# 术语以及其他

## 名词术语 <a href="#terms" id="terms"></a>

* [**2FA**](https://zh.wikipedia.org/wiki/%E9%9B%99%E9%87%8D%E8%AA%8D%E8%AD%89)：Two-factor authentication，**双重验证**、**二次验证**。比如某些网站，使用用户名和密码验证后还需要短信验证码才能登录。双重验证 (2FA) 是多重验证 (MFA) 的一个特例。
* [**MFA**](https://zh.wikipedia.org/wiki/%E5%A4%9A%E9%87%8D%E8%A6%81%E7%B4%A0%E9%A9%97%E8%AD%89)：除了双重验证 (2FA) ，还有三重验证、四重验证等，这些统一叫做**多重验证**。
* [**U2F**](https://zh.wikipedia.org/wiki/%E9%80%9A%E7%94%A8%E7%AC%AC%E4%BA%8C%E5%9B%A0%E7%B4%A0)：Universal 2nd Factor，**通用第二因素**。是一个开放认证标准，它使用专门的 USB 或 NFC 设备来加强并简化双重验证 (2FA) 。最初由 Google 和 YubiKey 开发，目前由 [FIDO 联盟](https://zh.wikipedia.org/wiki/FIDO%E8%81%94%E7%9B%9F)运作和管理。
* [**FIDO**](https://zh.wikipedia.org/wiki/FIDO%E8%81%94%E7%9B%9F)：Fast IDentity Online，**在线快速身份认证**。FIDO 是一套身份认证框架协议，由 [FIDO 联盟](https://fidoalliance.org/)维护并制定相应的技术规范和标准。
* [**FIDO 联盟**](https://fidoalliance.org/)：是一个成立于 2012 年 7 月的行业协会，旨在为众多网站和移动服务提供更简单、更安全的用户身份认证体验的开放性可扩展标准。
* **FIDO U2F**：是一个由 FIDO 联盟制定的 U2F 身份认证标准。
* [**OTP**](https://zh.wikipedia.org/wiki/%E4%B8%80%E6%AC%A1%E6%80%A7%E5%AF%86%E7%A2%BC)：One-Time Password，**一次性密码**，也叫**动态密码**。
* [**TOTP**](https://zh.wikipedia.org/wiki/%E5%9F%BA%E4%BA%8E%E6%97%B6%E9%97%B4%E7%9A%84%E4%B8%80%E6%AC%A1%E6%80%A7%E5%AF%86%E7%A0%81%E7%AE%97%E6%B3%95)：Time-based One-time Password，**基于时间的一次性密码**。

## 两步登录支持的客户端应用程序 <a href="#client-app-supported-by-two-step-login" id="client-app-supported-by-two-step-login"></a>

<table><thead><tr><th width="133">两步登录方式</th><th width="117">桌面应用程序</th><th width="116">移动应用程序</th><th width="84">CLI</th><th width="106">网页密码库</th><th width="106">浏览器扩展</th></tr></thead><tbody><tr><td>验证器应用</td><td>✔︎</td><td>✔︎</td><td>✔︎</td><td>✔︎</td><td>✔︎</td></tr><tr><td>电子邮件</td><td>✔︎</td><td>✔︎</td><td>✔︎</td><td>✔︎</td><td>✔︎</td></tr><tr><td>YubiKey OTP</td><td>✔︎</td><td>✔︎</td><td>✔︎</td><td>✔︎</td><td>✔︎</td></tr><tr><td>FIDO2 WebAuthn</td><td>⚊</td><td>⚊</td><td>⚊</td><td>✔︎</td><td>✔︎</td></tr><tr><td><strong>Duo Security</strong></td><td></td><td></td><td></td><td></td><td></td></tr><tr><td>—Duo Push</td><td>✔︎</td><td>✔︎</td><td>⚊</td><td>✔︎</td><td>✔︎</td></tr><tr><td>—Duo 短信</td><td>✔︎</td><td>✔︎</td><td>⚊</td><td>✔︎</td><td>✔︎</td></tr><tr><td>—Duo 电话</td><td>✔︎</td><td>✔︎</td><td>⚊</td><td>✔︎</td><td>✔︎</td></tr><tr><td>—Duo U2F 安全钥匙</td><td>⚊</td><td>⚊</td><td>⚊</td><td>✔︎</td><td>✔︎</td></tr><tr><td>—Duo Token</td><td>✔︎</td><td>✔︎</td><td>⚊</td><td>✔︎</td><td>✔︎</td></tr><tr><td>—Duo Bypass Code</td><td>✔︎</td><td>✔︎</td><td>⚊</td><td>✔︎</td><td>✔︎</td></tr></tbody></table>

## YubiKey OTP 和 FIDO2 WebAuthn 比较 <a href="#yubikey-otp-and-fido-u2f-comparison" id="yubikey-otp-and-fido-u2f-comparison"></a>

<table data-full-width="false"><thead><tr><th width="202"></th><th width="234">连接验证服务器</th><th>支持的 Bitwarden 应用程序</th></tr></thead><tbody><tr><td>YubiKey OTP</td><td>需要（每次）</td><td>所有</td></tr><tr><td>FIDO2 WebAuthn</td><td>不需要</td><td>仅网页密码库和浏览器扩展</td></tr></tbody></table>

