换手机/手机丢失后的两步验证

Image Credit: Pixabay.com

两步验证 (Two Factor Authentication) 用于加强程序验证的安全性。即使你的密码被别人破解，那么没有手机，你的帐号还是安全的。启用两步验证需要绑定手机。在第一次启用时候服务器会产生一个密钥，用户通过扫描二维码把密钥保存到手机中，如果更换手机，则需要重新添加密钥。

服务器和手机都保存同一密钥，这么一来，在输入密码需要两步验证时，用户需要输入验证程序中(例如 Google Authenticator)给定的6位数字。

大概原理就是:

6位验证码= HASH(密钥+ 当前时间戳/30秒)

6位验证码默认30秒内有效。服务器只需要验证生成的6位验证码30秒内是否一样就知道手机是否存有同样的密钥。如果每次都要通过手机上两步验证来输入6位验证码挺麻烦的，所以网站一般都会提供 “请记住我30天” 或者 “两周内不用重新登陆” 这样的字样，但关键重要的交易还是需要两步验证。

两步验证大大提高了安全性，而且也较为方便。因为现在用户几乎是手机不离身（而不像U盾经常会不知道放在哪里）。两步验证较手机短信验证安全因为现在技术已经可以很容易克隆SIM卡甚至伪造短信。

前几天，媳妇送我 iphone 8，我一高兴，把原先的 iphone se 给清空数据了，打算放EBAY上卖些零花钱。结果后来才想起来我很多应用都开启了两步验证，这下麻烦了：

Vultr, CloudFlare 都需要在邮件里提供一些帐号信息确保是你客户才帮我解除两步验证。
Linode 因为当时还是在“30天内免登陆”的状态，很神奇登陆状态就可以解除两步验证。
Google 需要通过手机短信确认才解除两步验证。
Namesilo 需要在线回答几个问题就可以解除两步验证。
Localbitcoins 申请解绑后有一个两周的 cooling period，两周后才可自动解绑。
Coinbase 最变态，原来的帐号彻底不能用，客服让我申请一新帐号后添加同样的信用卡然后人工把旧帐号的余额转到新帐号上。

为了避免不必要的麻烦，一些应用还提供了一次性的备份码，用于手机丢失后可以紧急恢复帐号。如果换手机，最靠谱的方法需要登陆应用，先解绑两步验证（旧手机验证），然后再用新手机启用两步验证。

@justyy 是有名的晒媳妇博主，也是西半球最装X装土豪 (https://justyy.com) 的博主。@justyy 定居英国，一妻两娃，在STEEMIT上开办了历史上中文第一家银行，史称 YY央行，每日赔钱吆喝。
@justyy 在 @tumutanzi 大哥的介绍下加入 STEEMIT，写些帖子挣些小钱养家糊口。
@justyy 凡事喜欢折腾，现在在一家英国软件公司里当码农，好听一点叫作算法攻城狮。 @justyy 喜欢结交天下好友，一起YY。

@justyy 也是CN 区的点赞机器人，对优质内容点赞，只要代理给 @justyy 每天收利息（年化率10%）并能获得一次至少2倍(VP 200%+)的点赞，大鱼 @htliao 都加入了这个计划(530 SP)表示支持。

AD 一波，听说最近 STEEM没有SBD值钱，那赶紧加入 CN区低保银行，成为股东，好处多多，每天收获点赞并且能获得10%的利息（发放SBD），今日股东列表