什么是双重验证？先给哪些账号开启，以及各种方式的安全性差异

双重验证就是加上“另一种类型的证明”

证明“我是我”的材料大致分为三类：知识（只有自己知道的东西）、持有物（只有自己拥有的东西）、生物特征（自己的身体本身）。双重验证之所以有效，是因为它把其中两种不同类型的证明组合在一起。

密码和密保问题都属于“知识”，所以在一方泄露的情况下，另一方往往也岌岌可危。真正拉开安全差距的，是把密码（知识）与手中的手机（持有物）组合起来。攻击者即使知道你的密码，也拿不到你手里的设备。

各种方式的强度与易用性

同样叫双重验证，不同方式能防护的范围并不一样。差别最大的一点在于“能否抵御钓鱼”。

短信之所以被认为偏弱，是因为存在把你的手机号本身转移到他人SIM卡上的手法。不过，“短信也比什么都没有强得多”同样是事实，这不能成为不设置的理由。能选的话用身份验证器App或更强的方式，不能选的话也先用短信设置上。

先从哪些服务开始设置

想一口气全部设置好，往往做到一半就没劲了。按照“被盗后损失会扩散到多大范围”来排优先顺序，就能用更少的工夫保护更大的范围。

最容易被忽视的是第一行的邮箱。大多数服务都可以通过“忘记密码”用邮件重置密码，所以如果只加固其他服务而不保护邮箱，后门依然是开着的。比较现实的做法是，第一周先把邮箱、设备账号、与钱相关的服务这三类搞定。

为换手机·丢手机做好准备，避免被锁在外面

双重验证最常见的麻烦不是被攻击，而是把自己锁在了账号外面。换了新手机后发现身份验证器App里空空如也，就是典型的例子。请在设置完成后立刻做好下面三件事。

1. 1

   ①保存备用验证码

   开启双重验证时，会显示10个左右的一次性验证码。这是最后的退路。把它们打印出来保管，或者保存在密码管理App的备注里。只把截图留在手机相册里是不够的，因为丢了手机就会一起丢掉。

2. 2

   ②登记两种以上的备用方式

   除了身份验证器App，再登记另一台设备或短信。只有一条途径的状态，就等于失去这条途径的瞬间也失去了账号。

3. 3

   ③趁旧手机还能用时完成迁移

   很多身份验证器App都有账号同步或迁移功能。请在旧手机恢复出厂设置或交还之前完成迁移。忘了迁移就把旧手机处理掉，是最难恢复的情况。

双重验证也防不住的情况

双重验证并不是万能的。了解它能防住和防不住的攻击，就能看清还需要加固哪些地方。

• 能防住：利用从别处泄露的账号和密码组合反复尝试的攻击（撞库攻击）
• 能防住：通过穷举猜测密码的暴力破解
• 难以防住：在假冒网站上让你同时输入密码和验证码，再当场转发到真网站的手法（通行密钥或安全密钥可以防住）
• 防不住：设备本身被控制，已登录的会话被人操作
• 防不住：本人把验证码告诉了冒充客服的人

对第三条假冒网站手法在结构上有很强防御力的，是通行密钥和安全密钥。它们会在机制上确认“这是对哪个网站的验证”，因此在域名不同的假冒网站上，验证本身就无法成立。只要服务支持，就值得优先开启。

而一切的基础，仍然是密码。只要每个服务都使用不同的随机字符串，一处泄露就不会波及其他地方。用密码生成工具可以指定长度和字符类型，立即生成密码，而且全部在浏览器内完成。在为某个服务设置双重验证时，顺便把它的密码也重新生成一下，最省事。

常见问题

两步验证和双因素认证是一回事吗？

严格来说，双因素认证是使用“知识、持有物、生物特征中类型不同的两种”，而两步验证只是指“分两次确认”。密码和密保问题都属于知识，所以虽然是两步，但并不是双因素。日常中两者几乎同义，但在选择方式时，留意组合的两种证明类型是否不同会更安全。

身份验证器App用哪个好？

显示6位验证码的机制（TOTP）是通用标准，所以在哪个App里用法都一样。选择的标准是换手机时是否支持迁移和备份。如果App没有迁移方式，丢失设备后就只能靠备用验证码来恢复。

手机丢了会无法登录吗？

只要保管了备用验证码，就可以用它登录。没有保管的话，就只能通过服务方的身份核验流程来恢复，可能需要好几天，也可能无法恢复。正因如此，开启后立即保存备用验证码非常重要。

每次都要输入验证码很麻烦，可以省略吗？

很多服务都有“信任此设备”的设置，在自己专用的设备上可以在一段时间内免输验证码。在公用电脑或网吧里千万不要开启。转让或处理设备时，也别忘了解除这个设置。