※ 引述《abramtw (Fletcher)》之铭言：
: 请教一下:
: 如果Gmail改用两阶段登入, 会有一组16个字符的outlook或手机app登入密码
: (其实还有好几组备用).
: 那这组密码长时间都不会改变的情况下, 不就容易被人用outlook够多次登入破解?
: 而且这组16字符密码都是英文字母, 没有非字母符号如: #_%$
: 这样比较起来, 自己定期变换密码, 可以设定超过16个字符还可以加上非字母符号
: 不是反而比较安全吗?
: 谢谢大家的意见！
: ╭ ﹀◇﹀〣
并不会。直接讲破你的一个盲点。当你恢复传统密码防御的时候，你要使用各种客端
都需要输入密码验证身份。可是你并不知道这些客端是否会储存你的密码？编码储存
或明码储存？与服务器通讯过程中是加密通讯还是明码通讯？只要有任何一个漏洞，
你的帐号就有机会被劫持了。可以说在你不清楚客端的机制时，套用一句对岸说的，
你就是在裸奔。
Google 也不是笨蛋，可以让某人一踹再踹而毫无反应。除非你能够不停的变换 IP，
否则一组 IP 只要尝试个两三次就会被封锁了。
而且使用 ASP，可以每一个客端放一组。第一个好处是即使这个客端产生漏洞而使得
这组通行码被取得，这组通行码也无法用来登入你的帐号修改设定。这组通行码确实
可以做一些事情，但是要完整的权限还是得靠二阶段验证才行。第二个好处是当你觉
得通行码有泄漏之疑时，可以立刻停用某组通讯码，只有使用这组通讯码的客端受影
响，而非所有客端通通受影响。
可是传统密码，只要一漏出去，在你还没反应之前你的帐号就掰了。
最理想的情境就是不必用到不支援二阶段认证的客端，例如 Outlook。这样可以大幅
减少危机。所以 Google 才会鼓励开发者呼叫 API 做身份认证而不是用传统的密码
登入方式。