两步验证

概要

两步验证（Two-Factor Authentication，2FA）是登录时不只要求密码，还额外要求另一个认证要素的安全措施。在“知道的东西（密码）”之外，再组合“持有的东西（智能手机）”或“自身的特征（指纹）”，从而接近这样一种状态：仅仅密码泄露，第三方也无法登录。

主要的认证方式

两步验证有几种方式。短信认证是输入发到所登记电话号码上的 6 位验证码的方式。不过，它有被 SIM 卡交换攻击（骗过运营商让其补办 SIM 卡的手法）突破的风险。

认证应用（Google Authenticator、Authy 等）是生成每 30 秒变化一次的一次性密码的方式，不容易受前面提到的 SIM 卡交换的影响。FIDO2 和 WebAuthn 是使用公钥加密，用保存在设备或安全密钥（YubiKey 等）内部的私钥进行认证的方式。指纹认证和面部认证，用于使用这把私钥时的本人确认。由于认证与域名绑定，被认为能有效抵御网络钓鱼。通行密钥（Passkey）以这项技术为基础，由 Apple、Google、Microsoft 推动。

为什么需要两步验证

只靠密码的认证之所以危险，有 3 个理由。第一，有时会在多个服务中重复使用同一个密码。一旦某个服务泄露了密码，使用同一密码的其他服务也可能被接连突破。第二，有把密码输入到钓鱼网站的风险。第三，简单的密码容易被暴力破解攻击破解。

启用两步验证后，即使密码泄露，只要攻击者没有另一个认证要素（智能手机或指纹），就无法登录。两步验证并不能防住所有的攻击，但与只用密码相比，突破所需的工夫会增加。

社交媒体账号与两步验证

运营提问箱的社交媒体账号，一定要设置两步验证。如果提问箱的箱主账号被盗，过去的问答可能全部被篡改或删除。与粉丝之间的信任关系也会受到影响。

X、Instagram、TikTok 等主要社交媒体大多支持两步验证（截至 2026 年 8 月）。可以在各社交媒体的安全设置页面进行设置。推荐选择认证应用的方式，并把备用码保存在安全的地方。如果丢失了智能手机又没有备用码，就会无法访问账号，所以这个步骤不要省略。