一般的な2要素認証方法の1つはSMS検証です。これには、検証されているユーザーにリンクされた携帯電話番号にSMS（テキスト）メッセージを送信することが含まれます。この方法は、多くのユーザーに馴染みがあるという利点があり、携帯電話にアクセスできることだけが必要です。ただし、携帯電話を使用できないユーザーは除外できます。また、SIMジャッキングなどの攻撃に対しても脆弱です。Sim-Jackingは、サイバー犯罪者が電話会社に対してソーシャルエンジニアリングを使用して人の携帯電話番号を引き継ぎ、そのアクセスを使用して2要素認証をバイパスするソーシャルエンジニアリング攻撃です。SMSゲートウェイがメッセージを送信するためにお金を請求するため、SMS検証は、少量の大規模なアプリケーションをサポートする組織にとっても費用がかかる場合があります。

別の方法は、2要素認証のために認証器アプリを要求することです。Authenticator Appsは、ウェブサイトと共有されたシークレットキーを保存します（ユーザーが認証しています（多くの場合、電話のカメラを介してQRコードとしてアプリに転送されます）、時間の経過とともに変更されるコード（時間ベースのワンタイムパッド、またはTOTP）を生成しますアプリケーションへの参入用。Authenticatorアプリは、アプリがオンになっているデバイスが侵害されていない限り、SMS検証よりも大きなセキュリティを提供します。また、ユーザーは無料 /オープンソース認証アプリを使用できるため、ユーザーまたはアプリケーションプロバイダーのいずれかにかなりの追加の運用コストを回避します。アプローチでは、サーバー側に実装するためには、いかなる種類のゲートウェイサービスも必要ありません。反対に、技術的に精通していないユーザーは、認証者アプリをインストールする意思がないか、またはインストールすることができない場合があります。また、ユーザーが最初に新しいデバイスに認証アプリを設定するように注意して携帯電話を拭いたり交換したりすると、アカウントへのアクセスが失われるか、リセットするための代替プロセスが必要になる場合があります。ユーザーがソーシャルに設計されて、フィッシングサイトにコードを提供するように設計される可能性があるというリスクがあります。共有された秘密に依存しているため、犯罪者がサーバーに保存されている秘密のコピーへの一時的な読み取り専用アクセスさえも得る場合、ユーザーの2因子の秘密がリセットされるまで、それらの秘密を使用して2要素認証をバイパスできます。

3番目のオプションは、U2F互換性のあるセキュリティキーを要求することです。これらは、コンピューターに接続する物理デバイス（USBを介してNFCを介して）を使用し、パブリックキー暗号化を使用して、ユーザーがサーバー上の公開キーに対応する秘密鍵にアクセスできることを証明します。これは最も安全なオプションです。通常、セキュリティキーはクローニングを防ぐために強化されているため、ユーザーは現在キーを所有している場合、他の誰もそのキーになりすましていないという自信を高めることができます。プロトコルには、別の偽のサイトでのフィッシングを防ぐための手段があり、実際のサイトにログインします。他の方法は脆弱です。一部のキーには、物理キーの誤用を防ぐための生体認証チェックなどのメカニズムが含まれます。ただし、ほとんどのU2Fセキュリティキーは、キーの物理的な盗難に続いて、ある程度誤用することに脆弱です。このアプローチには、ユーザーがまだ持っていない場合は、ユーザーがどこかからU2Fキーを取得する必要があるという欠点があります。さらに、誤ってキーを失ったり破壊したりするユーザーは、代替アプローチを使用して認証し、別のキーを取得する必要があります。
One common two-factor authentication method is SMS verification, which involves sending an SMS (text) message to a mobile phone number linked to the user being verified. This method has the benefit of being familiar to many users, and only requires that they have access to a mobile phone. However, it could exclude users who are not able to use a mobile phone. It is also vulnerable to attacks such as SIM-jacking. SIM-jacking is a social engineering attack where cyber-criminals use social engineering against a phone company to take over a person's mobile phone number, and then use that access to bypass two-factor authentication. SMS verification may also be costly for organisations supporting large applications on a small budget, as SMS gateways charge money to send messages.

Another method is to require an authenticator app for two-factor authentication. Authenticator apps store a secret key shared with the website the user is authenticating to (often transferred into the app as a QR code via the phone's camera), and generate codes that change over time (time-based one-time pads, or TOTP) for entry into the application. Authenticator apps provide greater security than SMS verification, as long as the device the app is on is not compromised. They also avoid any significant additional operational cost for either the user or the application provider, because users can use Free / Open Source authenticator apps, and the approach does not require any kind of gateway service to implement on the server side. On the flip side, less technically savvy users might not be willing or able to install an authenticator app. Also, if users wipe or replace their phone without taking care to first set up an authenticator app on their new device, they might lose access to their account, or require an alternative process to reset it. It does carry the risk that users could be socially engineered into providing their code to phishing site. Since it relies on a shared secret, if a criminal gains even temporary read-only access to a copy of the secrets stored on the server, they can use those secrets to bypass two-factor authentication until the user's second-factor secret is reset.

A third option is to require a U2F compatible security key. These are physical devices that connect to a computer (over USB or wirelessly over NFC) and use public-key cryptography to prove that the user has access to the private key corresponding to the public key on the server. This is the most secure option. Security keys are typically hardened to prevent cloning, so users can have high confidence that if they are currently in possession of the key, no one else can impersonate that key. The protocols have measures to prevent phishing on a different fake site to log in to the real site, something the other methods are vulnerable to. Some keys include mechanisms such as biometric checks to prevent misuse of physical keys. However, most U2F security keys are vulnerable to some extent to misuse following the physical theft of the keys. This approach has the downside that users would need to obtain a U2F key from somewhere if they don't already have one, which introduces friction and carries cost implications. Additionally, users who accidentally lose or destroy their key would need to authenticate using an alternative approach and obtain another key.