PD虚拟机    VPS    微软    Win10    苹果    Office2019

什么是两步验证?怎样开启二步验证?好用的身份验证器密码 APP 软件推荐

 技术教程, 杀毒安全    ,    2018-08-13
什么是两步验证?怎样开启二步验证?好用的身份验证器密码 APP 软件推荐

说到帐号安全,大家都知道国内很多网络服务 (如淘宝、银行),除了正确的帐号密码之外,常常还需要额外给你发一条手机短信验证码,以此进一步确认你是帐号的真正主人。

这其实就是「两步验证」或者叫做「双因素验证」的一种实现方式,它这里第二步验证是靠手机短信来发送验证码的。而国外更多的网站/网络服务还会使用一种叫“身份验证器”或叫“虚拟 MFA”的二步验证方式,它是利用一种“随时间变化的验证码”来取代手机短信,不仅更安全,而且可离线使用,通用性也更强……

开启两步验证有什么好处?

和短信验证码一样道理,这里的两步验证也是相当于给帐号多加一把“锁”(多一步的验证),在输入正确的账号密码之后,用户同样还需要额外输入一个每 30 秒自动变化一次的 6 位数字「二步验证码」才能完成登录。

两步验证

所以即使你的帐号和密码不慎泄露了,别人在没有这个数字验证码也是无法登录你的账号的,这可以大大提高破解的难度和帐号的安全性。所以建议所有能开启二步验证的重要网络帐号都要全部开启。

二步验证和手机短信验证码有什么区别?

手机短信验证码和两步验证的目的和作用基本一致,不过很多的 (国外) 网络服务并不支持发送手机短信验证码,主要是短信成本高,而且有安全性风险 (比如 2G 网络下黑客可以利用 GSM 漏洞监听截取到用户的手机号码和短信内容)。

而本文所说的二步验证是指虚拟 MFA,或者说是“身份验证器”,是基于时间和加密算法生成“每 30 秒变化一次的 6 位数字验证码”,也叫做 TOTP (Time-Based One-time Password) 或 OTP 一次性密码。它的优点是使用时无需联网、仅需时间进行计算、速度快、可离线使用、没有额外成本、算法协议公开通用,开发和使用上都很简单,可以用小型硬件 (实体的密码器) 或纯软件 APP 来实现,因此更多的网站会支持这种方式。

二步验证

两步验证、MFA、2FA、多因素验证都是些什么鬼?

我们常常会见到“两步验证”、“二步验证”、“双因素验证”、“多因素验证”、“虚拟 MFA”、“动态令牌”、“双重验证”、“2FA”、“Two-Factor Authentication”、“Multi-Factor Authentication”、“OTP”、“TOTP”等等词语,不过你完全不需要被吓到。

因为其实它们都是在说同一个意思,就是除帐号密码这一个因素以外,再多增加一个要验证的因素。实现形式可以是用手机短信、邮件来发送验证码,也可以是本文所述的基于时间生成“不断变化”的一次性数字验证码。

两步验证

怎样使用二步验证?身份验证器/密码器 APP 推荐

那么,既然不靠手机短信发送验证码?我要从哪里得到这个不断变化的 6 位数字二步验证码呢?其实我们只需要安装一个「二步验证 APP」(身份验证器应用) 来生成它即可。这类密码器 APP 有很多,后面会介绍。

值得了解的是,大多数网站的帮助和提示上都以 Google Authenticator (谷歌身份验证器) 这款 APP 作为例子,但其实,这类二步验证应用 / 身份验证器 APP 都是遵循 TOTP 协议 (同一套加密算法) 生成验证码的,所以它们完全通用,使用上也大同小异,用户只需按喜好选择即可,而不是必须选择某一个 APP 的。

Authy - 最好用的二步验证 / 身份验证器 APP

Authy
最好的二步验证密码生成器/身份验证器应用

Authy 是我个人最推荐的二步验证密码生成器 APP 应用,它完全免费,全平台通用,支持 iOS / Android / Windows / macOS 系统,提供 Chrome浏览器插件,而且可以备份数据,并支持跨设备同步,可以一 APP 通行全部支持 TOTP 两步验证的网站。

[ Authy iPhone 版截图 ]

1Password

1Password
最出色的全平台密码管理器应用

1Password 可以说是最出色的跨平台密码管理器,唯一的缺点就是稍贵。它除了支持帐号密码管理以及自动填写密码等功能以外,新版本同样「也可以支持一次性密码 (TOTP 两步验证码)」,数据可以云端同步,使用上非常方便,据说就连苹果也为员工统一配备此 APP。

[ 1Password - Password Manager iPhone 版截图 ]

Microsoft Authenticator - 微软身份验证器

Microsoft Authenticator
微软身份验证器 APP

顾名思义,这个就是由微软开发的两步验证器应用,完全免费,跨平台支持 iOS 和安卓,界面简约。新版本增加了数据备份功能,因此也是一个不错的选择。

[ Microsoft Authenticator iPhone 版截图 ]

不推荐使用 Google 身份验证器

相对的,我个人「并不建议」使用 Google 身份验证器,尽管很多网站推会荐它,我认为这只是因为它免费、Google 的影响力大、并且它出现得比较早而且。它的缺点非常明显——不支持数据备份!

