authentication - 谷歌如何通过两步验证识别 "trusted device"

Question

假设您已使用 Google 2-step Verification 注册您的设备，当您返回网站时，它使用什么信息来验证您是否在该设备上？

它是否在您的计算机上存储了一些东西(如 cookie)，还是使用其他算法来确定您从哪里登录？

Answer 1

它存储有关您与服务器的对话的各种信息。 SSL cookie、 session 数据(例如您的 IP 地址)和有关您的浏览器的其他信息。当您更改此信息时，风险评估值会随着与原始已知值的偏差发生变化而增加。根据您所在国家/地区的在线风险状况，此值达到某个阈值后，就会引发一系列事件，使您的 session 无效。

当您的 session 无效时，您需要重新登录。
它比 cookie 更复杂，但它也涉及 cookie。

关于在端点和 cookie 验证之外添加保护是否重要，以及何时对最终用户造成滋扰，安全社区存在很多争论。