大家都在用什么 OTP（二次验证）方案啊

[Hackerchai]

• 楼主自己在用 Bitwarden_rs 自建，但是本着二次验证不能和密码管理器放在一起的原则（安全性考虑），同时在使用andOTP来存储 TOTP，不支持自动云端备份（ GoogleDrive,Dropbox...），但是可以自动本地备份（备份到内置存储的文件夹下）。我的解决方案是定期手动导出加密后的数据到 GoogleDrive，这样即使手机遗失也可以恢复数据

• 之前使用过Authy，支持云端自动同步（但是不支持同步到各大网盘 /WebDav ）但是它本身不开源所以不是很信任。另外它使用手机号作为登录凭证也比较反感

• 除了 Authy 以外，其他客户端都不支持跨平台同步，无法一有改动立即同步云端备份

• 以安卓为例，andOTP、Aegis 此类的开源 OTP 客户端不支持跨平台使用，各家的数据文件不通用

综上，如果可以造论子的话，大家希望理想的 OTP 客户端是什么样的？我有几个备选想法：

1. Authy 的开源实现版本，除了客户端以外实现一个后端，用来完成登录和同步。不使用手机号作为二次验证，只使用Master Password来鉴权 （如此的话安全性会打折扣，这里如果各位 V 友有更好地二次验证解决方案可以留言）。实现起来类似 Bitwarden 自建，可以自行搭建，客户端指定后端同步地址

2. 实现一套加密方案，在各平台客户端的基础上支持对接各大网盘存储 /WebDav 的 API，实现自动更新和跨平台同步

想了解一下各位大佬的 OTP 客户端，看看有没有更好地解决方案

[iphoneXr]

bitwarden 付费 60 元一年，mfa 用起来太方便了。
注意备份 proxmox 的虚拟机就好了。

[imn1]

pip install pyotp

[Hackerchai]

@iphoneXr bitwarden_rs 自建不是更香

[Hackerchai]

@imn1 手机上就没法用了呀

[imn1]

@Hackerchai #4
我在手机上几乎没有使用的场合

另外，OTP 算法是固定的，只要时间校正，识别码相同，什么软件没所谓，不需要考虑软件跨平台，自己找个地方保存识别码就行

[wooyuntest]

yubikey fido2

[Windelight]

一个微软验证器解决多数你想要的，只要你信任微软可以保护你的信息😂

[justin2018]

微软的那个~~ 同步 iOS 安卓 都有~

[HertzHz]

对于丢失 OTP 可用其他方式恢复的就不用担心了，如果丢了 OTP 就废掉的话，可以把密钥塞 1Password 之类的地方

[nieyujiang]

1password，只记一个主密码就行了

[moooonb]

fido

[wb14123]

可靠的还是物理密钥如 Yubikey，可以对服务注册多个 Yubikey 来防止丢失。

[CrazyBoyFeng]

密码 bitwarden，2fa 用微软身份验证器，带同步。

[baobao1270]

我用 Microsoft Authenticator

[ericgui]

你有个后端，就意味着你被黑的风险增加了好几分，毕竟你自己维护一个服务器，你觉得安全性多高？

[Aoang]

@ericgui 这个观点不能苟同。

和公司比，个人的体量更小，除开针对个人的情况下，黑公司的服务器不是比黑个人的服务器可能性更大么？
这点就不说了，毕竟无论怎么扯都是半斤八两的。

自建的安全性并不意味着会很低，风险增加…不能很懂为什么会这么想。

服务器防火墙别乱开端口，服务器登录做好安全措施，都用 bitwarden 了，不至于还是个弱密码吧？
套一个 nginx，然后再套一层 cf，只允许 cf 回源。

加一个脚本，定期备份数据文件，上传到各个地方。我是直接用 git 做的。

服务器随时可换，数据文件丢失也没什么，那是加密的。
但是，即使是这样，这么一个服务器除非出现 0day 怎么会被黑？

[tsukiikekaoru]

为什么不能和密码放一起呢？ otp 的作用是在密码被攻破的情况下加一层防护，而不是服务器被攻破

[lijinma]

1password 挺好的。

[Hackerchai]

@wooyuntest 感谢 我去了解一下

[Hackerchai]

@wb14123 感谢