密码验证器APP

也就是说,如果手机丢失或刷机清空数据后,你的网络账号就麻烦了 (因为你必须使用原来设置两步验证时留存的备用码进行恢复)。而 Authy 或 1Password 这些可以备份和同步的 APP 则没有这个担忧。

怎样开启两步验证?

一般在支持二步验证的网站上 (比如我知道的就有:阿里云腾讯云AmazonHumble Bundle坚果云DropboxLinode、GitHub、微软帐号、Google 帐号、Twitter、Instagram、NameSilo印象笔记等等),在其“帐号”或“安全”相关页面就能找到「开启两步验证」的选项,然后它就会给你出示一个二维码让你扫描,如下图以印象笔记为例:

开启两步验证

这时候,你使用任何两步验证的密码认证器 APP (身份验证器应用) ,比如上面推荐的 Authy 扫描一下这个二维码进行即可完成“配对 / 绑定”。之后你就能在 APP 里面获取登录所需的 6 位数字一次性验证码了!如下图:

两步验证APP

这时你还需要回到网站上,输入正确的验证码如上图 283128,然后点确认保存一下,成功之后该帐号即会正式启用 TOTP 方式的两步验证。

值得注意的是,在“绑定”成功并启用二步验证后,部分网站会给你提供一些「备用代码」(备用安全码 / 恢复码) 作为应急手段,在你丢失二步验证设备或数据的情况下,可以用它们来登录并取消二步验证,它们相当于是解除二步验证的最后一条钥匙。

备用代码

所以务必要保存好这些备用安全码,个人建议可以将它们保存在印象笔记、1Password 或者打印出来存放好。否则当意外情况发生 (无法获得二步验证码) 后,你又没有这个恢复码时,你的账号可能将永远无法被访问。所以,备用码非常重要!非常重要!非常重要!切记要备份好!

不同的网站/网络服务开通使用密码认证器的两步验证的流程基本都一样,只是网站界面显示有所不同,大家可以逐一登录到各个网站后台账户页面去看看具体怎样设置。

总结:

总之,重要的网络账号单单只靠密码来保证安全是不够稳妥的,因为它们很容易泄露。「两步验证」才是目前互联网上最佳的安全举措,你不应该忽略它。

对于重要的账号,基本上只要开启了两步验证并且保存好备用恢复码,它们就几乎不可能被陌生人盗用,轻松把帐号被盗的损失风险和概率降到了最低。所以,如果你之前没试过,那么看完这篇文章后,建议你把支持两步验证的网站都开启它。

相关文件下载地址

官方网站:访问
软件性质:免费

下载 Authy (Android)  |  iOS  |  Mac  |  Win  |  Chrome插件  |  密码相关

  • 心伤

    又有干货!战略性马克一下……

    2018-08-13 03:50:32
  • 锋子

    挺好的,但有个疑问,能给我的比如淘宝ID 支付宝ID 自己的网上银行设置这个么?是不是就如文中提到的 即使有黑客利用2G的那个技术拦截我的短信验证,也登陆不了我的账号?

    2018-08-13 04:21:11
    • GTX

      似乎淘宝、支付宝和国内的银行都不支持这种两步验证,仅手机短信验证。

      2018-08-13 04:34:53
  • 猫虎

    又学到新东西了!

    2018-08-13 04:48:44
  • peter

    我在用1password,但我找不到添加一次性密码的地方。。。。。

    2018-08-13 08:03:40
    • X-Force

      以Mac版为例,编辑某个网站密码,添加新字段,选择一次性密码,然后就能扫描二维码了

      2018-08-15 18:48:10
  • 刹那

    问题1:开启两步验证是否还要输入原来的密码。
    问题2:KeePass是否有两步验证的插件。

    2018-08-13 08:28:40
  • nizzi

    其实,这个,就是银行那种 电子令牌 是吧?

    2018-08-13 08:32:28
  • 隔壁老王

    好东西,但是好像可以应用的软件比较少吧。

    2018-08-13 09:22:18
  • gaoyang

    authy挺好用,谢谢推荐

    2018-08-13 09:47:21
  • ZL

    authy有同步是挺好,就是没有中文版不爽

    2018-08-13 09:53:21
  • 路人甲

    文中对谷歌的评价是不对的,“必须使用原来设置两步验证时留存的备用码进行恢复”这才是安全性的保证!原则上就是要求另外记下备用码的,不记备用码然后怪谷歌不好用是什么逻辑?安全与方便本来就是好矛盾的!

    2018-08-13 10:02:53
    • 猫虎

      但每次换手机,你都得去一个一个恢复和重新设置十几个网站账号的两部验证,还得重新记录新的备用码,这还不够蛋疼?!

