简而言之
双重认证（2FA）要求您在输入密码后再提供第二种身份证明 [4]。有 2FA 远胜于没有：微软的一项研究发现，它能将账户被盗的风险降低 99.22% [8]。最安全的方式是 FIDO 安全密钥和通行密钥，它们能够抵御网络钓鱼 [1][2]。短信验证码则是最弱的选项 [1]。
要点
- 2FA 也称两步验证（2SV）或多因素认证（MFA），它增加了一道只有您本人才能完成的验证 [4]。
- 微软研究院的一项研究发现，MFA 总体上将账户被盗风险降低了 99.22%，对于凭据已泄露的账户则降低了 98.56% [8]。
- 美国网络安全和基础设施安全局（CISA）对 MFA 由强到弱的排序为：FIDO/WebAuthn 和 PKI，其次是应用验证码或带数字匹配的推送，再次是不带数字匹配的推送，最后是短信或语音验证码 [1]。
- 只有基于 FIDO 的方式（如安全密钥和通行密钥）能够抵御网络钓鱼；身份验证器应用生成的验证码仍可能被钓鱼 [2]。
- 短信验证码可能通过 SIM 卡劫持或 SS7 网络漏洞被窃取 [1]；2021 年，FBI 共收到 1,611 起 SIM 卡劫持投诉，损失超过6800万美元 [6]。
- 请保存备用验证码并设置第二种验证方式，以免手机丢失后无法登录 [4]。
本页内容 12 个部分
什么是双重认证？
双重认证（2FA）是在密码之后增加的第二道验证，用来证明登录的确实是您本人 [4]。英国国家网络安全中心（NCSC）指出，它也被称为两步验证（2SV）或多因素认证（MFA）[4]。第二步使用的是只有您才能接触到的东西，例如您的手机或安全密钥 [4]。
MFA 结合了两种或两种以上不同类型的因素：您知道的东西（密码或 PIN 码）、您拥有的东西（手机或密钥），或您本人的特征（指纹或面容）[1]。即使犯罪分子窃取了您的密码，没有第二个因素也无法登录 [1]。
2FA 真的有效吗？
有效。微软研究院 2023 年对出现可疑活动的 Azure Active Directory 账户进行的一项研究发现，在全部账户中，MFA 将账户被盗的风险降低了 99.22%；对于凭据已经泄露的账户，风险降低了 98.56% [8]。在研究期间，超过 99.99% 启用了 MFA 的账户保持安全 [8]。英国国家网络安全中心表示，任何形式的 2SV 都比没有好，哪怕是短信验证 [4]。
密码攻击的规模说明了其中的原因。微软报告称，2024 年它每秒约观察到 7,000 次密码攻击，是 2023 年的两倍多 [11]。
哪种 2FA 方式最安全？
并非所有 2FA 都同样可靠。美国网络安全机构 CISA 根据抵御常见攻击的能力，将各种方式由强到弱排序如下 [1]：
- 抗钓鱼 MFA：FIDO/WebAuthn（安全密钥和通行密钥）以及基于 PKI 的智能卡。CISA 称之为“黄金标准”[1]。
- 应用验证码或带数字匹配的推送：由身份验证器应用或硬件令牌生成的一次性验证码，或需要您输入登录界面上所显示数字的推送提示 [1]。
- 不带数字匹配的推送：只是简单地询问“是否批准？”，容易遭受推送轰炸 [1]。
- 短信或语音验证码：CISA 表示，这类方式只应作为最后的选择 [1]。
CISA 指出，FIDO/WebAuthn 是目前唯一广泛可用的抗钓鱼身份验证方式 [1]。其 2025 年发布的移动安全指南再次强调：身份验证器应用的验证码优于短信，但仍容易被钓鱼，只有 FIDO 身份验证能够抵御网络钓鱼 [2]。英国国家网络安全中心在 2026 年 4 月得出了同样的结论：它评估认为，所有传统 MFA 方式，包括短信验证码、电子邮件验证码、应用验证码和推送批准，本质上都可能被钓鱼 [5]。
什么样的方式才算抗钓鱼？
美国国家标准与技术研究院（NIST）将抗钓鱼能力定义为：登录协议在不依赖用户警惕性的前提下，阻止秘密信息泄露给冒充网站的能力 [3]。凡是需要您读取验证码再手动输入的方式都不符合这一标准，因为您可能把验证码输进假冒网站 [3]。FIDO 方式与真实网站绑定，因此仿冒网站无法使用它们 [5]。
主要 2FA 方式比较
下表根据 CISA 的排序和 NIST 的指南，总结了各种方式对主要攻击的防护能力。CISA 将这些攻击分为四类 [1]：
为什么短信验证码被认为不安全？
短信验证码是最常见的 2FA 形式，英国国家网络安全中心指出，大多数服务都默认使用它 [4]。但它也是最容易被窃取的。
- 短信没有加密。CISA 指出，任何能够接入电信运营商网络并截获短信的人，都可以读取短信内容 [2]。
- 号码可能被劫持。在 SIM 卡劫持中，犯罪分子会冒充受害者、贿赂运营商员工或入侵运营商系统，把号码转移到自己的 SIM 卡上 [6]。此后，他们就能收到受害者的短信，包括 2FA 验证码和密码重置消息 [6]。
- 可能被钓鱼。和所有需要手动输入的验证码一样，短信验证码也可能被输进假冒网站 [3]。
损失是实实在在的。从 2018 年 1 月到 2020 年 12 月，FBI 互联网犯罪投诉中心共收到 320 起 SIM 卡劫持投诉，调整后的损失约为1200万美元；仅 2021 年一年，就收到 1,611 起投诉，损失超过6800万美元 [6]。
