术语表 /隐私与安全
双重身份验证
又称2FA。
- 双重身份验证是什么？
- 双重身份验证要求账户在密码之外再提供第二项验证，因此仅凭泄露或被猜出的密码，已无法打开您的交易所账户。
常见的三类验证因素是您所知道的、您所拥有的和您本身的特征，真正的第二因素必须来自与第一因素不同的类别。Google 对账户劫持的研究发现，设备端提示拦截了99%的批量钓鱼攻击和90%的定向钓鱼攻击，而短信验证码分别拦截了96%和76%。在交易所，这一切保护的是账户，而不是币。
运作方式
双重身份验证把登录变成两项相互独立的验证，其全部价值取决于这两项验证实际上有多独立。
应用生成的验证码（TOTP）。 标准为 RFC 6238，于2011年5月发布，建立在2005年的旧版 HOTP 方案之上。设置时，服务会向您显示一个包含共享密钥的二维码，密钥通常为160位。此后，您的手机和服务器都会基于该密钥和当前30秒的时间步长计算 HMAC，截取为六位数字，然后进行比对。生成验证码的过程不通过网络传输任何内容，因此应用生成的验证码不会受到 SIM 卡劫持的影响，而短信验证码则会被攻破。
人们容易忽略的后果是，这个密钥可以被复制。如果您对设置时的二维码截屏，您的第二因素就会存在于照片同步到的任何地方。如果把 TOTP 密钥和密码存放在密码管理器的同一条记录中，您就等于用一个主密码保护了两个验证码，这只是披着外衣的单一因素。
短信验证码。 验证码经由手机网络传送，取决于运营商员工没有被欺骗或收买。NIST 的 SP 800-63B 将通过公共电话网络发送的一次性验证码归为受限认证器，意味着使用这类验证码的服务必须承认其风险。短信验证码仍然远胜于没有。
安全密钥和通行密钥（FIDO2、WebAuthn）。 在这种方式下，认证器为每个网站生成一对密钥，保管私钥，并对包含网站来源的挑战信息进行签名。该签名对任何其他域名都毫无价值，因此仿冒的登录页面收集不到任何可以重放的内容。WebAuthn 于2019年3月成为 W3C 推荐标准，所有主流浏览器均支持。通行密钥采用同一协议，只是凭证会在您的多台设备之间同步，而不是锁定在某一件硬件上。
账户恢复是无人配置的第四个因素。 如果账户仍然可以通过电子邮件和短信重置，再完美的安全密钥也意义不大。攻击者知道应当攻击恢复途径，而不是登录环节。
购买比特币时为何重要
双重身份验证保护的是账户，而账户是对一家公司的债权。请把这一区别放在本页其他一切内容之前。
在您使用的任何交易所，请按以下顺序设置。选择一个长且唯一的密码。如果平台支持，请绑定安全密钥，否则使用身份验证器应用，切勿把短信作为主要因素。然后打开账户恢复设置（通常是单独的一页），移除手机号码这一重置方式。把备份码打印在纸上，存放在您家中发生火灾时也烧不到的地方。最后，添加提币地址白名单，使被攻破的会话无法凭空指定提币目的地。
接着处理盲点。API 密钥会完全绕过登录，也就绕过了您刚刚配置的所有因素。曾经请求只读权限的交易机器人、投资组合追踪工具或报税工具，可能持有一个永不过期的密钥。请检查您每个交易所账户的 API 部分，删除您不认识的密钥，对任何密钥都不授予提币权限，并在平台允许时把密钥绑定到固定的 IP 地址。
本站评测的交易所在这方面的功能各不相同。Kraken 和 Coinbase 支持硬件安全密钥和通行密钥。Bitstamp、Binance 和 Bitpanda 至少支持身份验证器应用。River 和 Swan 都围绕定期买入构建，依靠账户层面的控制而不是交易 API，从而消除了一整类风险。这些差异都不会改变最终目标：购买，然后提币到您自己掌控的钱包，在那里没有需要防守的登录。
硬件钱包不受双重身份验证保护，也不需要。它的对应机制是设备 PIN 码（输错固定次数后会清除数据）和可选的密码短语。
实测数据显示了什么
Google 与纽约大学和加利福尼亚大学圣迭戈分校合作，研究了针对 Google 账户的真实劫持尝试，并于2019年5月发布了结果。
这些数字宜作为排名来读，而不是绝对值。面对自动化机器人，所测试的每种方法都拦截了100%。面对批量钓鱼，设备端提示拦截了99%，短信验证码拦截了96%。面对定向攻击（即有人专门针对您的账户下手），设备端提示仍保持在90%，而短信验证码降至76%。
请仔细读最后这个数字。在世界上最常用的第二因素面前，大约四分之一的有针对性的攻击得手了。Google 对自家员工的做法是要求超过85,000名员工使用实体安全密钥，此后据其报告，再没有经确认的钓鱼导致的账户被接管。
对比特币持有者而言，实际结论是：任何第二因素都胜过没有，应用胜过短信，而安全密钥是唯一能消除钓鱼这一类风险而不只是降低风险的选择。
双重身份验证 vs 密码短语
硬件钱包上的密码短语常被说成是比特币的双重身份验证，而这一类比会在一个让人损失资金的地方失效。双重身份验证是由公司服务器执行的检查，可以重置、申诉，也有客服支持。BIP39 密码短语则是密钥派生本身的输入：不同的密码短语会产生一套完全不同的密钥，而且任何地方都没有记录表明另一套密钥存在。没有人能够验证它，没有人能够找回它，也没有客服队列。忘记交易所的第二因素，您可以提交恢复申请。忘记密码短语，即使您仍保有全部二十四个助记词，币也会永久丢失。