tag
two-factor authentication
该标签下有 3 篇文章
2026-07-07
7pay 盗刷事件（2019）— 没有双因素认证的支付应用为何被接管
账户接管在上线次日就开始，约 808 名用户被盗刷约 3,862 万日元。核心是认证设计的缺陷：①没有双因素认证，登录只需 ID＋密码；②密码重置可把新密码发送到「登记邮箱以外」的地址，因此仅凭零散的个人信息就能夺走账户。在你的环境里，应对重要操作强制双因素认证、把密码重置限定为已登记的渠道、具备针对撞库的检测与锁定，并在上线前对认证流程做第三方评审。
2026-07-02
什么是双因素认证（2FA）— 与两步验证的区别、各方式的强弱
双因素认证（2FA）是在「你知道的东西（密码）」之外，叠加「你拥有的东西・你本身（验证码、密钥、生物识别）」这类不同类别的证明，从而强化本人验证的机制。严格来说它与常被混淆的两步验证（确认两次，未必是两个类别）并不相同。强度取决于方式：SMS/邮件 < 身份验证器应用（TOTP）< 通行密钥/物理密钥（FIDO2）。本站的立场：先在所有账户上开启某种 2FA，再把重要账户迁移到无法对钓鱼网站出示的方式。
2026-07-02
什么是一次性密码（OTP）— TOTP/HOTP/SMS 的区别与局限
一次性密码（OTP）是一次使用后即失效的短命一次性验证码。类型有：身份验证器应用的 TOTP（基于时间）、HOTP（基于计数器）、以及 SMS-OTP。它对泄露和重用的密码很强，常作为 2FA 中「你拥有的东西」这一因素。但它有局限：中间人（AiTM）钓鱼能通过假网站中继 OTP 并照样进入。真正的抗钓鱼来自绑定域名的通行密钥。OTP 是「远胜于没有，但不是终点」。