二维码认证

二维码认证是通过用手机扫描屏幕上显示的二维码来完成身份确认或登录的认证方式。LINE 的 PC 版登录、WhatsApp Web、各种双因素认证应用等采用。

代替密码输入，用已登录的手机扫描二维码即可完成认证。密码本身不经手这台电脑，也不会被键盘记录器截获。不过要留意 QRLJacking（二维码登录劫持）：攻击者把正规服务的登录二维码转贴到自己的页面上，诱使受害者扫描，从而接管这一次会话。它与把人引向假网址的二维码钓鱼是两回事，即使扫到的是真服务也照样成立。

安全性的关键是二维码的一次性。每次显示的二维码都是唯一的，数十秒后失效。即使被截图也无法重用。TOTP（基于时间的一次性密码）认证应用的初始设置也通过二维码扫描完成。