在最近的Mat Honan 故事之后，我决定在我的 Google 帐户上尝试两因素身份验证。但为了继续在 Exchange、Android 操作系统、Google Talk 和 Google Chrome 中使用它，您必须创建应用程序专用密码。
程序概要
让我弄清楚一些事情。我是否正确理解应用程序专用密码的安全含义？
假设我想继续使用 IMAP 访问等功能（这将迫使我至少设置一个应用专用密码），那么使用双因素身份验证会更好还是更糟？
你写道（强调我的）：
应用程序特定密码的数量越多，暴力攻击成功的机会就越高。
这些密码具有固定长度并且不包含数字或符号，这使得它们比包含字母、数字和符号的未知长度的密码更容易受到暴力攻击。
简短的回答：没有任何实际的方式。
长答案：
算一算：16 个小写字母允许 26^16 个不同的密码，即超过 10^22 = 10 × 1000^7 = 10 个可能的密码。
如果密码是以相同的概率随机选择的（我们没有理由相信不是这样），那么通过暴力破解密码的几率可以忽略不计，即使 Google 没有注意到攻击并且没有采取任何反措施.
即使一个 Google 帐户有 100 个应用程序专用密码，也没有人会尝试这种攻击。暴力攻击的“敏感性”为零。
在许多智能手机上，键入仅由小写字母组成的密码比输入字母和数字或混合大小写字母的组合（对于相同数量的可能密码）要容易得多。
你还写道：
当应用程序特定密码突然在预期环境之外使用时（例如，即使设置为 Chrome 同步访问电子邮件），Google 不会自动禁用应用程序专用密码。
这是这里唯一真正的安全问题。
应用程序专用密码不能更改安全设置，只能访问电子邮件和聊天。所以你可以让你的隐私受到损害，但你的帐户不能被劫持。
当您尝试使用应用程序特定密码登录更改帐户设置时，会发生以下情况：
首先，两因素身份验证清楚地保护您的主电子邮件帐户免受恶意攻击。如果不访问您的手机，攻击者无法直接访问您的电子邮件帐户。
这比不启用两因素身份验证要好，因为增加了一层保护。
应用程序专用密码的作用是与您的电子邮件帐户明确区分。它为应用程序提供了一种方法来访问您帐户中的信息，而无需泄露您的电子邮件密码。
从图片中可以看出，您可以监控应用专用密码的活动。如果有任何异常，您可以撤销对密码的访问。
暴力破解密码可能是可能的，但它比暴力破解您的主帐户密码的影响要小。损害控制更容易实施，因为您可以在需要时撤销密码。
启用 Google 的双重身份验证没有任何缺点，除了在需要时必须使用手机或生成新的应用专用密码会带来轻微的不便。