强唯一密码与TOTP 2FA

Question

因此，我使用密码管理器为每个我有用户名/密码的站点生成一个(强)唯一的密码。

对于那些允许它的人，我也启用了TOTP (基于时间的一次性密码) 2TF。

这让我思考。

从理论上讲，要想让别人掌握我的密码(不包括MTM攻击)，唯一的方法是让我所用站点的密码表泄漏，此时TOTP种子也会泄漏。

那么，TOTP到底应该保护什么呢？它是为了防止: MTM，键记录器，过肩查看器吗？

Answer 1

双因素身份验证无法保护您免受网站破坏。如果有人获得访问网站密码数据库的机会，他们也可以访问该网站上的任何机密数据。

双因素身份验证保护您不被其他人获取您的密码。如果你认为这是不可能的，那么2FA是不必要的。对于大多数TOTP系统，这取决于您是否拥有安装了相关密钥的设备，以及登录的密码。通常，此设备与用于访问服务的设备(即用于令牌生成器的智能手机和用于服务的膝上型计算机)是分开的，如果设备登录或密码管理器受到破坏，该服务还提供了一些保护(您的会话仍可能被劫持)。

您自己的主要风险可能是密码管理器。这些漏洞中确实存在漏洞。如果密码是在线存储的，那么这一点就变得更加重要了--因为它们对您无法控制的机器是可见的。