如果二步验证或点对点加密通讯软件注册登陆依赖于手机（短信、电话），那么安全性不就受限于移动电话运营商的安全性？

但是在我的感觉中，移动电话运营商是非常不可信，易遭到攻击，以及受国家控制的。

taresky

2017-01-26 02:44:45 +08:00

那以什么为身份校验好呢？

绑定银行卡？还是手持身份证？

crab

2017-01-26 03:14:31 +08:00

@taresky 以后键盘要是标配上指纹，那密码都可以用指纹了。

pimin

2017-01-26 04:05:56 +08:00

@crab
要经过网络传输的指纹识别，还不如密码，密码出现风险你可以更换，指纹只能剁手了。

CodeingBoy

2017-01-26 04:06:04 +08:00

楼主是指登陆时候的短信可能会被截获？二部验证可以不需要短信，直接扫码就好了啊

RqPS6rhmP3Nyn3Tm

2017-01-26 04:26:16 +08:00

你说的很对。我记得 telegram 在伊朗就是这么被“盗号”的
所以我认为最好的解决方案是 FIDO U2F ，但是对移动设备支持很差，并且易丢失
希望以后都能抛弃账号密码，都用证书登陆

ghostheaven

2017-01-26 05:07:54 +08:00

@pimin 跟网络传输有啥关系，可以加密的好不好，你没用过网银么？

lydasia

2017-01-26 05:13:46 +08:00

@ghostheaven 三楼说得对啊，你仔细想想。

ZE3kr

2017-01-26 07:57:08 +08:00

一般验证码不都是一次性，而且短有效期的么。而且包括邮箱验证也受限于邮箱的提供商的。

JJaicmkmy

2017-01-26 08:34:58 +08:00

@BXIA telegram 在伊朗会被盗号？天，我的 Telegram 还是绑的伊朗的手机号。

rogwan

2017-01-26 08:51:43 +08:00

两步验证，不是还有离线验证码？不需要依赖手机和网络。

sutking

2017-01-26 08:53:05 +08:00

所以我觉得 1password 的动态密码特别棒

athanos

2017-01-26 09:41:25 +08:00

@JJaicmkmy 伊朗手机号哪里来的？

misaka19000

2017-01-26 10:00:32 +08:00

实际上服务商相当于把风险转移给了移动运营商，这样即使出了问题他们也不必背锅

JJaicmkmy

2017-01-26 10:12:06 +08:00

@athanos 我在伊朗住了一年，这个月刚回国。

nodin

2017-01-26 10:44:09 +08:00

基于时间和地点验证如何呢？

xiadong1994

2017-01-26 15:19:21 +08:00

二次验证也从来不是说为了绝对安全，只是为了更安全而已。

slrey

2017-01-26 15:47:30 +08:00

话说前两天注册 signal 居然是用了一个浙 130 江手机号给我发的验证码

honeycomb

2017-01-26 18:20:55 +08:00

你说的没错。

前几天有一个新闻， Google 声称它认为两步验证中， U 盾(通用的 fido usb key)比短信更靠谱。

另外，新版 play service 已经出现了可以通过 nfc/蓝牙使用 fido key 的端倪

honeycomb

2017-01-26 18:21:53 +08:00

@BXIA 关注一下前两天 Android police 的一条新闻

YingJie

2017-01-26 22:05:39 +08:00

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/336962

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.