双因子认证是保护账户安全的核心措施。目前主流的双因子认证方式包括Google Authenticator、短信验证码和硬件安全密钥三种各有优劣。以下从安全性、便捷性和恢复难度三个方面进行全面对比。
Google Authenticator使用基于时间的一次性密码算法在手机本地生成6位数字验证码每30秒更新一次。验证码在手机离线状态下生成不经过网络传输无法被远程拦截安全性最高。缺点是手机丢失后如果未备份恢复密钥可能无法登录账户。因此绑定后务必将恢复密钥抄写在纸上保存。Authy和微软Authenticator等替代应用支持云端备份恢复密钥更方便适合对便捷性有更高要求的用户。
短信验证码通过运营商网络发送到手机号码上操作最简单不需要安装额外应用。缺点是存在SIM卡劫持攻击的风险攻击者可以通过社会工程手段让运营商将您的手机号转移到自己控制的SIM卡上。硬件安全密钥如YubiKey是目前最安全的双因子认证方式通过物理插入或NFC验证无法被远程攻击。支持FIDO2和WebAuthn标准兼容性在逐步提升。综合来看建议以Google Authenticator作为主要验证方式硬件密钥作为备用。
无论选择哪种双因子认证方式核心的备份原则是一样的：将恢复信息离线保存在至少两个不同的安全位置。建议将恢复密钥抄写在纸上用防火防水的材料保护并存放在个人保险柜中。同时在家中的另一个安全位置存放一份备用。不要将恢复信息保存在联网设备中包括手机截图、云盘和电子邮件。