换手机后 microsoft authenticator 用不了了

[femsdfq]

小米 14 一键换机到小米 15 ，microsoft authenticator 就用不了了，一直显示“电话登录将不再适用，你将需要在帐户上重新启用电话登录。”点击设置重新启用成功后也没用，一直循环。

在微软安全中心移除 authenticator ，手机也删除了，重新下载添加也不行。这是卡 bug 了吗。

[testonly]

这破玩意，我加个手机，一直提示要输入旧手机弹出的几位什么码，
旧手机在登录状态，但就死都不肯弹出码来，
好歹你该给个扫旧手机码的选项吧？结果没有
还好我都没开两步验证，不然账号都没了给他玩死
因为这些鬼东西太安全而丢账号的都不知道多少人
许多人在用的时候可能还没意识到，如果没有太注意一些细节，旧手机丢了/坏了，账号也就没了。

[gransh]

@testonly 其他两步验证的 app 试了好几个，备份还原的逻辑一直都搞不懂，所以我是能不用尽量不用两步验证。github 实在没办法，只能备份好 recovery-code

[driller]

印象里微软的认证 app 需要谷歌框架，是不是这个原因？

另外换 totp 吧，这种使用自家 app 做二次验证的能不用就不用，totp 只要记得 seed 就不怕登录不了。

[testonly]

@gransh #2
是啊，我就是没搞懂所以没开。
我自己计算机能力是算强的了，如果对电脑没多少认知的一些人我不知道他们能否搞懂。
当然这里 V2 程序员多可能那些大佬看明白这些难度不大。

[liuzimin]

@gransh 用 Ente Auth ，可以导出配置文件，基于文件的备份还原，就不存在这些问题了。

[femsdfq]

@driller 自带框架的，google play 我一直能用

[ghjh]

不知道你有没有开无密码……
不过我觉得应该是这么个过程，在新手机上卸载或清空软件信息，然后在新手机上重新登录，如果同步了 totp ，记得在登录页面选择从备份恢复。然后用旧手机认证登陆

[ghjh]

如果旧手机已经清空，只能看你还剩什么二次验证方式，用其他方式尝试验证。
如果 op 已经开了无密码登录暂时就不太清楚了，总感觉微软无密码登录太过安全以至于能把我自己锁在外面就没开过

[agood]

国产安卓用微软的 authenticator 问题很多，只有 iOS 适配是最好的

[SayHelloHi]

被坑过~~

好在 iOS 使用 Microsoft Authenticator 可以 iCloud 备份、恢复
删除后 重新安装 数据有了 但是不用了

安卓那边也遇到过问题：无法同步。

现在 iOS 使用这个 很好用
https://apps.apple.com/us/app/2fa-authenticator-2fas/id1217793794

[bindiry]

iOS 的话自身的 Passwords APP 就支持 2 步验证。不能安装第三方。

[qweruiop]

从 2fa 切到 Ente Auth 了。有 mac 和 ios 版。。。2fa 的浏览器插件推送老是慢点。。。

[femsdfq]

@ghjh #8 用辅助邮箱验证登录了，就是 authenticator 用不了，有点烦
@agood 搞得我现在已经不敢用验证器了
@SayHelloHi 可惜我的主力是安卓

[osilinka]

可以 restore 啊？
先清除 cache ，restore from backup

[NoOneNoBody]

我是能开 totp 2fa 的全开，云端 app 全部不用

[COW]

没遇到过，有 recovery code 吗，如果没有，开了 Cloud Backup 选项可以找回，新手机装好之后能用这个码恢复数据，我记得大概是这样。

[yianing]

@femsdfq #13 #13 2fa auth 有安卓版的

[zhlssg]

2fas 加密手动备份到 icloud

[SayHelloHi]

@femsdfq #13 https://play.google.com/store/apps/details?id=com.twofasapp 有安卓版的

[Linkee]

微软这破玩意之前就是看他能备份同步才换了 google 的用它的，后来换安卓直接同步不过来，几个 2fa 全丢了哈哈。后面我就用 bitwarden 自建了

[Rocketer]

之前被 MS 封过一个账号，还好那时不流行两步验证。但从那以后我就再也不敢把身家性命绑在一个服务商身上了，重要的东西都要同时使用至少两家服务商。比如两步验证我一直是 Authy 和 MS Authenticator 同时用，开启两步验证时分别用这俩 app 扫码即可。

[Zuming]

直接用谷歌的验证或者用苹果自带的验证器。
微软的 mfa=💩

[Kaiyuan]

我旧手机坏了，导致一个帐号锁死了……坑！

[Vegetable]

卡在同样的地方，已经放弃了，一模一样。

[laydown]

有些人真的挺心大的，或者是连两步验证的基本原理也未曾了解过，就敢寄托于一种两步验证方式。我是从来都必须冷备份初始的二维码（其实就是一字符串），其它就正常使用。到了真的万不得已的时候，至少，还有初始的二维码可以用，随便用任何一个验证器都能弄回来。

