身份验证器 App 与短信验证码：哪个更安全？

简短的回答： 身份验证器 App 的验证码比通过短信发送的验证码更安全。它不经过电话网络传输，所以即使有人夺走了你的手机号，也拿不到你的验证码。不过，这两种都是需要你手动输入的一次性验证码，一个足以乱真的假登录页面可以窃取其中任何一种。如果网站提供通行密钥或安全密钥，它们比这两者都更安全。

为什么短信验证码是较弱的选择

短信发送到的是你的手机号码，而不是你的手机。谁控制了这个号码，谁就能收到验证码。

• SIM 卡劫持（SIM swap）和携号转网诈骗。 诈骗者说服你的移动运营商把你的号码转移到他们的 SIM 卡上，或转到另一家运营商。美国联邦通信委员会（FCC）解释说，诈骗者随后就能掌控 “the victim's private texts and calls”（受害者的私人短信和通话）（FCC）。美国联邦调查局（FBI）警告，换卡之后，“calls, texts, and other data are diverted to the criminal's device”（通话、短信和其他数据都会被转到犯罪分子的设备上）（FBI IC3）。
• 美国政府的指南对其加以限制。 NIST 的数字身份指南（SP 800-63B-4，2025 年 7 月）将通过电话网络发送的一次性验证码列为受限的认证方式。使用它的服务应留意 SIM 卡变更和号码转网，并且必须为每位用户提供其他选项（NIST）。
• 大型服务商正在逐步弃用它。 Microsoft 表示，在登录和恢复个人 Microsoft 账户时将 “start phasing out SMS”（开始逐步淘汰短信）（Microsoft）。

为什么身份验证器 App 的验证码更好

身份验证器 App 在你的手机上根据两样东西生成每个验证码：你扫描过一次的设置密钥，以及当前时间。验证码从不发送给你，因此：

• 攻击者夺走你的手机号也一无所获，
• 没有可被拦截、或在锁定屏幕上被看到的短信，
• 完全没有信号时验证码也能用。正如 Google 所说，“you can still generate codes without an internet connection or mobile service”（即使没有网络连接或移动信号，你仍然可以生成验证码）（Google）。

FBI 建议使用 “strong multi-factor authentication methods”（强多重身份验证方式），其中包括 “standalone authentication applications”（独立的身份验证应用）（FBI IC3）。

两者都防不住的：网络钓鱼

两种验证码都要由你手动输入，这正是薄弱环节。一个假登录页面可以向你索要密码和当前验证码，并在几秒内把两者转交给真正的网站。NIST 说得很直接：“OTP authentication is not phishing-resistant”（一次性密码认证不能抵御网络钓鱼）（NIST，第 3.1.4 节）。

有用的做法：

• 每次输入验证码前都检查地址栏。
• 无论对方听起来多么正式，都不要把验证码告诉通过电话、短信或电子邮件联系你的人。
• 如果网站提供，请使用通行密钥或硬件安全密钥。它们与真正网站的地址绑定，在假网站上不起作用。NIST 认为这类密码学登录方式能够抵御网络钓鱼。

并排比较

能关就关掉短信备选

有些网站即使在你设置了身份验证器 App 之后，仍保留短信作为备选方式。只要短信这条路还开着，夺走你号码的人就可能借此登录。设置好 App 和备用码后，如果网站允许，就把手机号从 2FA 选项中移除。

在 Authenticator App - Novaz 中

Novaz 在你的 iPhone 上生成标准的基于时间的验证码。设置密钥保存在这台设备的 iPhone 钥匙串中，从不发送给 Novaz。只有当你开启 iCloud 备份（PRO）时，才会有一份副本存到 iCloud，并由 Apple 在 iCloud 钥匙串中进行端到端加密。你也可以保存加密的备份文件（免费）。你可以用 Face ID 或密码锁定 App。和所有身份验证器 App 一样，它的验证码不能抵御网络钓鱼。如果手机丢了而你又没有 Novaz 备份，就要靠各网站给你的备用码重新登录，所以无论如何都要保留它们。更多细节请参见Novaz Authenticator 安全吗？