## 支持 FIDO U2F 的安全钥匙 <a href="#fido-u2f-enabled-security-keys" id="fido-u2f-enabled-security-keys"></a>

* [YubiKey](https://www.yubico.com/products/)：由瑞典 [Yubico](https://www.yubico.com/) 公司开发的安全钥匙。YubiKey 5 系列、4 系列、YubiKey FIPS 系列、Security Key 系列、YubiKey NEO、YubiKey Edge 支持 FIDO U2F。[维基百科条目](https://zh.wikipedia.org/wiki/YubiKey)。
* [SoloKeys](https://solokeys.com/collections/all)：由美国 [SoloKeys](https://solokeys.com/) 公司开发的安全钥匙。
* [Google Titan](https://cloud.google.com/titan-security-key)：由美国 [Google](https://www.google.com/) 公司开发的安全钥匙。
* [Nitrokey FIDO U2F](https://www.nitrokey.com/#comparison)：由德国 [Nitrokey](https://www.nitrokey.com/) 公司开发的安全钥匙。
* [FEITIAN Security Key](https://www.ftsafe.com/Products/FIDO)：由中国[飞天](https://www.ftsafe.com/)公司开发的安全钥匙。

## 支持 OTP 的 YubiKey <a href="#otp-enabled-yubikeys" id="otp-enabled-yubikeys"></a>

* YubiKey 5 系列
* YubiKey FIPS 系列
* YubiKey 4 系列
* YubiKey NEO
* YubiKey Edge

{% hint style="info" %}
YubiKey 4 系列、YubiKey NEO、YubiKey Edge 已经停产。
{% endhint %}

## 验证器应用程序推荐 <a href="#authenticator-app-recommendations" id="authenticator-app-recommendations"></a>

这里的验证器应用程序指的是用于[两步登录 Bitwarden 账户](https://help.ppgg.in/my-account/two-step-login/two-step-login-methods)所使用的程序。一定要有自动备份功能，以防您在丢失了安装了此验证器应用程序的设备时，可以恢复备份以正常登录 Bitwarden。

[Authy](https://authy.com/) 是 Bitwarden 推荐的验证器应用程序，因为它拥有任一设备的备份功能。即使您丢失了安装 Authy 的设备，备份功能也能防止您失去对两步登录令牌的访问。在 Authy 程序的 **Accounts** 界面打开 **Authenticator Backups** 开关，即可使用该功能。

不推荐 [Google Authenticator](https://support.google.com/accounts/answer/1066447?hl=en)，虽然「从 2020 年 5 月 7 日起，Google Authenticator 包含了验证码在跨 Android 设备上的可移植性功能」。

| 验证器应用程序                                                                                      | 支持的平台                           | 开发者                                                    |
| -------------------------------------------------------------------------------------------- | ------------------------------- | ------------------------------------------------------ |
| [Authy](https://authy.com/)                                                                  | iOS、Android、macOS、Windows、Linux | [Twilio](https://www.twilio.com/en-us)                 |
| [FreeOTP](https://freeotp.github.io/)                                                        | iOS、Android                     | [Red Hat](https://www.redhat.com/)                     |
| [Raivo OTP](https://raivo-otp.com/)                                                          | iOS、macOS                       | [Mobime](https://mobime.org/)                          |
| [2FAS](https://2fas.com/)                                                                    | iOS、Android、浏览器扩展               | [2FAS](https://github.com/twofas)                      |
| [Aegis](https://getaegis.app/)                                                               | Android                         | [Beem Development](https://github.com/beemdevelopment) |
| [Google Authenticator](https://support.google.com/accounts/answer/1066447?hl=en)             | iOS、Android                     | [Google](https://www.google.com/)                      |
| [Microsoft Authenticator](https://www.microsoft.com/en-us/security/mobile-authenticator-app) | iOS、Android                     | [Microsoft](https://www.microsoft.com/)                |

### 验证器应用程序比较 <a href="#authenticator-app-comparisons" id="authenticator-app-comparisons"></a>

* [Google Authenticator vs. 2FAS](https://2fas.com/vs/google-authenticator/)
* [Microsoft Authenticator vs. 2FAS](https://2fas.com/vs/microsoft-authenticator/)
* [10 Most Popular Two-Factor Authentication Apps Compared](https://www.protectimus.com/blog/10-most-popular-2fa-apps-on-google-play/)
* [The 10 best authenticator apps for Android, iOS, Windows, and macOS](https://www.kaspersky.com/blog/best-authenticator-apps-2022/43261/)

## Bitwarden 李鬼 <a href="#bitwarden-counterfeiter" id="bitwarden-counterfeiter"></a>

* [https://www.bitwarden.pro](https://www.bitwarden.pro/)

Bitwarden 公司很看重 bitwarden 域名的所有权。我注册过几次 bitwarden 的顶级域名，最后都被 Bitwarden 仲裁收回。所以，李鬼很难长期存在，也反映了 Bitwarden 对安全的重视。