为什么您不应该允许在 AWS Cognito 中同时使用手机进行密码重置和多重身份验证？

Question

我正在进行用户池设置过程，在MFA和验证页面下有以下句子：

我们建议不允许将手机用于密码重置和多因素身份验证(MFA(。

该建议背后的原因是什么？

Answer 1

如果密码重置和MFA都是通过短信发送的，则不是真正的MFA。您希望在不同的通道上配置MFA，这样拥有您的手机或SIM卡的攻击者就无法重置您的密码并获得MFA代码。