我已经为 OTP 令牌使用了一段时间的 authy 移动应用程序，但关闭了备份/同步。我注意到他们有一个桌面应用程序，这在大多数情况下会更方便，但我想知道是否对其实施进行了任何安全研究，以及这是否是一个好主意。
看起来为了使用桌面应用程序，您必须启用 authy 在设备之间的同步。这似乎与密码管理器完全相同——OTP 种子在设备之间同步，使用主密码加密，与我随机生成的 1Password 密码相同。无论如何，我可能会将 authy 主密码存储在 1Password 中，这样我就不必记住新的安全密码。
所以我的问题是，这是否值得使用，或者仅关闭 2FA 是否相同，因为它是大致相同的数据模型，不再是独立的第二因素？
完全披露，我是 Authy 的解决方案架构师，对我们的产品非常熟悉。:)
首先，绝对不要关闭 2FA！您使用 2FA 阻止的真正用例是有人破坏了网站的数据库并使用登录名/密码组合运行。始终使用 2FA！
启用 2FA 后，您还会收到有人正在尝试登录的通知，您随后可以拒绝他们访问。如果您关闭 2FA，您 1) 将不会收到通知，并且 2) 将无法拒绝他们的访问。
关于您对同步的担忧，我向您保证，我们已经考虑了很多此类问题，并拥有可靠的技术解决方案。
首先，同步是可选的（如您所见）。其次，这些设备中的每一个之间的Authy OTP 种子是不同的。这是 Authy Desktop 应用程序和 Authy iPhone 应用程序的并排图像。注意价值观不同！
存储在 Authy 中的 Google Authenticator 种子将是相同的，因为它们只有一个需要存储和共享的种子值。这是 Google Authenticator 方法的一个限制。这些种子值通过您的备份密码加密。
如果您的手机丢失或被盗，您可以通过任何其他设备禁用该设备的访问权限。
有关 Authy 多设备支持的安全性的更多信息，请查看此 Q/A 交换： Authy - 我的备份是否仅由我的密码或 2FA 保护
希望这可以帮助！如果您还有其他问题，请告诉我。
干杯，-乔希@Authy
ps 我也使用 1Password，并使用非常粗糙的密码进行备份和同步。
正如cornelinux 所指出的，这不是真正的第二个因素。
但是，对于大多数人的用例来说，它已经足够接近，并且绝对比仅依靠密码安全得多。
为了首先设置 Authy，您需要通过电话/短信验证的“第二个因素”，这也不是真正的第二个因素。但是，对于大多数用例来说，再次足够接近。
任何访问您的 Authy 密码的攻击者都需要拦截电话/SMS 身份验证，因此我会说它比单独的密码增加了重要的安全性。