One common two-factor authentication method is SMS verification, which involves sending an SMS (text) message to a mobile phone number linked to the user being verified. This method has the benefit of being familiar to many users, and only requires that they have access to a mobile phone. However, it could exclude users who are not able to use a mobile phone. It is also vulnerable to attacks such as SIM-jacking. SIM-jacking is a social engineering attack where cyber-criminals use social engineering against a phone company to take over a person's mobile phone number, and then use that access to bypass two-factor authentication. SMS verification may also be costly for organisations supporting large applications on a small budget, as SMS gateways charge money to send messages.

Another method is to require an authenticator app for two-factor authentication. Authenticator apps store a secret key shared with the website the user is authenticating to (often transferred into the app as a QR code via the phone's camera), and generate codes that change over time (time-based one-time pads, or TOTP) for entry into the application. Authenticator apps provide greater security than SMS verification, as long as the device the app is on is not compromised. They also avoid any significant additional operational cost for either the user or the application provider, because users can use Free / Open Source authenticator apps, and the approach does not require any kind of gateway service to implement on the server side. On the flip side, less technically savvy users might not be willing or able to install an authenticator app. Also, if users wipe or replace their phone without taking care to first set up an authenticator app on their new device, they might lose access to their account, or require an alternative process to reset it. It does carry the risk that users could be socially engineered into providing their code to phishing site. Since it relies on a shared secret, if a criminal gains even temporary read-only access to a copy of the secrets stored on the server, they can use those secrets to bypass two-factor authentication until the user's second-factor secret is reset.

A third option is to require a U2F compatible security key. These are physical devices that connect to a computer (over USB or wirelessly over NFC) and use public-key cryptography to prove that the user has access to the private key corresponding to the public key on the server. This is the most secure option. Security keys are typically hardened to prevent cloning, so users can have high confidence that if they are currently in possession of the key, no one else can impersonate that key. The protocols have measures to prevent phishing on a different fake site to log in to the real site, something the other methods are vulnerable to. Some keys include mechanisms such as biometric checks to prevent misuse of physical keys. However, most U2F security keys are vulnerable to some extent to misuse following the physical theft of the keys. This approach has the downside that users would need to obtain a U2F key from somewhere if they don't already have one, which introduces friction and carries cost implications. Additionally, users who accidentally lose or destroy their key would need to authenticate using an alternative approach and obtain another key.
