安全观察：如何避免被双重身份验证锁定？ 最大涡

安全工具通常会产生一定程度的焦虑。 如果我忘记密码怎么办？ 还是我的防病毒软件删除了我的东西？ 两因素身份验证的出现为熟悉的焦虑症带来了新的转折：如果我不能使用第二因素并被锁定在帐户之外，该怎么办？

来自开普敦的杰里米（Jeremy）在写2FA时有些担心。 为了简洁起见，我已经编辑了他的信。

亲爱的先生，

我不太技术，并且想要一种两因素身份验证设备，该设备在设置或访问Yubikey时不会遇到棘手的复杂问题。 我最大的恐惧是将自己拒之门外。

买两把钥匙作为后备钥匙更好吗？

真诚的

杰里米

如果您没有听说过两因素身份验证或2FA，请按照以下要点进行操作：2FA是您输入密码验证身份后采取的第二项措施。 这个想法是，攻击者可能拥有您的密码，但他们没有您的安全密钥，身份验证器应用程序或SMS代码。 我不会在这里介绍2FA的全部理论和实践，但是我鼓励您尽可能地启用2FA。

杰里米（Jeremy）在2FA方面表现出色。 我认识的许多精通技术和安全意识的人继续避开两因素保护，因为他们害怕被锁定，甚至永远失去对自己东西的访问权限。 这是一个真实而有效的担忧。

读者，它发生在我身上

实际上，我之前一直被2FA保护的帐户拒之门外。 不止一次。 过去，暴雪是最早提供两因素身份验证的公司之一。 魔兽世界玩家首先需要访问，因为他们需要保护自己来之不易的战利品。 您可能会想起人们使用WoW钥匙串走动的情况，这些钥匙串在LCD上显示变化的数字。 暴雪随后将体验改进为移动应用程序，并向所有Battle.net用户推出了2FA。

作为我的偏执狂，我使用特殊的Blizzard Authenticator应用程序在自己的Blizzard帐户上启用了2FA。 我立即忘记了这样做，在随后的几个月中，从手机中删除了该应用程序并忘记了密码。 幸运的是，暴雪拥有出色的客户服务。 几天后，他们的职员们给我发了几封电子邮件，使我回到了网上。 但是，那仍然令人不安。 我已经习惯了能够处理自己的密码重置，并且在该过程中不得不与实际的活人互动的想法感到非常奇怪。

从那以后，我已经习惯了这种体验，并且学会了保持身份验证器安全的智慧。 我仍然设法反复地被拒之于Battle.net以及Steam和其他服务之外。

根据公司配置2FA产品的方式，您可能会发现自己不得不向后弯腰才能控制您的帐户。 听起来很烦人，实际上意味着该服务正在运行。 如果没有身份验证器，则 应该 跳过很多圈。 如果对您来说容易，那么对一个坏家伙来说也很容易。

乘以你的因素

幸运的是，有一种简单的方法可以防止被2FA锁定：使用多个2FA选项。 如果您无权访问其他2FA选项，则可以将其用作备份。 例如，我在我的Google帐户中使用了YubiKey 5 NFC，但是我还启用了在手机上点击验证推送通知的功能。 如果我没有Yubikey，请改用它。

添加更多的多因素设备确实会增加帐户被盗用的风险。 现在，有两种进入帐户的方法，而不仅仅是一种。 我相信，没有被锁在帐户之外的好处，远远超过了极不可能的情况，在这种情况下，您会被抢劫，而犯罪分子会拿走您的钱包，钥匙和安全钥匙，并且还会写出密码。

Google Titan安全密钥捆绑包。

使用多于一个2FA设备的最佳代言来自Google，Google在其Titan Key捆绑包中提供了两个密钥。 它们是专门为与Google的高级保护系统配合使用而创建的，该系统需要您注册两个单独的安全密钥。 您每天使用一次，而另一些则用于紧急情况。 因此，直接回答杰里米（Jeremy）的问题：为您的帐户准备两个密钥并不是一个坏主意。

不幸的是，并非所有站点都允许您注册多个选项。 如果是这种情况，我建议您使用您认为最可靠的2FA选项。

建立您的身份验证器库

如果您选择购买多个2FA硬件密钥，我建议使用Yubico的“编辑选择安全密钥”或Google提供的Titan捆绑锁。 Yubico的安全密钥每个仅售20美元，而两个仅售36美元。 Google的套装价格为50美元，包括两台设备：一个USB密钥和一个电池供电的蓝牙加密狗。

Yubico的安全密钥

多年来，使用2FA的最常见方法是通过短信将一次性代码发送到手机。 您可能仍然需要与银行一起使用此功能，因为金融机构采用新技术的速度往往较慢。 有趣的是，如果您想使用任何其他2FA系统，Google仍然要求您启用SMS代码。 杰里米（Jeremy）的问题是，这意味着当您要向Google注册新的安全密钥时，您已经必须启用第二个2FA选项（以SMS代码的形式）。

另一种选择是使用Google Authenticator或类似的应用程序，例如LastPass Authenticator。 这些移动应用程序每30秒生成六位数的密码。 只需打开应用程序，复制代码，即可使用。作为备用2FA选项，这些功能特别方便，因为即使没有蜂窝服务或Wi-Fi，该应用程序也可以正常工作。

如果所有这些看起来令人担忧，您可以使用我的首选方法：物理备份代码。 在创建帐户或注册2FA时，您可能已经看到了这些内容。 它是由几个数字组成的网格，您可以用来代替密码和2FA令牌。 它们仅生成一次，如果重新生成它们，则旧的将被丢弃。 理想情况下，将这些文件保存在加密的文件库中，或者最好将其保存在安全地方的一张纸上。

在创建高级保护程序时，Google选择了多个硬件密钥，因为我上面列出的所有其他选项（包括备份代码）都可能会被精心制作的网络钓鱼页面捕获。 欺骗安全密钥 要 困难得多。

• 两要素身份验证：谁拥有它以及如何设置两要素身份验证：谁拥有它以及如何设置
• 为什么不使用两因素身份验证？ 为什么不使用两因素身份验证？
• Google：可以击败两个因素的网络钓鱼攻击正在上升Google：可击败两个因素的网络钓鱼攻击正在上升

请记住，并非所有站点都支持每种身份验证器。 例如，LastPass允许您使用安全密钥，但只能使用支持一次性密码的密钥。 找出要使用的验证者通常取决于所支持的选项。

两要素身份验证的第一步

也就是说，我建议任何不熟悉2FA的人都首先使用安全密钥以外的系统进行尝试。 如果您不习惯于使用第二件事进行登录，那么您很可能会弄乱诸如安全密钥之类的东西。 相反，请尝试使用推送通知，通过短信，Duo或Google Authenticator发送的代码（或类似的代码生成器）。 这些使用您已经拥有的设备，因此无需付费。 一旦您熟悉了2FA的工作原理，并且开始感觉像是第二本性，就可以考虑花钱购买安全密钥了。

安全功能只有在您实际使用时才有价值。 因此，请启用2FA，但要允许您自己使用它，并找到适合您的方法。