我一直在尝试Authy，这是一种 Google Authenticator 替代品，具有能够备份您的令牌的可选功能。它们有两种类型的令牌：Authy 生成的令牌和您通过扫描 QR 码添加的常规 OTP 令牌（就像您在 Google Authenticator 中一样）。

如果我理解正确，您的标准 OTP 令牌的备份在上传到 Authy 之前会使用密码进行加密。您的备份密码不会发送到他们的服务器，他们只是为您存储一个加密的数据块。到目前为止听起来不错。

但是，在新设备上设置 Authy 时，我注意到 Authy 生成的令牌似乎并没有从相同级别的安全性中受益。当您在新计算机上设置 Authy 时，您可以通过 SMS 验证访问您的帐户（他们批评为不安全）。输入 SMS 密码将使您登录并让您立即访问 Authy 生成的令牌（假设您已启用多设备支持）。Authenticator 令牌此时仍处于加密状态，如果您输入备份密码，它们可以被解密。

这对安全有什么影响？基于 SMS 的登录过程不会使 Authy 生成的令牌很容易被捕获吗？