回答： 当一种形式的身份验证不够用或者需要增加一层安全性时，两因素身份验证是值得的。

两个因素的一个例子以及我们为什么需要它 例如（一个经过验证的真实的），一台 ATM 机。如果有人刷你的钱包，那么如果 ATM 机不需要密码，他们就可以用你的银行账户进城。如果有人通过某种被动攻击找出了您的密码，那么他们仍然会被迫以某种方式获得您的卡。您所拥有的通常称为令牌。

获得两个因素正确的细节 需要注意的重要一点是，2 因素身份验证需要不同类型的身份验证。在我的示例中，您的 ATM 卡是您拥有的东西，而您的密码是您知道的东西。另请注意，在 pin 尝试上设置了一个节流阀。n在被锁定之前，您只能尝试输入正确的密码次数。

更多详细信息 我认为在您的电子邮件帐户上进行双重身份验证是完全值得的。双重身份验证使某人很难在不窃取您的令牌的情况下猜测您的密码。它当然不会受到伤害，它实际上已经变得相当方便。Facebook/Google 都可以向您发送密码。我认为这非常方便（只要你不将你的谷歌账户 2factor 电话号码注册到你的谷歌语音账户......）。密码身份验证还不够的原因是人们管理和创建密码的所有不良做法。如果时间粗心，弱密码和以明文形式存储的密码（如 Firefox）很容易让自己陷入糟糕的境地。

你什么时候应该使用它。 就像生活中的许多事情一样，这只是一种权衡。如果您认为您重视增加的安全性而不是需要进行两次身份验证的负担，那么您绝对应该使用 2fac。在您的个人电子邮件中？大概。在您不关心的垃圾电子邮件或论坛帐户上，可能不会。真的就是这么简单。

你问了一个有趣的问题。

“......我什么时候知道两因素身份验证已适合我的“常规”生活？一种身份验证形式何时变得不足/何时需要添加额外的安全层？“

我的回答是……这取决于你有多偏执。如果你和我一样，你会在任何地方使用两个因素。从字面上看，无论我是否要拥有 PII 信息、私人文件、我的家庭照片的备份，甚至是公开可用的信息，在任何可用的地方都无关紧要。

现在我所有的云存储解决方案都有它；如果云存储解决方案没有 2 因素，我不会使用它。此外，我所有的电子邮件帐户、所有社交媒体网站以及我的网站托管公司都有它。如果我的银行可以选择使用软 TOTP 代币，我也会在那里使用它，但遗憾的是，它还没有从欧洲跨越大洋。

我的建议是，至少，当你不希望你保护的任何东西（存储、访问某些东西等）落入具有邪恶意图的黑客手中时，你应该实施多因素身份验证。

然而，一个建议是确保您了解您使用的产品的政策 2 因素，并在出现问题时制定备份策略。您可能会丢失或损坏您的令牌（如果它是像遥控钥匙这样的硬令牌），或者您的软令牌可能无法正常工作（您丢失/损坏了拥有它的手机，您的计算机会感染病毒， 等等）。

我推荐谷歌身份验证器。我查看了他们的文档和 RFC，发现它是一个强大、可靠且安全的多因素身份验证解决方案。如果您没有智能手机，也可以使用 SMS MFA。

https://code.google.com/p/google-authenticator/

如果您阅读 Verizon DBIR，您会发现绝大多数攻击使用丢失、被盗或容易猜到的凭据。http://www.verizonenterprise.com/DBIR/2014/。这一数字一直保持在 75% 左右。如果您正在谈论保护系统，那么几乎没有其他事情可以迫使攻击者比 2FA 更加努力地工作。