開啟後會給你一些資料，照著填入即可。一般來說「詳細選單」內的是不需要做更動的，絕大多數網站都是採用「30秒6位數」的設定，少部份使用「10秒7位數」，在 andOTP 也是可以相容的。
這裡說明一下，第一個「標籤」指的是「Label」第二個則是「Tag」，這應該是翻譯問題，之後應該會修正掉。

完成後就會在主畫面顯示出 Token 了，標題列下方黃色橫條是更新時間，當跑到最左側時也就是一次更新時間。

其他設定

主畫面隱藏 Token

預設下你的 Token 會大剌剌的顯示在上面，在設定中是可以選擇說必須點擊後才會顯示，也可以設定顯示時間，點選三點選單後「設定」。

備份與匯入

一樣點開三點選單，選擇「備份」。這裡總共有三種備份方式：

明文
密文
OpenPGP

明文就是完全沒加密，取得者可以直接開啟。
密文在匯出時會詢問密碼，在匯入時也必須輸入解密。這裡的密碼與開啟解鎖時的密碼不相關，前者是資料庫密碼，這裡是匯出文件的密碼。

OpenPGP 則必須安裝 Openkeychain 等 OpenPGP 相容程式才可以運作，同時也必須要指定加密的電子郵件及簽章金鑰（可選，端看是否要驗證完整性）。

結語

andOTP 在使用上都比其他我用過的 OTP 應用程式還要優異，Google 身份驗證器雖然畫面簡單，但是你可否想像當你用的服務都開始支援 2FA 的時候，滿山滿谷 Token 找老半天，利用 andOTP 的 tag 及搜尋排排序等等，可以更快的找到所需的 Token，對於少用的 Token 也可以加以隱藏，免除主畫面雜亂無章的情況。

同場加映

對於想從 Authy 跳槽的使用者（我自己就是），這裡提供一個方法可以使用，都匯出後確認沒問題就可以請求刪除 Authy 帳號了。
對於想要在電腦上使用 OTP 的人，這裡也提供一個軟體（僅限 Linux）：OTPClient，它相容於 andOTP 的備份檔案，所以兩者之間可以互通。

Energized Protection 遠離廣告及保護你的隱私

2019-04-04 00:00 +0000

Energized Protection 是一款除了自身有 core list 外，還結合許多外部過濾清單的黑名單整合。簡單來說，就是集合很多過濾清單然後給使用者使用。
傳統上都會使用 Adblock 或是 adaway 等軟體抵禦廣告，這類軟體作用原理是阻擋這些元素的載入達成目的，但往往需要更高的使用權限才能在載入時介入，對於一般電腦上沒有太大得問題，但是在手機上卻是棘手問題。
所以後來研發出使用 DNS 的方式，讓廣告商網域無法正常連線，即使發出連線要求，無法到達目的地廣告便無法顯示。

那麼，要怎使用呢？

首先，先確定你想要幹麻，單純檔廣告？保護自己不要被追蹤？還是全部封殺封光光？
因為 Energized Protection 有很多種不同的 Pack ，裡面有不同程度的黑名單，有些封鎖廣告、釣魚網站、色情或是社群網站，所以看你需要怎樣的保護，選擇怎樣的 Pack。
可以先到 Energized Protection 的 Github Repo 或是官方網站看一下，裡面有詳細的說明。因為不同程度的封鎖，會有不同程度的 host 文件大小，擋越多當然越大，這時候要看手機的處理能力，如果不夠強的話還會造成速度變慢的反效果。
如果沒什麼要求只需要檔廣告，可以選擇最小的 Spark Pack，再來就是選擇套用的方式了。

支援的格式

Energized Protection 支援很多種格式，像是手機上的：

DNS66
Perosnal DNS FILTER
Blokada
Magick Module (Root)
ADAway (Root)

電腦部份也包含了 Dnsmasq 用的檔案，這邊就不詳述所有格式，在 Github Repo 上都可以找到。
回到手機，以我自己的使用是 Magick Module 的方法，很簡單，使用 Magisk Manager 下載 Module 就可以了。

