为什么我不推荐用 Yubikey 作通行密钥

最多用作输入用户名后需要一步即可登录的通行密钥（ passkey ）
个人建议仅用于二步验证，长期插在电脑上比手机验证器 APP 方便，还可以用作数据盘的 bitlocker ，比静态加密密码要安全。
微软则可以考虑用作 github 的二步验证，再绑定微软账号，而不是直接用作通行密钥。

这玩意本质上就相当于是加了一个 pin 的门钥匙，所以我绝不会把它用作通行密钥，而只会把它用作二次验证。别人捡到了的门钥匙，还要知道我的家庭住址才可以，而这玩意甚至相当于直接把用户名和网站网址放进去了。

银行卡需要在银行里面输入，因此 pin 被偷窥的概率小一点。我的意思是说我的手机用了 32 位密码，3 天才用输入一次，平时使用指纹或者人脸验证。安全性和便利性不可兼顾，因此这玩意如果每次都要输 32 位是很麻烦的，就必须弄短一点就会降低安全性。

还是那句话，我相对而言不是那么怕网上的黑客，我怕的是现实中对我有意见，但是又不敢对我动手转而来到我网络账号的人。我比较在乎线下的安全性。如果是苹果手机，那么每次验证指纹或者超级长的密码还是要比这玩意安全一些的。至于电脑的密码非常长，我电脑都是采用一个 bitlocker start up pin （实现真正意义上的加密，而不是 Windows 锁屏的权限控制）然后再用指纹登录。

这样的好处是顶尖高手或者我电脑遗失后，对方大概率是不知道我的 pin 的，这样第一步就被挡住了，如果强行重置掉这个就会导致强行需要非常长的恢复密钥，这也是当前算力下不可破解的。

如果是身边能够偷窥到我 pin 的同学，由于一个人既要满足是身边的同学，又要满足是电脑高手的概率是比较小的，因此我可以假设他们大概率破解不了 Windows 的锁屏，因此就可以用开机锁屏界面指纹验证来拦截掉它们。

sxguka

50 天前

@Chaidu #1 我怕的是身边的普通同事同学。yubikey 太小了，我家是智能锁，也没有用钥匙串、不方便随时拔随时携带。因此很容易在需要带电脑的课上被同学拔走随意登录。不像我的电脑需要同时 8 位 PIN+指纹。物理、地理上待在我身边的同学可以偷窥，但是他们没有能力破解 Windows 的登陆界面和指纹传感器。技术高超的黑客（因为在 60 人的同学里碰到技术高超的黑客概率很小。但是如果不小心把电脑遗失到学校食堂等其他地方，全校几万人很有可能就有高超的黑客）很容易破解 Windows 的锁屏界面和我 70 元的廉价指纹传感器，但是他们却没有能力偷窥到我的 PIN

sxguka

50 天前

@Chaidu #1 黑客能破解我的账号说明他非常有本事，或者是说用非常高超的社会工程学手法获取了我的信任，然后在我的电脑上植入了后门。对于能力强到这种程度的黑客，我佩服他，哪怕被他盗号了，我也是心服口服。就类似于输了，虽然心里不高兴，但是确实佩服对方的实力。我讨厌的是仅仅只是物理上地理上在身边的人，并且是被强行分配的。（所以我防的是同学和同事，这种不是由自己能决定的人。而不是女朋友甚至是关系非常好的铁哥们，那是我自己自愿跟他们那么亲密的。）我长得比较强壮，所以大家可能线下也不太敢跟我动手，我亲戚是警察，但是不认识网警。所以说在中国由于盗号付出的成本比较低，要是这方面被捉弄了就很烦。我高中是管电脑的，在电脑上登了一个 QQ 小号。然后我生病的那几天就是因为忘记提前部署录屏了，导致不知道那些王八蛋对我的 QQ 做了什么？

sxguka

46 天前

可以看看 https://demo.yubico.com/otp/verify

官方都不推荐单 yubikey

使用 Yubico OTP 测试您的 YubiKey

这可让您演示使用 YubiCo 一次性密码进行 YubiKey 单因素身份验证。

1. 将 YubiKey 插入 USB 端口

2. 点击 YubiKey 字段，然后触摸 YubiKey 按钮

不建议在生产中使用单因素（仅限 YubiKey ）身份验证，因为丢失或被盗的 YubiKey 足以验证用户身份。使用 YubiKey Playground 测试 OTP 作为第二因素。