聊聊凉心云区别对待国内外账号绑定 MFA 的双标行为

[livenpc]

凉心云国内账号绑定 MFA 有些仅有微信小程序一种绑定方式，使得每次登录管理账号的步骤很烦：

掏出手->解锁->打开微信->"➕"->扫一扫->对焦->"叮"->正在跳转->"123456"（ TOTP 展示）->"123456"（敲键盘）。

尽管设置了七天扫描一次，但架不住两三台电脑上都得登，会话一过期就得在每台电脑重复一遍上面的流程。

迫于太繁琐，准备自己尝试搞一下 seed-code ，看到站内刚好有讨论，后来发现国际版直接允许使用第三方的虚拟 MFA 了，并且也不提供微信小程序绑定，很难不觉得是双标。

国内版客服给出的回复：

1.您好，确实非常抱歉给您带来了不便，目前腾讯云这边虚拟的 MFA 设备是由腾讯云助手小程序承载，所以是需要具备微信的。

2.确实非常抱歉，国际站建议您这边可以去咨询下国际站的客服，但是目前在咱们这边是需要有微信的

如果说出于保护账户安全的目的，小程序引入了一种牛 x 的身份验证机制那也行，可明明就一个标准 TOTP （ RFC 6238 ），何必非得强制绑定你微信小程序。

你这不是欺负老实人吗？

---

站内帖： https://www.v2ex.com/t/815086

国内版： https://cloud.tencent.com/document/product/378/55649

国际版： https://www.tencentcloud.com/zh/document/product/378/32528

截图为证，含地址栏完整网址：

[guoshim]

能当外宾还是得当外宾。

[kingfalse]

中国人专骗中国人，往大了说叫闭环，叫生态。

[AlphaTauriHonda]

他就是要专门恶心你。

[billgong]

呃绑定一个云端生成 OTP 的应用严格意义上来讲不算是 MFA 吧，毕竟第二因素（ something you have ）和第一因素（ something you know ）没有区别

第一因素密码泄漏，微信账户使用泄漏后的密码登录，第二因素也就泄漏了，就不能算是 something you have 了。到最后 knowledge possession inheritance 只实现了第一个，不算 MFA 嘛

[ltkun]

关键为啥用良心云呢

[0o0O0o0O0o]

昨天也被这个恶心到

[xuanbg]

凉心好评

[cnfczn]

腾讯是为了强推他的弱智圆形二维码，而且目前看还是只有腾讯周边的东西在用。

[lovelylain]

国内不需要键盘输入吧，绑定微信，开通 MFA 也用同一个微信账号，登录的时候这个微信扫码登录，再手机上确认登录。

[0o0O0o0O0o]

@jobmailcn 微信被封号咋办…

[buxiaozisun]

开通的时候可以去浏览器开发者那边找到 totp 密钥，就可以加到其他地方了

[livenpc]

@jobmailcn 需要手动输入，微信扫码后只是跳转到小程序"腾讯云助手"的一个名为"虚拟 MFA"子页面，甚至连长按复制都没提供。如图：

[nothingistrue]

听起来像是微信要做一个对比 Microsoft Authenticator 或 Google Authenticator 的东西，但是技术水平不够，做不了既能脱离服务器做 MFA 应用又能连上服务器做同步密钥的东西，就简简单单弄一个云端虚拟 MFA 应用。这样糊弄出来的玩意，当然是没人愿意用得，当然就只能苦一苦内宾了。

[Citrus]

其实不是云端虚拟 MFA ，就是把种子下发到本地。抓包把种子抓下来就行了，很简单。

[livenpc]

@nothingistrue 微信小程序做的烂也就算了，关键是国内版用户没别的选，这才是最恶心的。

[PerFectTime]

哈哈哈隔壁不是有 PM 吗？拉过来问啊

[PabloZhong]

@PerFectTime
正好我在。内部看了下，马上可以全量支持 google mfa 和微软 mfa ，当前也可以申请开白提前体验。

[0o0O0o0O0o]

@PabloZhong 在 V2EX 反馈真的管用（

[summer2019]

我是直接抓包小程序，把 TOTP 密钥抓出来了。。。
然后加到微软 Authenticator 里了
这设计属实是弱智

[PabloZhong]

@summer2019 要不一块来聊下这块的设计建议呗：）