วิธีการตรวจสอบสิทธิ์แบบสองปัจจัยทั่วไปวิธีหนึ่งคือการยืนยันทาง SMS ซึ่งเกี่ยวข้องกับการส่งข้อความ SMS (ข้อความ) ไปยังหมายเลขโทรศัพท์มือถือที่เชื่อมโยงกับผู้ใช้ที่กำลังตรวจสอบ วิธีการนี้มีประโยชน์ในการทำให้ผู้ใช้หลายคนคุ้นเคย และต้องการให้ผู้ใช้เข้าถึงโทรศัพท์มือถือเท่านั้น อย่างไรก็ตาม อาจยกเว้นผู้ใช้ที่ไม่สามารถใช้โทรศัพท์มือถือได้ นอกจากนี้ยังเสี่ยงต่อการถูกโจมตีเช่นการแจ็คซิม SIM-jacking เป็นการโจมตีทางวิศวกรรมสังคมที่อาชญากรไซเบอร์ใช้วิศวกรรมสังคมกับบริษัทโทรศัพท์เพื่อยึดหมายเลขโทรศัพท์มือถือของบุคคลนั้น จากนั้นใช้การเข้าถึงนั้นเพื่อเลี่ยงผ่านการตรวจสอบสิทธิ์แบบสองปัจจัย การตรวจสอบ SMS อาจมีค่าใช้จ่ายสูงสำหรับองค์กรที่รองรับแอปพลิเคชันขนาดใหญ่ด้วยงบประมาณเพียงเล็กน้อย เนื่องจากเกตเวย์ SMS จะเรียกเก็บเงินเพื่อส่งข้อความ อีกวิธีหนึ่งคือต้องใช้แอปตรวจสอบสิทธิ์สำหรับการตรวจสอบสิทธิ์แบบสองปัจจัย แอป Authenticator จะจัดเก็บคีย์ลับที่แชร์กับเว็บไซต์ที่ผู้ใช้ตรวจสอบสิทธิ์ (มักถ่ายโอนไปยังแอปเป็นโค้ด QR ผ่านกล้องของโทรศัพท์) และสร้างโค้ดที่เปลี่ยนแปลงเมื่อเวลาผ่านไป (แพดแบบครั้งเดียวตามเวลาหรือ TOTP) เพื่อเข้าสู่การสมัคร แอป Authenticator ให้ความปลอดภัยมากกว่าการยืนยันทาง SMS ตราบใดที่อุปกรณ์ที่แอปเปิดอยู่ไม่ถูกบุกรุก นอกจากนี้ยังหลีกเลี่ยงต้นทุนการดำเนินงานเพิ่มเติมที่สำคัญสำหรับผู้ใช้หรือผู้ให้บริการแอปพลิเคชัน เนื่องจากผู้ใช้สามารถใช้แอปตรวจสอบสิทธิ์ฟรี/โอเพ่นซอร์สได้ และแนวทางนี้ไม่ต้องใช้บริการเกตเวย์ใดๆ เพื่อนำไปใช้บนฝั่งเซิร์ฟเวอร์ ในทางกลับกัน ผู้ใช้ที่ไม่ค่อยเชี่ยวชาญด้านเทคนิคอาจไม่เต็มใจหรือไม่สามารถติดตั้งแอปตรวจสอบสิทธิ์ได้ นอกจากนี้ หากผู้ใช้ล้างข้อมูลหรือเปลี่ยนโทรศัพท์โดยไม่ได้ตั้งค่าแอปตรวจสอบสิทธิ์บนอุปกรณ์ใหม่ก่อน ผู้ใช้อาจสูญเสียการเข้าถึงบัญชีหรือต้องใช้กระบวนการอื่นในการรีเซ็ต มันมีความเสี่ยงที่ผู้ใช้จะถูกออกแบบทางสังคมให้ส่งรหัสของตนไปยังไซต์ฟิชชิ่ง เนื่องจากมันอาศัยความลับที่ใช้ร่วมกัน หากอาชญากรได้รับสิทธิ์เข้าถึงสำเนาของความลับที่เก็บไว้บนเซิร์ฟเวอร์แบบอ่านอย่างเดียวชั่วคราว พวกเขาสามารถใช้ความลับเหล่านั้นเพื่อหลีกเลี่ยงการตรวจสอบสิทธิ์แบบสองปัจจัยได้จนกว่าความลับปัจจัยที่สองของผู้ใช้จะถูกรีเซ็ต ตัวเลือกที่สามคือต้องใช้คีย์ความปลอดภัยที่เข้ากันได้กับ U2F อุปกรณ์เหล่านี้เป็นอุปกรณ์ทางกายภาพที่เชื่อมต่อกับคอมพิวเตอร์ (ผ่าน USB หรือไร้สายผ่าน NFC) และใช้การเข้ารหัสคีย์สาธารณะเพื่อพิสูจน์ว่าผู้ใช้สามารถเข้าถึงคีย์ส่วนตัวที่สอดคล้องกับคีย์สาธารณะบนเซิร์ฟเวอร์ นี่คือตัวเลือกที่ปลอดภัยที่สุด โดยทั่วไปคีย์ความปลอดภัยจะมีการทำให้แข็งขึ้นเพื่อป้องกันการโคลน ดังนั้นผู้ใช้จึงมั่นใจได้ว่าหากตนครอบครองคีย์นั้นอยู่ จะไม่มีใครสามารถเลียนแบบคีย์นั้นได้ โปรโตคอลมีมาตรการป้องกันฟิชชิ่งบนไซต์ปลอมอื่นเพื่อเข้าสู่ระบบไซต์จริง ซึ่งเป็นสิ่งที่วิธีการอื่นมีความเสี่ยง คีย์บางตัวมีกลไก เช่น การตรวจสอบไบโอเมตริกซ์เพื่อป้องกันการใช้คีย์ในทางที่ผิด อย่างไรก็ตาม คีย์ความปลอดภัย U2F ส่วนใหญ่มีความเสี่ยงในการใช้งานในทางที่ผิดหลังจากการโจรกรรมคีย์ วิธีการนี้มีข้อเสียที่ผู้ใช้จะต้องได้รับคีย์ U2F จากที่ไหนสักแห่งหากยังไม่มี ซึ่งทำให้เกิดความขัดแย้งและมีผลกระทบต่อต้นทุน นอกจากนี้ ผู้ใช้ที่สูญเสียหรือทำลายคีย์ของตนโดยไม่ได้ตั้งใจจะต้องตรวจสอบสิทธิ์โดยใช้วิธีอื่นและรับคีย์อื่น
spam fails_task lang_mismatch pii not_appropriate hate_speech sexual_content quality toxicity humor helpfulness creativity violence