[a33291]

这个换机的时候会丢失记录

[testonly]

@laydown #25
所以像我和 2 楼看到不对劲直接不敢用啊，我注册了但不开 2 步。
但问题是出在设计这玩意的人，而不是用户，这玩意面向的用户是普通人而不是专家对吧？作为设计的应该假设用户电脑水平是有限的，而不是假设每个用户都花大量时间去读天书啊。而且现在如 2 楼说的，还有一些地方是强迫你开 2 步。
丢手机/坏手机会造成你丢失全部相关密码应该是设计这个的人该考虑的问题而不是用户，至少一开始注册时就应该有大红字提醒必须做一个类似于密匙那样的备份那个验证器的恢复方式到其他手机/电脑里，只要用户还没备份，就该一直有红字警告。
我的意思是，设计这些东西应该有显而易见的方式提示用户风险和让客户容易备份，但我肯定注册 MS 这个过程是绝对没有。

[bluetree2039]

为什么微软 、谷歌的验证器都无法导出， 查看原始的二维码链接 都不让看， 太坑了。 转移都不行！

[YGHMXFAL]

①还是习惯不好

TOTP 程序就不应该联网,支持备份到文件/从文件还原的开源离线 TOTP 程序就是最优解

否则你登录网络账户前,还需要让 TOTP 程序登录+联网,那么 TOTP 程序本身又要不要 2FA?如果要那就是无限套娃无穷无尽,如果不要那么你的整个流程中 TOTP 程序反而成为最薄弱环节

所以我的结论是“需要联网地 TOTP 程序是小丑/不支持文件形式备份/还原地 TOTP 程序是小丑”,先不说网络是否畅通你能否顺利及时登录的问题,这完全就和 2FA/MFA 的设计目标相悖,完全是为了便利而妥协了安全,或者说是“自认为能够在不牺牲安全的前提下更加便利”

你说需要多设备同步/备份还原,请直接传输 TOTP 程序的备份数据库,都是强加密你哪怕拿微信传输到新设备呢都无所谓(当然我是说 WIN/LINUX/ANDROID,我不了解苹果,我对于苹果系统的印象还停留在“连文件管理器都没有”的年代)

②你完全可以自己全手动备份 TOTP 实例,还是那句话,稍微改一下习惯就行

最简单办法,在使用 TOTP 程序扫码绑定之前,你先截图二维码保存

进阶办法,随便安装一款开源离线扫码器,在使用 TOTP 程序扫码绑定之前,先拿扫码器把二维码给解码成字符串,其中只有“secret”字段是你需要保存地,因为其它所有参数都在标准中写死了没必要记录(关于扫码器,推荐 binary eye,fdroid 直接下载 APK 就行)

然后你把二维码/secret 安全保存就行了,这个自己想办法,我是写了脚本加密存储到网盘

[YGHMXFAL]

本站内因为这些联网 TOTP 程序的煞笔设计逻辑而翻车的人都一抓一大把,你还不要说绝大多数普通网民了

[ixcode]

用 1password 自带的 otp 有什么安全隐患吗，换过多个设备，数据转移都很丝滑

[Donaldo]

@agood #8 iOS 换机也有问题，丢过一次数据

[chenbin36255]

@ixcode 没什么隐患 除了要付费
今天刚上车土耳其 1password 年费 50 把 bitwarden 都迁移了
体验确实上一个档次

[superedlimited]

除了微软账号 live.com 的邮箱，其他的账号 2fa 已经全部切到 Google authenticator 了

[maxhuang]

我上个月开了个会 bitwarden 的会员，然后花了三天时间把 MSAuth 里面的所有 totp 都搬到 Bw 里面顺便开通了好几个网站的 passkey ，这个用起来好爽…

[ety001]

所有打着安全的旗帜，不给用户导出密钥的二次验证程序，都 TMD 是耍流氓。

经过各种尝试，最终选择了 2FAS ，除了没有电脑客户端，其他方面都很好。

[zbowen66]

@ety001 #35 无妨，鸡蛋不能放在同一个篮子里

[zbowen66]

@ety001 #35 我有自建 Bitwarden ，但仍然把 2FA 单独存放了

[uuhhme]

我也推荐 ente auth 。功能全同步方便

[xfelix]

微软的和 google 的不让导出，微软更加不让第二设备同步是更多的考虑 2FA 的唯一性。不然密码被盗，totp 的种子或者备份被盗，别人成功登陆了都不知道。
同时这样带来的可用性的损失，唯一的设备丢了话难以恢复。

绝大多数网站重置 MFA 都会重置 totp 种子，也就是之前的会失效，保持 2FA 的唯一性。但是竟然有网站允许添加多个 totp ，还有网站允许重复查看现有的 totp 种子。

[janpun]

这东西不好用，要么 1password ，要么直接苹果的 passwords