未分類
4 12 月 2020

大家都在用什么 OTP（二次验证）方案啊

大家都在用什么 OTP（二次验证）方案啊

資深大佬 : Hackerchai 2

  • 主自己在用 Bitwarden_rs 自建，但是本着二次验证不能和密码管理器放在一起的原则（安全性考虑），同时在使用andOTP来存储 TOTP，不支持自动云端备份（ GoogleDrive,Dropbox…），但是可以自动本地备份（备份到内置存储的文件夹下）。我的解决方案是定期手动导出加密后的数据到 GoogleDrive，这样即使手机遗失也可以恢复数据

  • 之前使用过Authy，支持云端自动同步（但是不支持同步到各大网盘 /WebDav ）但是它本身不开源所以不是很信任。另外它使用手机号作为登录凭证也比较反感

  • 除了 Authy 以外，其他客户端都不支持跨平台同步，无法一有改动立即同步云端备份

  • 以安卓为例，andOTP、Aegis 此类的开源 OTP 客户端不支持跨平台使用，各家的数据文件不通用

综上，如果可以造论子的话，大家希望理想的 OTP 客户端是什么样的？我有几个备选想法：

  1. Authy 的开源实现版本，除了客户端以外实现一个后端，用来完成登录和同步。不使用手机号作为二次验证，只使用Master Password来鉴权 （如此的话安全性会打折扣，这里如果各位 V 友有更好地二次验证解决方案可以留言）。实现起来类似 Bitwarden 自建，可以自行搭建，客户端指定后端同步地址

  2. 实现一套加密方案，在各平台客户端的基础上支持对接各大网盘存储 /WebDav 的 API，实现自动更新和跨平台同步

想了解一下各位大佬的 OTP 客户端，看看有没有更好地解决方案

大佬有話說 (38)

  • 資深大佬 : iphoneXr

    bitwarden 付费 60 元一年，mfa 用起来太方便了。
    注意备份 proxmox 的虚拟机就好了。

  • 資深大佬 : imn1

    pip install pyotp

  • 主 資深大佬 : Hackerchai

    @iphoneXr bitwarden_rs 自建不是更香

  • 主 資深大佬 : Hackerchai

    @imn1 手机上就没法用了呀

  • 資深大佬 : imn1

    @Hackerchai #4
    我在手机上几乎没有使用的场合

    另外，OTP 算法是固定的，只要时间校正，识别码相同，什么软件没所谓，不需要考虑软件跨平台，自己找个地方保存识别码就行

  • 資深大佬 : wooyuntest

    yubikey fido2

  • 資深大佬 : Windelight

    一个微软验证器解决多数你想要的，只要你信任微软可以保护你的信息

  • 資深大佬 : justin2018

    微软的那个~~ 同步 iOS 安卓 都有~

  • 資深大佬 : HertzHz

    对于丢失 OTP 可用其他方式恢复的就不用担心了，如果丢了 OTP 就废掉的话，可以把密钥塞 1Password 之类的地方

  • 資深大佬 : nieyujiang

    1password，只记一个主密码就行了

  • 資深大佬 : moooonb

    fido

  • 資深大佬 : wb14123

    可靠的还是物理密钥如 Yubikey，可以对服务注册多个 Yubikey 来防止丢失。

  • 資深大佬 : CrazyBoyFeng

    密码 bitwarden，2fa 用微软身份验证器，带同步。

  • 資深大佬 : baobao1270

    我用 Microsoft Authenticator

  • 資深大佬 : ericgui

    你有个后端，就意味着你被黑的风险增加了好几分，毕竟你自己维护一个服务器，你觉得安全性多高？

  • 資深大佬 : Aoang

    @ericgui 这个观点不能苟同。

    和公司比，个人的体量更小，除开针对个人的情况下，黑公司的服务器不是比黑个人的服务器可能性更大么？
    这点就不说了，毕竟无论怎么扯都是半斤八两的。

    自建的安全性并不意味着会很低，风险增加…不能很懂为什么会这么想。

    服务器防火墙别乱开端口，服务器登录做好安全措施，都用 bitwarden 了，不至于还是个弱密码吧？
    套一个 nginx，然后再套一层 cf，只允许 cf 回源。

