什么是双重验证（2FA）？

密码只是一个秘密，而单一的秘密有个弱点：谁知道了它，谁就能冒充你。密码会在数据泄露中外泄，会被猜出，会在多个网站重复使用，还会被交给假的登录页面。双重验证（常简写为 2FA）增加了第二道检查，使得单靠泄露的密码打不开账号。

本文讲解其原理，用通俗的语言比较常见方式，介绍设置和恢复的步骤，并坦率说明双重验证做不到什么。

原理：两种不同类别的证明

验证身份，就是证明你就是你声称的那个人。证明大致分为三类，称为“因素”：

• 你知道的东西： 密码、PIN 或某个问题的答案。
• 你拥有的东西： 手机、硬件安全密钥或智能卡。
• 你本身的特征： 指纹、面部或其他生物特征。

双重验证要求来自不同类别的两项。密码加 PIN 都属于“你知道的东西”，所以不算真正的双重验证；密码加手机上的验证码才算。当服务允许使用两项以上时，统称多因素验证（MFA），CISA 的指南说明了它对日常账号的重要性。

好处很直接：拿到你密码的攻击者，现在还必须控制你的手机或密钥，而这在远程几乎很难做到。

主要方式比较

方式	原理	优点	缺点
短信验证码	通过短信发送验证码	简单，无需安装应用	可能被拦截、被换卡转走或被钓鱼
邮件验证码	把验证码发到邮箱	简单	安全程度仅取决于邮箱账号本身
验证器应用	应用生成每 30 秒变化一次的验证码	可离线使用，无需手机信号	验证码仍可能被输入到假页面
推送确认	手机上弹出提示，点击批准或拒绝	快捷	用户疲惫或匆忙时，会批准并非自己发起的提示
硬件安全密钥	轻触或插入的实体密钥	抗钓鱼，安全性很高	需要随身携带，要另买备用
通行密钥（passkey）	存放在设备上的加密密钥，用指纹、面部或 PIN 解锁	抗钓鱼，无需输入密码	仅限支持的网站和设备

验证器应用的验证码如何生成

验证器应用使用基于时间的一次性密码标准 TOTP，定义在 RFC 6238 中。注册时，网站和你的应用共享一个秘密，通常通过二维码完成。此后，双方都根据这个秘密和当前时间计算出同一个短验证码，所以验证码每 30 秒变化一次，并且无需任何网络连接。

由于这个秘密存放在你的设备上，请把设备以及应用的任何备份都视为敏感资料。

安全密钥与通行密钥

安全密钥和通行密钥建立在 FIDO 联盟的标准之上。你不再需要输入验证码，而是由设备证明它持有一把从不离开设备的私钥。该密钥与真实的网站地址绑定，因此外观相似的假页面无法使用它。这就是它们被认为是抵御钓鱼最强手段的原因，相关内容可参见如何识别钓鱼网站。

NIST 的数字身份指南用更专业的语言描述了同样的排序：它把短信视为较弱的“受限”方式，并建议对风险较高的账号使用抗钓鱼的选项。

先在哪里开启

不需要第一天就保护所有账号。从一旦被接管损失最大的地方开始：

1. 你的主邮箱。 它是重置其他所有地方密码的钥匙。
2. 银行、支付和购物账号。
3. 云存储和相册账号。
4. 社交媒体和聊天应用。 这些账号被接管后，常被用来骗你的联系人。
5. 工作账号， 按所在单位的规定办理。
6. 任何密码管理器。

如何设置

不同服务的步骤略有差别，但顺序大体相同。

1. 打开账号的安全设置，找“两步验证”“2FA”或“多因素验证”。
2. 选择一种方式。条件允许时，优先选验证器应用、安全密钥或通行密钥，而不是短信。
3. 使用应用时，用验证器应用扫描二维码，并输入第一个验证码确认。
4. 保存服务提供的备用验证码。把它们离线保存或放进密码管理器，不要放在同一部手机里的截图中。
5. 如果服务允许，登记第二种方式或第二台设备，例如第二把密钥。
6. 退出登录再重新登录，测试一下。

一个例子

小周在一个老购物网站和自己的邮箱上用了同一个密码。购物网站被攻破，攻击者拿这个密码去试他的邮箱。

• 没有双重验证时， 邮箱被打开。攻击者利用重置密码的链接接管了小周的其他账号。
• 使用验证器应用时， 攻击者有密码，却没有六位数验证码。登录失败，小周甚至可能收到一条关于这次尝试的通知。

重复使用密码依然是个错误，但第二重验证让它没有演变成账号被完全接管。更好的做法是，小周为每个网站使用不同的密码并存放在密码管理器里，再在此基础上开启双重验证。

设备丢失时怎么办

为失败做准备，是设置的一部分：

• 把备用验证码放在不依赖手机就能取到的地方。
• 如果服务支持，添加第二台设备或第二把密钥。
• 了解该服务的恢复流程。它可能需要等待数天或证明你的身份。
• 如果手机丢失或被盗，用另一台设备登录，把旧设备从账号中移除，然后更改重要账号的密码。

局限与注意事项

• 钓鱼对较弱的方式仍可能得手。 一个逼真的假页面可以实时索取你的密码和六位验证码，再转交给真实网站。安全密钥和通行密钥正是为了阻断这一点而设计的。
• “批准疲劳”是真实存在的。 如果收到意料之外的推送提示，请拒绝并更改密码，因为可能已经有人掌握了你的密码。
• 换卡攻击（SIM swap）。 攻击者可能说服移动运营商把你的号码转到他们的 SIM 卡上。如果运营商提供号码 PIN 或锁定功能，请开启。
• 恢复途径是最薄弱的环节。 如果账号能通过一个没有第二重验证的邮箱重置，那么那个邮箱才是真正的攻击目标。
• VPN 在这里帮不上忙。 它保护的是你的连接，而不是你的登录。参见 VPN 无法保护你免受什么。

总结

双重验证意味着被盗的密码不再足够。验证器应用、安全密钥和通行密钥比短信更强，而任何一种第二因素都比没有强。先为邮箱和与钱有关的账号开启，保存好备用验证码，并对假登录页面保持警惕，因为剩下的攻击都依赖于它们。如果你还想在共享网络上保护自己的连接，可以看看 XPASS 定价。