使用 Magick Module

打開 Manager 後下載 Energized Protection，因為我已經下載裝過了，所以畫面上是已安裝的狀態，正常下是會需要重開機才能啟用。

之後要安裝 Terminal Simulator，任何的都可以，我是使用 Termux，可以在 Play Store 或 F-Droid 上取得。
假設到這邊，都安裝完模組了，也裝好 Termux 了，接著重開機也沒有問題，正式上工！

開啟 Termux，輸入 su 後，沒有取得過 root 權限應該會在這邊提示，當然是是允許囉。
接著輸入 energized 後 Enter。（可以輸入 ene 後點擊畫面上的 tab 自動補齊）
接著就是一連串的畫面，等跳到主選單就完成一半了。
畫面中可以看到這種資訊，分成：
1. 基本資訊（Basic Info）
  裡面有 root 狀態、是否 Energized 化、目前套用的過濾包等等。
2. 過濾包（Packs）
  就是上面說的那些，可以在網站上看詳細內容。
3. 附加元件（Extensions）
  針對其他項目的封鎖，例如色情或是社群媒體，沒有需要就不用套用。
4. 選項（Options）
  進階的選項，像是白名單、重定向等等功能在這，下面會介紹白名單功能。
5. 雜項（Misc）
  備份、還原等等都在這裡，要清除設定也是在這裡。
現在就輸入你要的選項吧，現在我想安裝 Basic Pack ，所以輸入 4 後 Enter。
這時候會問你，因為檔案比較大，如果手機效能不夠可能會無法負荷。現在手機應該不會太差，就選 Y 吧。

之後就是下載及套用。
完成後回到主畫面，應該會呈現這樣的畫面：

這樣就可以關閉 Termux 了。
不要忘記重開機。

白名單/黑名單的使用

有時候自己會 ~~想要被釣魚或是想被騙的時候~~ 被誤鎖的時候，就需要用白名單來解套。舉一個真實案例，Humble Bundle App 在下載檔案的時候總是不成功，大概就是這個問題了，不過比較麻煩是，需要自己找出被封鎖的網域，然後加入白名單後套用，不熟的人可能不太會找，所以，如果有誤鎖的情況，可以先換比較前面的 Pack 試試（Spark 沒有封鎖 Humble Bundle App）。
總之，我找出來 HB App 下載的網域是 dl.humble.com ，那就可以加入白名單了。
你要知道的是，白名單黑名單運作方式都差不多，檔案放在 sdcard/EnergizedProtection 內，開啟 whitelist 後貼上 dl.humble.com 存檔。再次使用 Termux 開啟 Energized 進到主選單，只是這次使用 w 後 Enter。
根據 Pack 的大小，套用會需要一點時間，完成後會像這樣。

一樣，不要忘記重開機套用，之後應該就不會被擋了。

到這邊， Magick Module 的使用方式結束。

使用 DNS66

首先當然是先抓軟體，不過好像只能從 F-Droid 或 Github 下載。開啟 DNS66，選擇 HOSTS 頁籤，右下角可以新增新的 HOST，在 Github Repo 上找到你要的 Pack ，然後複製 HOSTS RAW 的網址，貼上在 Location 內，Title 可以填 Pack 的名稱方便辨別，至於 Action 的話當然是 Deny 囉，完成後右上角勾勾按下去。

然後記得點右上角 重新整理 讓 DNS66 可以更新 HOST 檔案。
回到 START 頁籤，點擊 START 後，應該會跳出 VPN 連線的允許，因為是透過本機的 VPN 連線進行過濾，所以這是正常的操作，記得要允許。
接下來應該就完成囉。

移除

使用 Magidk Module 的話，進 Manager 中移除再重開機就好了，如果是 DNS66 的話也是直接解除安裝程式就好，沒有什麼大問題的。

結語

還記得之前（很久很久之前）都是用 Xposed 去直接檔掉廣告的元素，還真是愉悅啊，但是現在就沒有那麼方便了，扯到 SafetyNet 啦，鎖死死的才需要其他方式來解決，不然其實 Xposed 是最好最有效的方案，只可惜沒有像之前一樣輝煌了。
我目前使用狀態還算不錯，JPTT，其他遊戲等等都沒有廣告跳出來或是佔位置，成效令人滿意，不過這種東西就是貓捉老鼠，三不五時就要更新，不然就會失效。
感謝各位開發者讓我可以不用看廣告（跪）。