在移动应用上安全地绕过双因素身份验证

Question

我正在尝试通过TOTP实现双因素身份验证。我有webapp和移动应用程序（ios和android）。我只想在webapp上使用两个因子身份验证流程，但在移动应用程序上却不需要。如何才能在仅限移动应用程序上安全地绕过双因素身份验证？

更新 我正在使用常见的后端api用于webapp和移动应用程序。需要在Web应用程序上实现两个因素。对于移动应用程序，一个因素（用户名，密码）很好。

Answer 1

有两个身份验证流程，一个包含2FA，另一个没有，基本上是一个漏洞。到处实施2FA或不打扰。

Paypal有部分bad experience部分2FA实施。你没理由跟随。

Answer 2

要实现应用程序密码的模拟google正在用于此类事情

Answer 3

嘛！这假设对于其他因素，您使用手机。 你会要求用户名，密码。然后将电话号码与帐户相关联。然后通过发送一次性密码验证用户是否拥有该电话号码。

在没有太多用户交互的情况下，可以通过智能方式在应用中执行相同操作。

1. 询问用户电子邮件，密码和电话号码。
2. 您需要向手机发送验证码，然后自行阅读并验证验证码。您需要阅读短信＆＃39;允许。如果用户在您发送的SMS上有正确的验证码，则您可以自动验证用户是否拥有电话号码。其他用户不拥有电话号码，而且有些东西是可疑的，他应该带到其他地方。