如今的手机短信验证是不是泛滥了？

[Chan6]

什么都用短信验证，没有用户名、密码也可以完成登陆。

为什么国内没有开放的二次验证 APP 大量应用？尤其是银行，sim 卡劫持在技术上是没有太高难度的，换号光是跑银行柜台就能搞死人，极为不便。国外如 Google 家的二次验证工具就支持很多社交工具和各种服务。

[wplct]

国家规定啊，没办法啊

[mason961125]

讲个笑话，国内普通用户会用 Google。

[orangeade]

@mason961125 不了解技术就乱喷可不是好习惯，Google 采用的两步验证是开放协议，有开源实现，国外的 github, 微软等都支持，国内一些安全令牌类的应用也支持这个协议

[tyfulcrum]

有些银行会用密码器，相当于硬件版的二次验证应用。
互联网企业恐怕更倾向于给你手机上再安个应用而不是用现成的验证应用，BAT 三家的两步验证器都是如此。

[lmmortal]

@orangeade 技术是开放的不假 但我在安卓上就找不到不需要 play 就可以用的两步验证客户端

[ouqihang]

谁家都弄一个二次验证，装一个 app，好了又会有人抱怨想在网页上登个录都要装 app，现在谁家都弄个扫码登录作为优先登录方式已经不方便。有通用验证协议有咋样，但你认为他们会采用？魔改一下通用协议自家登录器只对应自家服务。

[Sylv]

实名制要求的。

[Chan6]

@tyfulcrum 多年以前用过工行的密码器，那真是难用到泪奔，即使服务稍好的招行也只支持 Windows 系统。BAT 三家私心太重。
@mason961125 我没有说一定是 Google，而是支持开放协议的，多种服务都可以使用，例如 Google 家的验证器。
@wplct 可能是因为更方便定位追踪到个人。

[ouqihang]

现在的问题是手机短信的权限太大了，已经有取代密码的趋势，把什么都绑死在手机号码上，如果号码丢失，就寸步难行。

[yingfengi]

因为简单粗暴，只要和一台短信猫对接就能做认证了

[ctsed]

我以为你说 v2

[TimePPT]

抛开别的不说，银行强制走国密标准的，你让用 Google 开源协议不现实

[g531956119]

@lmmortal 微软家的验证器应用被你吃了吗…

[Zeonjl]

手机实名的，你懂

[lmmortal]

@g531956119 你下载一个试试看要不要 play 服务…

[honeycomb]

@Chan6 开放协议就是 totp，u2f 那一套。
但这些东西在国内不流行。

内地除了网易邮箱，阿里云以外还有谁在用 totp ？

[dototototo]

@lmmortal 如果觉得在商店里的缺了 Play 服务的不行： https://staging.f-droid.org/search?q=totp&lang=en

[tetsai]

我觉得应该有一个国家级网站，搞一个身份验证接口，直接对接公安的那种，假如有企业需要就跳 api，api 用他的方式验证我是本人，然后吧一个统一识别码给企业，或者企业给用户申请真实信息，但是申请一定是要可以拒绝的，不是拒绝就连启动都不能启动的（微信傻逼玩意儿我说的就是你）

[nciyuan]

@tetsai 参考一下目前市面上的身份证 api，调用一次就几块钱......别的 api 都是调用 1 千次 /1 万次多少钱

[caomu]

其实国内几家大站都有推自己的二次认证 app，就是都不兼容，一个站要下一个，我还是选择短信好了。。。

[laydown]

@tetsai telegram 正在弄什么护照功能，看起来可能和你说的差不多，但国内是无望了。

[imn1]

authy 一定要用 play 服务么？一直用带 play 手机，不知道啊
authy 可以在桌面系统+chrome 使用

国内不是没有，微博有个什么盾，网易有个将军令，但有什么实际作用不知道

[imn1]

另外那些扫码验证也相当于安全验证，跟 twitter 的 app 验证类似
原理就是在可信设备发出一个许可，只是如#20 所说，这种方式每家都要装个 APP，很烦

[silencefent]

@tetsai 涉嫌行政垄断

[SPACELAN]

我用的是 lastpass 的两步验证工具，也是兼容的

[formose]

国外 google authenticator 二步验证流行，国内手机号码短信验证泛滥成灾，哪种比较容易受攻击不用多说了吧？
实名制的天朝怎么会愿意让你随便脱离手机号码这一绝佳~~~

[sephinh]

@Chan6 #8 Android 都能魔改成安卓，还有啥规范是不敢破的

[omowyh]

tg 要实名，商家只是想要你的手机号，安全？你想多了。

[lmmortal]

@dototototo 很棒 谢谢你专门抽时间放了个链接😄

[gary36]

现在短信也只有收验证码的功能了，其他全是广告

[LukeChien]

DNSPod 创始人吴洪生的项目:洋葱，国产的兼容 Google 验证器，已经倒闭了

[icylogic]

国外的服务我基本都选择开 authy 2fa。其实国内是走了另一个方向，第三方登录，也就是微信登录，或者是扫码登录。

[crab]

@formose 大部分有两部验证的都支持手机短信重置

[shiina]

@tyfulcrum #4 太真实了，国内的主流是单独搞出一个认证 APP 来，然后这个认证 APP 里面又能塞好多东西

[artoostark]

@tetsai CTID 网证了解一下。

[yksoft1]

等将来电信的纯 VoLTE 可用了（ 4G only ），拿个专用机装上，就基本不用担心短信被空中窃听的问题了。

[koalli]

除了短信好像没有别的特别可靠能拿来当作身份识别的东西。Google 的二次验证方式，不说国家能不能让这些银行去接入 Google 的东西，就是银行这种对数据比较敏感的机构也不可能敢把自己的业务去跟一个别家的工具来绑定啊。支付宝微信支付一类的天生跟银行就是对立关系的，银行也不大可能去接入这两家的业务。未来如果真的有可能的话，我觉得只能是国家这一级别的机构也好公司也好，出一个验证的方式然后让这些公司强制执行来接入这个东西。当然执行的难度有多大是另外一件事了，而且现有的这种二次验证机制实际上还是不够安全。

[liaoyaoheng]

升级 3，4G，禁用 2G 网络，即可解决短信中间人攻击

[whattheh3ll]

@koalli #37 Google 的验证器根本不用接入 Google，就是一个离线的验证方式而已。只要银行（或者网站）实现了这种协议，用户想用 Google 还是微软、Authy，还是自己弄一个验证器都是一样的。

[NSAtools]

以前收件箱里面都存满了浪漫的回忆
现在收件箱里面堆满了各种验证码

[input2output]

google authenticator 二步验证, 一般我都是导到 Authy 里面, 一样的用

[sampeng]

恼火的真的不是安全性。还是注册任何地方的会员，我都要多一个收垃圾短信 /电话的机会。真的感觉是集齐 10 个会员，送一个免费垃圾短息啊。。。

[koalli]

@whattheh3ll 从你使用这几个 App 绑定你的账号的时候，就无可避免的泄露了你的数据。你当 Google，微软做慈善给我们维护这几个 App ？你当隐私政策写着玩的？

[whattheh3ll]

@koalli #43 我并没有说一定要用他们的，只是基于自己是不是信任去选择。银行也可以联合开发一个（上个回复的最后一段）。

我的原意只是这种东西是通用的，并不需要去接入谁。