为什么我应该使用Google Authenticator应用而非短信?


10

我使用Google的两因素身份验证,因为我知道对我的电子邮件帐户的访问是我所有其他帐户的万能钥匙

而且...这很烦人-我经常交换计算机和其他设备,并使用许多需要访问我的Google帐户的本机应用程序,但是我知道这是保护我的电子邮件的最低要求,因为我和其他人之间唯一要做的事情可能是想重设Netflix密码并播放不良电影,从而破坏我的建议。

获取Google的两因素身份验证所需的登录代码(除了密码)的主要方法是通过可安装在手机上的Google Authenticator应用程序。

但是,如果您尚未安装,未设置,或发生其他问题,则他们会通过SMS向您发送代码,这更多地是一种备份方法。这使我想到了我的问题。假设我对SMS通讯的安全性感到满意:

至少从方便的角度来看,SMS是否不是获取代码的更好方法?

如果我禁用身份验证器(触发SMS代码),则每当我需要一个代码时,它便会立即推送到我的手机上,而无需我执行任何操作,并且会显示在我正在使用的任何屏幕上。我受够了。

随着Authenticator的运行,我必须解锁手机,打开Authenticator,选择正确的代码(我有两个Google帐户),希望代码不会过期(文本发送一个“新鲜”的代码),等等。

我完全理解SMS的保护程度稍差:有人拥有我的手机(可能是我的密码),但无法解锁手机,可以看到SMS通知,但无法打开Authenticator。但这是一个远景。还有一个事实是,诸如iMessage之类的服务会将SMS推送到其他设备,例如Mac,iPad等。但是,再次假设我可以控制自己的SMS访问:

有什么理由要使用Google的应用程序而不是获取文字?

Answers:


9

即使您没有任何类型的网络可用于智能手机,身份验证器也可以工作。

我不了解您的移动服务提供商,但我不相信我的公司可以以任何及时的方式传递SMS消息。

如前所述,除此之外,它更加安全。


Google身份验证器具有直观的倒数计时器,因此您始终知道接下来何时更改代码。选择正确的代码也很容易。我在身份验证器中拥有6个帐户(2个Gmail)
Kevan Sheridan 2014年

这是一个很好的答案-我没想到。假设没有其他事情似乎更相关,明天将接受。出于好奇,您知道没有联系如何做到这一点吗?我认为它只是在应用程序中缓存了一堆代码,因此您有足够的时间来填充一段时间,尽管我猜想它也可以在服务器端复制的某些内容中(可能无限期地)在应用程序中生成它们。
Jaydles 2014年

我对Google的Secret Sauce™没有任何特别的了解。我对其他类似系统的了解是,该算法使用一个共享密钥(为什么需要扫描QR码)以及每60秒生成一个六位数数字的时间。
ale

Google身份验证器只是包装了一个强大的自动生成的密码,并根据时间(四舍五入到接下来的30秒)或一个计数器生成了该密码,而强大的密码则生成了一次性密码。
allo

该算法非常简单,请参见en.wikipedia.org/wiki/…。默认的身份验证器将时间戳替换为计数器,但是您可以选择在大多数身份验证器应用程序中使用计数器,这可以在您的时钟与服务器时钟不同步时提供帮助。
allo

1

SMS是传递OTP的最常用方法。由于几乎每个人都有电话,因此很方便,因此他们可以轻松获得短信。同时,由于存在SMS消息可能被拦截或重定向的风险,SMS被视为获得OTP的最不安全的方法之一。NIST由于存在许多不安全因素,因此不再推荐使用SMS的两因素身份验证系统。他们发布了新的《数字身份准则》,敦促使用其他形式的两因素身份验证。

Google身份验证器将密钥存储在手机的受保护存储区中。如果您的手机未植根,则只有Google Authenticator可以访问它们。它们不能被拦截或检索。因此,Google Authenticator比SMS更安全可靠。

By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.