NIST 2025 年版指南将短信和语音验证码列为受限身份验证器。使用这类方式的服务必须至少提供一种不受限的替代方式，并应检查近期更换 SIM 卡或携号转网等风险信号 [3]。NIST 还规定，不得使用电子邮件进行带外身份验证 [3]。英国国家网络安全中心对个人用户的要求则较为宽松：如果用于接收验证的邮箱与用于重置密码的邮箱不是同一个账户，它可以作为第二步验证方式之一 [4]。
如果短信是唯一选项，还应该用吗？
应该用。英国国家网络安全中心表示，短信并不是最安全的 2SV 方式，但与仅使用密码相比仍是很大的进步 [4]。CISA 称短信是最后的选择，但可以作为过渡措施 [1]。
身份验证器应用和推送提示是如何工作的？
大多数身份验证器应用生成的是基于时间的一次性密码（TOTP），该机制由互联网标准 RFC 6238 定义 [7]。设置应用时，应用与服务之间会共享一个密钥。此后，应用会把这个密钥与当前时间结合，生成一个简短的验证码，每个时间步长更换一次，默认为 30 秒 [7]。由于验证码是在手机上计算出来的，身份验证器应用不需要移动信号 [4]。因此，在移动网络覆盖或短信送达不稳定的地方，它们尤其有用。
身份验证器应用能够抵御 SIM 卡劫持和 SS7 攻击 [1]，微软的研究也发现，Microsoft Authenticator 等专用应用的表现优于短信 [8]。它们的弱点在于网络钓鱼：假冒网站可以索取验证码并立即中转使用 [1][2]。
什么是数字匹配？
推送式 2FA 会向您的手机发送一条批准提示。如果没有数字匹配，您只需点一下“接受”，这就为推送轰炸留下了可乘之机。启用数字匹配后，您必须把登录界面上显示的数字输入应用中，从而多了一道防止盲目批准的检查 [1]。CISA 建议，尚无法使用抗钓鱼 MFA 的组织应启用数字匹配 [1]。
安全密钥和通行密钥处于什么位置？
安全密钥和通行密钥都采用 FIDO 标准和公钥密码学 [10]。安全密钥是一种通过 USB 或 NFC 连接的小型实体设备；通行密钥则可以保存在您的手机或电脑上，通过指纹、面容或 PIN 码解锁 [10]。
对于面临定向攻击高风险的人群，CISA 表示，在条件允许时，硬件 FIDO 安全密钥是最有效的选择，而 FIDO 通行密钥是可接受的替代方案 [2]。英国国家网络安全中心表示，面对现实中出现的所有常见凭据攻击，通行密钥的安全性与传统 MFA 相当甚至更高 [5]。该中心建议，只要服务提供通行密钥，就应将其作为首选 [12]。
通行密钥还可以省去单独的第二步验证。对于 Google 账号，使用通行密钥登录会跳过“2 步验证”环节 [9]。英国国家网络安全中心表示，当设备对用户进行验证时，FIDO2 凭据本身就属于多因素认证 [5]。
如何安全地设置 2FA？
- 从电子邮件开始。英国国家网络安全中心建议为重要账户（尤其是电子邮件）开启 2SV，因为一旦收件箱失守，犯罪分子就可能重置您其他账户的密码 [4]。
- 选择可用的最强方式。优先使用通行密钥或安全密钥，其次是身份验证器应用，只有在别无选择时才使用短信 [1][2]。
- 移除较弱的备用方式。CISA 指出，添加身份验证器应用并不会自动从账户中移除短信验证，这会留下一个薄弱的备用通道。在更强的方式正常工作后，请停用短信验证 [2]。
- 保存备用验证码。把一次性备用验证码存放在安全的地方，用过之后再生成新的 [4]。
- 添加第二种验证方式。英国国家网络安全中心建议设置一种备用方式，以防主要的第二步验证无法使用 [4]。
- 保护好您的手机号码。CISA 建议向移动运营商设置一个账户 PIN 码 [2]。FBI 提醒，切勿把 PIN 码或密码告诉主动来电的陌生人 [6]。
- 不要批准不是您发起的请求。意外出现的推送提示可能是推送轰炸攻击 [1]。
留意预警信号。FBI 表示，手机信号或短信服务突然中断可能意味着发生了 SIM 卡劫持。一旦出现这种情况，请立即联系运营商，并更改各账户的密码 [6]。
2FA 正在发生哪些变化？
官方指南正从验证码转向抗钓鱼的方式。NIST 2025 年版指南要求，达到 AAL2 保证级别的服务至少要提供一种抗钓鱼选项 [3]。NIST 还表示，可能会根据威胁的变化调整电话网络验证码的受限地位 [3]。2026 年 4 月，英国国家网络安全中心表示，凡是支持通行密钥的服务，它都会推荐使用通行密钥；不支持的，则推荐 2SV [5]。
对大多数人而言，截至 2026 年 11 月 3 日，切实可行的做法分为三步：在所有提供 2FA 的地方开启它；尽可能用身份验证器应用取代短信；然后把最重要的账户迁移到通行密钥或安全密钥。每走一步，都能堵上较弱方式所留下的一类攻击 [1][5]。
| 方式 | 网络钓鱼 | 推送轰炸 | SIM 卡劫持 / SS7 | 官方观点 |
|---|---|---|---|---|
