谷歌两步验证器为什么没有同步必要的功能呢

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

This topic created in 2713 days ago, the information mentioned may be changed or developed.

每次添加密钥到认证器中还要提前把密钥或者二维码保存一下每次添加密钥到认证器中还要提前把密钥或者二维码保存一下

如果手机被偷了或者不小心刷机了再要么 APP 被卸载了那么密钥就找不回来了

认证器不增加同步密钥功能难道是为了安全考虑吗

密钥

认证

二维码

验证器

40 replies • 2018-12-02 21:36:36 +08:00

z742364692

Dec 1, 2018 via iPhone

用密码管理工具自带的两步验证就可以同步了，如 enpass，1password

Tony042

Dec 1, 2018 via iPhone

Microsoft isAuthenticator 了解一下

Tony042

Dec 1, 2018 via iPhone

啊，有个 typo，是 Microsoft Authenticator

fetich

Dec 1, 2018 via Android

没有同步功能更安全，想要便捷的可以用第三方的工具

parametrix

Dec 1, 2018 via Android

实际上就是安全问题。多因素认证指的是相互独立的多因素，同步功能基本上是肯定会削弱独立性，比如说同步功能的认证还是帐号密码，那还有什么用。

此外，如果再不是端对端加密，或者可以脱离手机使用（比如可以在电脑上用），那差不多就只能看作一个强密码了，基本丧失了独立因素的功能。

totoro625

Dec 1, 2018 via Android

我用的 LastPass 附带的 Authenticator
感谢 1# 原来 enpass 也有

boileryao

Dec 1, 2018 via Android

上次备份直接拖的数据库🙃

ekousp

Dec 1, 2018 via iPad

authy

maemual

Dec 1, 2018

我觉得很有可能这个 APP 就是 Google 的客户端工程师随手做的，根本没有考虑这么多。。。。

lzvezr

Dec 1, 2018 via Android

@maemual 可能因为协议随便用，自家的就做个演示版本吧

zael

Dec 1, 2018

@maemual #9 确实就是个 demo，其它家的也不太想用，我已经把几个开启了两步验证的网站给关了

1daydayde

Dec 1, 2018

其实核心代码相当简单，利用 java 的库几行代码就搞定了，可以自己写一个。

Dragonish3600

Dec 1, 2018 via iPhone

Google 的那个就是垃圾，推荐用 authy

reus

Dec 1, 2018

服务器不暴露获取密钥的接口显然更安全，物理分发是更安全的，物理做不到，那你手工操作一下也比调接口好

“如果手机被偷了或者不小心刷机了再要么 APP 被卸载了那么密钥就找不回来了”
一般都会给你一些备用码，那些就是给你更换密钥用的。

Youngda

Dec 1, 2018 via Android

authy+1，以前用谷歌的不知道有同步功能…被坑过

kev0709

Dec 1, 2018 via Android

本地的是最安全的不信任云厂商目前用的是 andOTP

chantan

Dec 1, 2018 via iPhone

被谷歌验证器坑过一次转 authy 了

run2

Dec 1, 2018

我被 OTP Authenticator 坑的最惨是暴雪的，手机维修前用密码备份过（加密码备份会备份到 keychain ）
结果因为换过机，备份还原了那个 key 还是还原不到，D III 账号就再也进不去了...

其实密钥被称之为密钥，本身就应该只是本地存储，不经过网络传输（传输的过程就增加了泄露的风险）
Google 那个当然也有可能只是 Google 的玩具