双因素认证
该标签下有 3 篇文章
设置 GitHub 双因素认证（2FA）：验证器 App、passkey、恢复码，以及手机丢失时怎么办
设置 GitHub 双因素认证（2FA）并避免把自己锁在门外的指南。自 2023 年 3 月起，GitHub 分批要求在 GitHub.com 上贡献代码的用户开启 2FA；被选中后有 45 天的启用期和 7 天的宽限期，之后在开启 2FA 之前无法使用 GitHub.com。GitHub Docs 建议以 TOTP 验证器 App 为主要方式，以 passkey 或安全密钥作为备用（passkey、安全密钥和 GitHub Mobile 只能在设置好 TOTP 或 SMS 之后添加）。本站的看法：GitHub 上常见的 2FA 失败不是账户被盗，而是把自己锁在门外；2FA 凭据和所有恢复手段都丢失的账户，GitHub Support 无法恢复。把 16 个恢复码存进密码管理器，并在同一天登记第二种方式。顺便换用有有效期的 fine-grained 令牌，清理已授权的应用和 SSH 密钥，检查推送保护和 Dependabot 警报。
什么是一次性密码（OTP）？TOTP/HOTP/SMS 的区别与局限
一次性密码（OTP）是一次使用后即失效的短命一次性验证码。类型有：身份验证器应用的 TOTP（基于时间）、HOTP（基于计数器）、以及 SMS-OTP。它对泄露和重用的密码很强，常作为 2FA 中「你拥有的东西」这一因素。但它有局限：中间人（AiTM）钓鱼能通过假网站中继 OTP 并照样进入。更强的抗钓鱼能力来自绑定域名的通行密钥。OTP 是「远胜于没有，但不是最后一步」。
什么是双因素认证（2FA）— 与两步验证的区别、各方式的强弱
双因素认证（2FA）是在「你知道的东西（密码）」之外，叠加「你拥有的东西・你本身（验证码、密钥、生物识别）」这类不同类别的证明，从而强化本人验证的机制。严格来说它与常被混淆的两步验证（确认两次，未必是两个类别）并不相同。强度取决于方式：SMS/邮件 < 身份验证器应用（TOTP）< 通行密钥/物理密钥（FIDO2）。本站的立场：先在所有账户上开启某种 2FA，再把重要账户迁移到无法对钓鱼网站出示的方式。