两步验证方式对比：短信、身份验证器与通行密钥
两步验证是指登录时，除了密码之外还需要第二种凭证。但“两步验证”并不是单一的方法：短信验证码、身份验证器应用，以及安全密钥或通行密钥，在安全性和便捷性上差异很大。本文将对比各种两步验证方式，并说明每种方式适合哪类账户。
两步验证为什么重要？
密码可能因数据泄露、钓鱼页面或在多个网站重复使用而外泄。第二步验证让仅凭被盗密码就无法打开您的账户。因此，任何两步验证都好过没有。真正的问题不是“要不要开启”，而是“应该选择哪种方式”。
评估一种方式时，请看三点：它抵御冒充和钓鱼的能力如何，日常使用是否方便，以及手机丢失后您如何重新登录账户。
方式一：短信验证码
六位数字验证码会发送到您的手机号码，您再手动输入。这是最容易设置的方式，无需额外应用，大家都能理解它的工作原理。
优点： 设置非常简单，几乎所有服务都支持，无需任何技术知识。
缺点： 安全性取决于谁掌控您的号码。将号码转移到运营商的另一张卡上（SIM 卡互换）、骗取验证码的短信，以及被哄骗把验证码念给别人听，是主要风险。在国外或无信号的地方，您也可能收不到验证码。
短信总比没有好，有时它也是唯一的选择。但对于重要账户，它不应是您的首选。
方式二：身份验证器应用（TOTP）
手机上的应用会生成每 30 秒变化一次的短期验证码。验证码在您的设备上生成，因此不需要短信或网络连接。
优点： 即使您的手机号码被他人接管，验证码也不会发送给攻击者。它可以离线使用，许多服务都支持。
缺点： 如果手机丢失或被重置，验证码也会一并失去，因此备用码或应用的备份功能至关重要。如果您自己把验证码输入到假的登录页面，仍然存在风险，所以它并非完全免疫钓鱼。
对大多数人来说，这是安全性与便捷性之间最好的平衡。
方式三：安全密钥和通行密钥
安全密钥（一种通过 USB 或 NFC 工作的实体设备）与通行密钥（保存在您的手机、电脑或密码管理器中，并通过指纹或人脸解锁的凭证）属于同一类。您无需输入验证码，设备会直接与您正在登录的真实网址通信。
优点： 抗钓鱼能力最强，因为它不会在假网站上生效。无需输入验证码，既快捷又舒适。
缺点： 并非所有服务都支持。如果您丢失了实体密钥，或失去了保存通行密钥的账户访问权限，就需要一份恢复计划。实体密钥需要花钱购买，建议再买一把备用。
对比表
| 方式 | 抗钓鱼能力 | SIM 卡互换风险 | 便捷性 | 设备丢失时 |
|---|---|---|---|---|
| 短信验证码 | 低 | 有 | 非常高 | 取回号码即可恢复 |
| 身份验证器应用 | 中 | 无 | 高 | 需要备用码或应用备份 |
| 安全密钥 | 很高 | 无 | 中高 | 必须准备备用密钥 |
| 通行密钥 | 很高 | 无 | 非常高 | 取决于其同步到的账户 |
以上评级仅反映一般趋势；不同服务的具体实现可能有所不同。
不同账户该用哪种方式？
- 邮箱、银行、加密货币、密码管理器： 如果可以，使用通行密钥或安全密钥；否则使用身份验证器应用。您的邮箱是找回其他所有账户的钥匙，因此它应该是您保护得最好的账户。
- 社交媒体和即时通讯： 身份验证器应用或通行密钥。只有在没有其他选项时才使用短信。
- 购物、订阅、游戏： 身份验证器应用就已足够；如果提供通行密钥，也可以使用。
- 一次性的临时账户： 只要您不在其他地方重复使用同一密码，使用短信也可以接受。
如果某个账户允许您注册多种方式，请将其中一种设为主要方式，另一种作为备用。
虚拟号码与两步验证
用于接收验证码的一次性虚拟号码并不代表永久拥有。这使得该号码不适合作为您账户短信两步验证的基础，因为您以后无法再次使用它。如果您是用虚拟号码开设的账户，请在设置后立即添加身份验证器应用或通行密钥，并设定找回邮箱。
有些平台可能不接受虚拟号码，这时您需要遵守该服务的条款。如果验证码没有收到，请阅读为什么收不到短信验证码。关于当前的服务和国家，请参阅价格页面。
简短设置清单
- 首先在您的邮箱账户上启用最强的验证方式。
- 然后在银行、社交媒体和密码管理器上启用。
- 为每个账户至少注册一种备用方式。
- 将备用码离线保存在安全的地方；不要把截图留在云端。
- 更换手机时，在确认身份验证器应用已转移到新设备之前，不要清除旧手机。
- 不时检查账户设置中的“受信任设备”和“活跃会话”列表。
常见错误
即使是好的验证方式，也可能因为一些习惯而被削弱：
- 没有备用方案： 手机丢失后被永久锁在账户之外，是最常见的问题。
- 把备用码以截图形式保存在云端： 一旦账户被接管，备用码也会一并落入他人手中。
- 把验证码告诉别人： 无论采用哪种方式，把验证码分享出去都会让保护失效。
- 在所有地方使用同一密码： 第二步验证有帮助，但无法取代良好的密码习惯。
- 出于习惯点“同意”批准请求： 对于您并未主动登录时弹出的批准通知，永远不要同意。
常见问题
短信两步验证是否完全不该使用？
不。短信远比没有第二步验证安全得多。在它是唯一选项时开启它，等到有更强的方式可用时再切换。
通行密钥能取代密码吗？
在许多服务上，通行密钥可以让您无需密码即可登录，同时也能充当第二步验证。取决于服务，密码可能仍会与之并存，因此请检查设置。
手机丢失后如何登录账户？
使用您事先保存的备用码、已注册的第二台设备，或备用安全密钥。在设置时准备好这些，是最重要的一步。
身份验证器应用和短信可以同时开启吗？
在大多数服务上可以。但只要短信选项保持开启，攻击者就可能尝试这条路径，因此如果可以，请把短信只作为最后的手段。