。攻击者需要这组共享密钥或者拿到进行两步验证的移动设备。另一种方法是进行中间人攻击；若用户的电脑被木马侵入，则用户名、密码及一次性密码都将被木马所捕获，随后攻击者即可利用木马进行登录、监听或修改用户与网站的通信。
实现.谷歌提供安卓、黑莓和iOS版本的身份验证器。同时也存在有第三方版本。
技术说明.服务提供商为每个用户生成80位的密钥（然而RFC 4226 §4要求使用128位并建议使用160位密钥）。 它以16位、26位或者32位base32的字符串