Google身份验证器

Question

我对谷歌身份验证器或双因素身份验证的一般要点有疑问。

我有一个网站，用户可以使用用户名+密码登录。因此，当我添加TFA时，所有用户都会获得一个单独的密钥来生成QR码，但是当黑客已经知道用户名+密码时，他所要做的就是扫描二维码并输入6位数字。那么TFA有什么意义呢？

Answer 1

添加TFA时，您需要生成一个秘密，然后您可以使用该秘密生成一次密码。

您与用户分享该秘密的方式是通过QR码。您只需要向用户显示一次QR码并使用Google身份验证器或Authy等身份验证器应用，他们就会阅读二维码并存储密码。

然后，当他们再次登录时，他们需要使用该应用程序根据密码和当前时间段生成一次性密码。

用户登录时不应显示QR码，只有在首先设置TFA时才会显示。