觉得 Google Authenticator 的安全性好像有问题，

[nilai]

最近看到了各种手机动态口令，于是研究了下 流程原理都没有问题，最后在安全性上发现了一点不明白的地方：
首先，这玩意的算法公开了。
最后的令牌依靠2个东西 密钥 当前的unix时间

当前的unix时间这个很花获取 （一般允许有几分钟左右的误差）

密钥 的获取 （可通过反编译APK 或者 中间人的办法来得到）
有的APK的会把密钥跟 DeviceId IME等作拼接，但是这也可以通过反编译来得到

然后就觉得这两个可控制的变量都有途径获取到。那它的安全性还有保障吗 求讨论

[aliuwr]

我重复下重点，
1. 物理接触：绝大多数的安全机制是不考虑物理接触的情况，比如短信验证码。
2. 木桶定律：一套安全机制具体有多安全是看最薄弱的环节，比如简单的密码。

[jerryjhou]

@nilai 在手机上安装spy组件，可以直接获取短信验证码。验证器起码还要提取。
这种验证器从一开始就是为了方便用户(短信到达延迟)而设计的，本来就不是为了增加安全性。

[damajia]

Salt+SHA256 楼主破个试试

Time(30秒一变)+secret，同上

[evlos]

@nilai 这里用 https 传输完全不用担心啊。。