GitHub 启用了 TOTP，国内有没有硬件级密码器可以买得到？

[cnbatch]

Google 了一圈，发现有一家瑞士制造商专门制作各种网站的硬件级密码器（公司叫做 token2 ），还可以自行编程设置写入它未曾预设的 profile ，比如 GitHub 。

在淘宝搜了一圈，搜到的密码器是专门给企业做内部授权用的，附带服务器侧解决方案，不适用于我这种普通网站 2FA 的普通用户。

京东连卖的都没有。

可能是我的搜索关键词不正确？我是直接搜 TOTP 。所以顺便问问，应该用什么关键字去搜？

我还考虑过海淘密码器，但发现有法规限制（商用密码进口许可清单），需要申请许可证，密码器才可以入境。

---

我手机也已经安装好相应的 TOTP 应用，备用密码串也已经下载好，但还是想弄一个硬件密码器。

多一个方案总没坏处

[shyangs]

為什麼不用手機，手機硬體你可以海淘美版韓版台版. 手機你可自己寫 APP. 這樣軟硬你都可以放心了吧.

[PerFectTime]

totp 的算法不是公开的吗？

[cnbatch]

@shyangs 最后一段写了，已经用着手机。

至于“放心”，其实我是对手机电池和手机屏幕不放心。
因为曾经碎过屏幕（被电动车撞飞，于是发帖“声讨”过 /t/962432 ，但当时没提到手机摔坏），也曾经遇到过手机充电故障被迫换手机的情形（当时的询问贴 /t/852256 ）。

有个硬件级 token 可以使我安心许多

[swulling]

Microsoft Authenticator 软件解决不好么

[cnbatch]

@PerFectTime 算法是公开，但我又不是硬件制造商，也没有硬件制造基础知识，让我动手弄一个硬件 token 实在是……不太现实

[cnbatch]

@swulling 不怎么好，原因见 3L

[swulling]

如果要硬件，可以 M5Stack StickC ESP32-PICO Mini

自己开发一个，有现成的 esp32 的库。七八十块钱。

[swulling]

@cnbatch 支持 icloud 备份，换手机可以自动恢复。

[zhng920823]

一个 512MB 内存的 android 手机装个 FreeOTP 就可以了， 不要连接网络
和硬件级别的一样

[cnbatch]

@swulling 收藏了，实在找不到的时候考虑用作最后方案，唯一不确定的是续航

毕竟硬件 token 续航时间极长，可以长达 2~5 年不充电不换电池

[ahu]

Yubikey

[790002517zzy]

哈哈哈 这说的不就是网易 10 年前的将军令吗？

[shawndev]

找网银 U 盾和网易将军令的制造厂商

[790002517zzy]

实体将军令都淘汰了 用网易将军令 App 代替 你这还要开倒车

[ZhiyuanLin]

担心续航又信不过软件，那当然是 YubiKey 之类的 U2F 啦，为什么要用过时的 TOTP ？
U2F 对 TOTP 最大的优势就是有针对域名的 anti-phishing.
TOTP 如果你连同密码在钓鱼域名输入了，就 game over 了。
U2F 会配合浏览器取得当前请求你 U2F Token 的域名，针对域名签名，域名不对钓鱼也没用。
要用对的域名让你上错的网站，得先给你弄个 SSL CA 在本机，门槛太高了。

[ZhiyuanLin]

U2F 防止损坏主要靠异地容灾，一次性买 4 个，把你常用的网站能用 U2F 的都绑上，然后随身一个，自家一个，银行保险柜一个，父母家一个。如果有 iCloud ，对部分网站还能开个 iCloud Passkey 。

[cnbatch]

@790002517zzy 我不认为是倒车，原因已经在 3L 讲过了

[790002517zzy]

@cnbatch 其实 App 也可以解决你的问题 网易将军令我用了七八年了 换了很多台手机 账号也没丢

[790002517zzy]

@cnbatch 而且梦幻西游是最不容易盗号的游戏 就是因为有网易将军令

[790002517zzy]

网易将军令是用手机号作为唯一凭证