      2018-08-13 10:13:31
    • 星辰

      你用你的谷歌,我用我的authy,不矛盾,你喜欢就好。

      2018-08-13 10:16:10
    • 路人乙

      明白人。这东西通过app同步就只是增加攻击面。

      2018-08-14 09:54:46
    • GTX

      增加个鬼攻击面。这类APP里「只会」且「只能」记录两步验证的Token,这相当于是某个网站与你这个APP协商一个“暗号”而已。储存和同步的都是这个暗号,就算泄露了,别人也无法推断出你原本的账号或密码。

      2018-08-14 14:58:23
    • GTX

      换句话说,两步验证 APP 如果泄露了数据,别人拿到手基本无任何价值。除非你还在其他地方泄露了帐号密码,而且被同一个人拿到。这明显增加了攻击者的难度。还什么明白人,你根本不理解细节好不……

      2018-08-14 15:10:01
    • Ni

      钛备份先备份再恢复完全可以用

      2018-08-15 13:31:57
  • Lzk

    首页有一大段空白,是我浏览器的问题吗?

    2018-08-13 10:41:12
    • yexleo

      是不是开了广告过滤器插件

      2018-08-14 12:32:36
  • 独舞

    我手机丢了,远程设置丢失模式,有锁屏密码,然而开启了双重认证的Apple ID的账号还是被盗了。

    2018-08-13 10:56:06
  • lawsherman

    支付宝原来也是有电子令牌,然而停用了

    2018-08-13 14:47:39
  • 晨光

    好文章,收藏再看

    2018-08-13 19:59:29
  • Vamos

    lastpass的
    谷歌的 微软的都有!

    2018-08-13 21:30:08
  • 要有光

    我的推荐是:
    移动端:AuthenticatorPro (付费),支持 WebDav/Dropbox 备份;
    Windows 端:WinAuth (免费),在 GitHub 上开源,虽然有一段时间没更新(或者长期),但是很稳定, 1803 使用正常,除此之外还支持 Steam,备份的话支持导出文件,能带入到上文提到的 AuthenticatorPro ,支持快捷键一键输入当前窗口。
    以上软件都支持导出,包含密钥链(二维码包含的文本信息)。
    说实话比小编推荐的好用一点,这是我试用了几乎全部的二步验证所留下来觉得最棒的。

    2018-08-13 21:44:51
    • 要有光

      对了,两款软件都支持密码,前者支持指纹和pin,后者支持密码、仅供当前用户使用和 yubikey。

      2018-08-13 21:47:53
  • Aquamarine

    看不下去了,我来纠正下,谷歌的身份验证器,程序本身是没有提供备份功能,但是这不影响你备份它的数据库,只要直接复制出它的数据库,然后覆盖到新手机上去,就可以直接用了,根本不用一个一个去重新设置。本人在安卓平台成功迁移,苹果——买不起……

    2018-08-13 22:07:44
    • GTX

      只用安卓这样还是可以的。但还是有缺点,无法跨平台、跨设备;需要手工备份,忘记备份或长时间没备份,手机被偷了,同样会麻烦。

      2018-08-14 15:12:08
  • 采姑娘的小蘑菇

    然而国内支持“两步验证”的网站并不多

    然,能用的都开了,电脑都用Authenticator开机 23333

    2018-08-13 22:08:27
  • Baltimore2012

    好吧,遇到新网站我都是把二维码截图保存在电脑里,然后才用Google Authenticator扫描的,即使更换手机,只需要重新扫描截图就行,不用解绑再绑定。

    2018-08-14 21:40:18
    • X-Force

      似乎是个好方法!

      2018-08-14 23:52:33
  • dominic_lian

    推荐 Step Two

    2018-08-15 11:43:31
  • zhfeixiang

    忽然想到了工行密码器 。。。

    2018-08-15 11:54:59
  • 哈哈

    第一个短信验证码收不到啊 使用电话验证完了 结果进不去APP 这…

    2018-08-15 13:42:49
  • CC

    这不跟以前的密码器很像吗?能够支持两步验证的网站并不多,被盗的可能性也太低了

    2018-08-15 15:45:20
  • essethon

    本来想推荐 2STP 的,结果发现作者弃坑了

    2018-08-15 17:22:08
    • awyme

      作者并不是弃坑,而是因为入职苹果,不得不下架了

      2018-08-31 14:22:52
  • F

    作为LastPast同门的LastPass Authenticator支持备份到LastPast,换机登录即可恢复,还有PIN和指纹加持。在知道这货之前我也是靠保存各网站的初始二维码来快速恢复的

    2018-08-22 20:00:32
  • 优站盒子

    两步验证感觉比短信好用,不会出现收不到短信的问题,速度还快

    2018-08-24 08:59:41





评论内容 (*必填):
Ctrl + Enter 快速提交   

赞赏异次元


请通过支付宝、微信 APP 扫一扫,海外读者可「使用 PayPal 赞赏

“ 感谢您对异次元网站的支持! ”