双重身份验证对身份验证有何帮助？

Question

我在这个主题上找不到任何帮助，因为我被告知如何实现它，而不是它实际上是如何工作的。

我所知道的是双因素身份验证是通过电子邮件和电话号码对用户进行身份验证。

这是我的一组问题：

1. 是否通过在注册时验证用户的电子邮件和电话号码来验证用户身份？
2. 是否通过在每次登录时验证用户的电子邮件和电话号码来验证用户身份？
3. 为什么每个用户都可以为其帐户设置启用或禁用双因素身份验证？这不是管理员的事情，不应该由用户决定吗？

Answer 1

我会看看能不能帮你澄清一下。

1. 它可以作为额外的安全级别。传统上，您需要用户名/电子邮件和密码才能进入网站。如果密码被泄露，那么帐户也是如此。将电话号码添加到您的帐户将意味着只有有权访问该电话的人才能通过额外的安全级别并访问您的数据。 当用户使用另一个“步骤”登录时，会在他们通过之前添加。令牌（通常是一个有效期较短的数字 - 即秒数）与登录的用户相关联并发送到他们的手机。他们填写表格并提交。然后可以将用户登录的设备（笔记本电脑/手机/桌面浏览器）绑定到他们的帐户（参见下面的第 2 点）。

2. 可能是这种情况，但如果您以 Google 为例，您可以选择“信任”设备登录 30 天。这会将设备与受信任的列表（例如，可能存储在数据库中）绑定一段时间，然后在再次登录时询问。

3. 通常的做法是，用户可以自行选择是否具有这种额外的安全级别。他们可能无法使用电话......然后会发生什么？他们可能喜欢只使用用户名/电子邮件和强密码的便利......但这并不意味着您不能在系统中通过设计强制它。