Step Two

[Livid]

一个支持用 iCloud 同步的两步验证器，有 iOS / watchOS / macOS 版本：

https://steptwo.app/

[no1xsyzy]

2FA 忌多端同步、忌全量备份，不然根本不是第二“因素”
准确地说这在保密措施上叫做第二信道，只不过采用基于时间这一公开共识达成这个第二信道。
希望高可用的，可使用一个备份机器，将两个 2FA 分别加入账户，遇到遗失把前一个删除即可。

[Exin]

@no1xsyzy 我一直怀疑 MFA 的软件使用云同步是不是一个不安全的方式，但看到每次出现这样的软件大多数人又非常拥趸，很迷惑

[no1xsyzy]

@Exin #22 不必迷惑，大多数人对安全是没有敏感度的。
听说 MFA 有用，就都做上 MFA，结果又不方便，就再做个漏洞破坏掉这一安全性。
这种事也不是第一次出现了，也不会是最后一次出现。

为可能会有人需要，我给个 reference 吧
https://pages.nist.gov/800-63-3/sp800-63b.html#multifactorOTP
> OTP authenticators — particularly software-based OTP generators — SHOULD discourage and SHALL NOT facilitate the cloning of the secret key onto multiple devices.

[no1xsyzy]

@hvboekml #3 说起来，突然想到，其实做成微信小程序的实质是，它从 OTP 变成了 OOB （ Out-of-band ）……
手机没网就 GG，这确实是 OOB，而不是 OTP，实质上和短信验证码一样。

[hvboekml]

@no1xsyzy 都算是 OOBA 吧，没网确实 GG，哈哈