2FA:存储备份代码和密钥之间的区别

信息安全 多因素
2021-09-05 10:20:53

首先,讨论中的密钥被定义为当您在 2FA 设置过程中无法扫描二维码时,您可以手动将代码输入到生成 TOTP 的设备/应用程序中。

有些服务提供一次性使用的备用代码进行双重身份验证,以防您丢失代码生成设备,但有些服务不提供备用代码。对于那些不提供备份代码的服务,我倾向于存储他们的密钥。

我的问题是,以与存储备份代码相同的方式存储这些密钥是否安全?有什么不同吗?

我相信屏幕上显示的供用户手动输入的密钥已经包含在二维码中,它可以用于输入任何 2FA 应用程序,让不同的应用程序在不同的设备上生成相同的 TOTP 码。如果我对此有误,请纠正我。

1个回答

是的,任何拥有密钥的人都可以使用它为您的帐户生成一次性密码。应该以与没有 2FA 的站点的密码相同的方式对待它。它更安全,主要是因为用户无法选择它,因此不能使用弱密码或他们在其他网站上使用过的密码。

特别是,我建议不要将 2FA 密钥存储在与存储密码相同的位置。如果你这样做了,那么任何妥协该商店的人都会得到这两个因素。如果您对密码使用密码管理器,请为您的 2FA 代码使用不同的程序。