术语以及其他

名词术语

• 2FA：Two-factor authentication，双重验证、二次验证。比如某些网站，使用用户名和密码验证后还需要短信验证码才能登录。双重验证 (2FA) 是多重验证 (MFA) 的一个特例。

• MFA：除了双重验证 (2FA) ，还有三重验证、四重验证等，这些统一叫做多重验证。

• U2F：Universal 2nd Factor，通用第二因素。是一个开放认证标准，它使用专门的 USB 或 NFC 设备来加强并简化双重验证 (2FA) 。最初由 Google 和 YubiKey 开发，目前由 FIDO 联盟运作和管理。

• FIDO：Fast IDentity Online，在线快速身份认证。FIDO 是一套身份认证框架协议，由 FIDO 联盟维护并制定相应的技术规范和标准。

• FIDO 联盟：是一个成立于 2012 年 7 月的行业协会，旨在为众多网站和移动服务提供更简单、更安全的用户身份认证体验的开放性可扩展标准。

• FIDO U2F：是一个由 FIDO 联盟制定的 U2F 身份认证标准。

• OTP：One-Time Password，一次性密码，也叫动态密码。

• TOTP：Time-based One-time Password，基于时间的一次性密码。

两步登录支持的客户端应用程序

两步登录方式	桌面应用程序	移动应用程序	CLI	网页密码库	浏览器扩展
验证器应用	✔︎	✔︎	✔︎	✔︎	✔︎
电子邮件	✔︎	✔︎	✔︎	✔︎	✔︎
YubiKey OTP	✔︎	✔︎	✔︎	✔︎	✔︎
FIDO2 WebAuthn	⚊	⚊	⚊	✔︎	✔︎
Duo Security
—Duo Push	✔︎	✔︎	⚊	✔︎	✔︎
—Duo 短信	✔︎	✔︎	⚊	✔︎	✔︎
—Duo 电话	✔︎	✔︎	⚊	✔︎	✔︎
—Duo U2F 安全钥匙	⚊	⚊	⚊	✔︎	✔︎
—Duo Token	✔︎	✔︎	⚊	✔︎	✔︎
—Duo Bypass Code	✔︎	✔︎	⚊	✔︎	✔︎

YubiKey OTP 和 FIDO2 WebAuthn 比较

	连接验证服务器	支持的 Bitwarden 应用程序
YubiKey OTP	需要（每次）	所有
FIDO2 WebAuthn	不需要	仅网页密码库和浏览器扩展

支持 FIDO U2F 的安全钥匙

• YubiKey：由瑞典 Yubico 公司开发的安全钥匙。YubiKey 5 系列、4 系列、YubiKey FIPS 系列、Security Key 系列、YubiKey NEO、YubiKey Edge 支持 FIDO U2F。维基百科条目。

• SoloKeys：由美国 SoloKeys 公司开发的安全钥匙。

• Google Titan：由美国 Google 公司开发的安全钥匙。

• Nitrokey FIDO U2F：由德国 Nitrokey 公司开发的安全钥匙。

• FEITIAN Security Key：由中国飞天公司开发的安全钥匙。

支持 OTP 的 YubiKey

• YubiKey 5 系列

• YubiKey FIPS 系列

• YubiKey 4 系列

• YubiKey NEO

• YubiKey Edge

YubiKey 4 系列、YubiKey NEO、YubiKey Edge 已经停产。

验证器应用程序推荐

这里的验证器应用程序指的是用于两步登录 Bitwarden 账户所使用的程序。一定要有自动备份功能，以防您在丢失了安装了此验证器应用程序的设备时，可以恢复备份以正常登录 Bitwarden。

Authy 是 Bitwarden 推荐的验证器应用程序，因为它拥有任一设备的备份功能。即使您丢失了安装 Authy 的设备，备份功能也能防止您失去对两步登录令牌的访问。在 Authy 程序的 Accounts 界面打开 Authenticator Backups 开关，即可使用该功能。

不推荐 Google Authenticator，虽然「从 2020 年 5 月 7 日起，Google Authenticator 包含了验证码在跨 Android 设备上的可移植性功能」。

验证器应用程序	支持的平台	开发者
Authy	iOS、Android、macOS、Windows、Linux	Twilio
FreeOTP	iOS、Android	Red Hat
Raivo OTP	iOS、macOS	Mobime
2FAS	iOS、Android、浏览器扩展	2FAS
Aegis	Android	Beem Development
Google Authenticator	iOS、Android	Google
Microsoft Authenticator	iOS、Android	Microsoft

验证器应用程序比较

• Google Authenticator vs. 2FAS

• Microsoft Authenticator vs. 2FAS

• 10 Most Popular Two-Factor Authentication Apps Compared

• The 10 best authenticator apps for Android, iOS, Windows, and macOS

Bitwarden 李鬼

• https://www.bitwarden.pro

Bitwarden 公司很看重 bitwarden 域名的所有权。我注册过几次 bitwarden 的顶级域名，最后都被 Bitwarden 仲裁收回。所以，李鬼很难长期存在，也反映了 Bitwarden 对安全的重视。