谷歌今天宣布，任何运行Android 7 或更高版本的手机现在都可以充当两步验证的物理安全密钥。这意味着与谷歌目前提供的其他几种两步验证方法相比，登录谷歌应用程序的用户将变得更加安全。而如果用户想使用物理设备进行登录验证，则不再需要购买加密锁，而是可以直接使用手机。
要使用Android手机作为物理安全密钥，用户只需将手机通过蓝牙连接到PC，然后使用PC上的Chrome浏览器验证登录即可。新的身份验证方案可与Gmail、G Suite、Google Cloud 和任何其他Google 帐户服务配合使用，并使用FIDO 身份验证标准。谷歌表示，其他网站可能会在稍后添加此方案，但该公司仍在对其服务进行认证。
当有人获取用户密码时，两步身份验证可以帮助防止未经授权的登录，这在数据泄露和网络钓鱼攻击使帐户面临风险时非常重要。谷歌建议每个人都使用手机作为物理安全密钥，但它特别建议“面临网络攻击风险的记者、活动家、商界领袖和政治竞选活动”使用手机。
当然，并不是所有的两步认证方式都同样安全，谷歌此前已经提供了多种验证解决方案，比如短信验证码、Google Authenticator的轮换码以及谷歌提示等，让Android手机和谷歌服务能够连接到电脑。通过互联网直接相互沟通。新的物理安全密钥的工作原理与谷歌的提示非常相似，但现在它要求用户的手机在物理上靠近计算机，以阻止那些可能试图从世界任何地方欺骗用户帐户的人。
此外，新的验证机制使用FIDO和WebAuthn两种身份验证协议来双重检查用户是否正在访问正确的网站并且没有受到网络钓鱼攻击。
要将Android 手机激活为安全密钥，用户需要运行Android 7 或更高版本的手机，并在Chrome 操作系统、macOS 或Windows 10 设备上打开单独的Chrome 浏览器。首先，在Android 手机上登录您的Google 帐户并打开蓝牙。然后在第二台设备上的Chrome 中打开myaccount.google.com/security 并点击“两步验证”。选择添加安全密钥的选项，然后从设备列表中选择用户的手机。
如果你有Pixel 3，你可以使用音量减小按钮来激活安全密钥，因为谷歌表示它将FIDO 凭证存储在Pixel 的Titan M 芯片中，该芯片可以验证按钮按下是否合法。其他运行Android 7及以上版本的设备仍然可以使用两步验证方法，但用户需要登录并单击按钮。
目前，谷歌的物理安全密钥服务仅适用于Android手机，并且仅用于登录谷歌服务，不适用于第三方网站。谷歌表示，由于新技术运行在相同的协议上，包括FIDO 标准，因此物理安全密钥也可以运行，其他公司实施类似技术只是时间问题。除了Chrome 之外，其他浏览器也可能获得支持，其他服务最终可能会扩展到使用Android 手机作为安全密钥。谷歌声称它正在努力实现这一最终目标。