| FIDO 安全密钥或通行密钥 | 可抵御 [1] | 不适用 [1] | 不适用 [1] | 黄金标准 [1] |
| 身份验证器应用验证码（TOTP） | 易受攻击 [1] | 不适用 | 不适用 [1] | 优于短信，但仍可能被钓鱼 [2] |
| 带数字匹配的推送 | 易受攻击 [1] | 可抵御 [1] | 不适用 [1] | 可接受的过渡选项 [1] |
| 不带数字匹配的推送 | 易因用户失误而中招 [1] | 易受攻击 [1] | 不适用 [1] | 较弱的应用选项 [1] |
| 短信或语音验证码 | 易受攻击 [1] | 不适用 | 易受攻击 [1] | 最后的选择 [1]；被 NIST 列为受限方式 [3] |
| 电子邮件验证码 | 易受攻击 [3] | 不适用 | 不适用 | 按照 NIST 的规定，不得用于带外验证 [3] |
常见错误
常见问题
装有身份验证器应用的手机丢了怎么办？
请使用您保存的备用验证码，或您事先设置好的第二种验证方式 [4]。如果两者都没有，就只能走服务方的账户恢复流程。
术语表
- 双重认证（2FA）
- 在输入密码之后还需要第二道验证的登录方式；也称 2SV 或 MFA [4]。
- TOTP（基于时间的一次性密码）
- 根据共享密钥和当前时间生成的验证码，由 RFC 6238 定义 [7]。
- SIM 卡劫持
- 一种欺诈手段：犯罪分子让移动运营商把受害者的号码转移到他们控制的 SIM 卡上 [6]。
- SS7（7 号信令系统）
- 电话网络使用的信令协议，其缺陷可能导致短信和语音验证码外泄 [1]。
- 推送轰炸
- 不断向用户发送登录批准提示，直到对方接受为止；也称推送疲劳攻击 [1]。
- 数字匹配
- 推送式 2FA 的一项功能，要求用户在批准前把登录界面上显示的数字输入应用中 [1]。
- 抗钓鱼 MFA
- 无法通过假冒网站中转的身份验证方式；实际上指 FIDO/WebAuthn 或 PKI [1]。
来源
- Implementing Phishing-Resistant MFA (fact sheet) US Cybersecurity and Infrastructure Security Agency (CISA)
- Mobile Communications Best Practice Guidance, version 2.0 US Cybersecurity and Infrastructure Security Agency (CISA) · 2025-11-24
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management US National Institute of Standards and Technology (NIST)
- Setting up 2-Step Verification (2SV) UK National Cyber Security Centre (NCSC) · 2018-08-07
- Passkeys are more secure than traditional ways to log in UK National Cyber Security Centre (Dave Chismon) · 2026-04-23
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public (Alert I-020822-PSA) FBI Internet Crime Complaint Center (IC3) · 2022-02-08
- RFC 6238: TOTP: Time-Based One-Time Password Algorithm Internet Engineering Task Force (IETF)
- How effective is multifactor authentication at deterring cyberattacks? Microsoft (Meyer, Romero, Bertoli, Burt, Weinert, Lavista Ferres), arXiv · 2023-05-01
- Sign in with a passkey instead of a password Google Account Help
- Passkeys: passwordless authentication FIDO Alliance
- Pushing passkeys forward: Microsoft's latest updates for simpler, safer sign-ins Microsoft Security Blog · 2025-05-01
- NCSC: Leave passwords in the past - passkeys are the future UK National Cyber Security Centre (NCSC) · 2026-04-23
评论
热门评论