    加一个脚本，定期备份数据文件，上传到各个地方。我是直接用 git 做的。

    服务器随时可换，数据文件丢失也没什么，那是加密的。
    但是，即使是这样，这么一个服务器除非出现 0day 怎么会被黑？

  • 資深大佬 : tsukiikekaoru

    为什么不能和密码放一起呢？ otp 的作用是在密码被攻破的情况下加一层防护，而不是服务器被攻破

  • 資深大佬 : lijinma

    1password 挺好的。

  • 主 資深大佬 : Hackerchai

    @wooyuntest 感谢 我去了解一下

  • 主 資深大佬 : Hackerchai

    @wb14123 感谢

  • 主 資深大佬 : Hackerchai

    @nieyujiang 那 1pass 的二次验证怎么解决呢

  • 資深大佬 : tsukiikekaoru

    虽然分开放的确会增加一重安全性，但使用上也会更加不方便。这就是安全性和方便性的选择了，个人观点是没有必要去追求绝对的安全性。即便是传统的单一密码机制绝大多数被攻破也是因为简单密码、多网站同一密码、微博等厂商自己被人攻击盗窃，而这些在使用不同网站不同复杂密码加 OTP 后都已经能够杜绝，也就是说使用密码管理软件后已经解决了上述问题。不要总想着有人来攻击你的服务器并且还真的攻破了，先想想自己服务器和网站有几次被人攻破的记录，没那么容易的。

  • 資深大佬 : tabris17

    google authenticator

  • 主 資深大佬 : Hackerchai

    @tsukiikekaoru 那如果我的 bitwarden 服务器被攻破了，那 otp 和密码放在一起，这时候不就完全崩溃了

  • 資深大佬 : d0m2o08

    iOS 用 jsbox 自己撸了一个,通过 dropbox 备份

  • 資深大佬 : petercui

    1password +1

  • 資深大佬 : no1xsyzy

    OTP 不得同步、不得备份。
    顺便，这似乎是方便、安全、预算不可能三角。想要又方便又安全就上强密码独立计算随身设备（比如 Yubikey ），在该设备的基础上生成一切。

    另，我有不少 OTP 只是为了骗过平台解除一些限制。不少平台只要不在不信任的设备（比如网吧）上登录、登录时看准域名、密码够强就行，没上 MFA 的必要，有其他更脆弱的验证方式，MFA 上了也不够安全，OTP 就是防呆。
    但这些平台又自作聪明地要求你添加 OTP 才能进行某些操作，那我只好骗过了。

  • 資深大佬 : janxin

    Microsoft Authenticator

  • 資深大佬 : no1xsyzy

    @Hackerchai 你 A 被攻破了，有 C 在没事儿啊，别人拿到手也破译不了就行了（指信息安全 CIA 模型）
    但我不清楚 bitwarden 是否端到端加密

  • 資深大佬 : zzyzxd

    我发现懂一些技术、或者有一些动手能力的人，总有一种幻觉，就是“我自建服务器比云服务安全”。bitwarden 软件给你了，接下来，你真的有能力、以及这个精力，保证在整个部署和后期维护的过程中永远遵循所有安全规范吗？你家或者你租的云上的 infra，有没有专业机构帮你做 security audit ？

    目前读下来你一直担心自己的服务器被攻陷，那么你可能不适合自己部署密码管理器。

    另外，

    > 本着二次验证不能和密码管理器放在一起的原则（安全性考虑）

    为什么会有这样的原则？两步验证中的第二步存在的意义，是在第一步（密码）被攻陷的情况下给账号提供第二重保护。那么什么时候攻击者能攻陷你的密码呢？
    1. 通过密码管理器之外的任何途径知道了你的密码，包括但不限于：多网站复用密码，social engineering……
    2. 密码管理器被攻陷。

    对于 1，使用密码管理器就能避免。
    对于 2，密码管理器自身应该已经有两步验证，这时候你再把 TOTP 凭证放在另一个地方，相当于你把登陆某网站的流程提高到了三步验证。这样当然更安全，但是也要自己考虑考虑是否需要安全到那种程度。

  • 資深大佬 : vain

    https://crp.to/

  • 資深大佬 : vain

    使用 bitwarden，然后将登陆 bitwarden 账号的信息（含 2ND FACTOR ）保存在我上边提到的产品中，安全性和便利性一次满足。

  • 資深大佬 : tsukiikekaoru

    @no1xsyzy 我也是。2FA 除非特殊情况我一般不会开，Google 开了是为了解除异地登录锁定，馒头是为了魔力值加成，其他还真没几个开的，开了也是增加不便，大多数情况单一复杂密码足够了。

  • 資深大佬 : olaloong

    所以，还有哪家 TOTP 支持 Steam 令牌？目前用的 KeePass + KeeTrayTOTP 插件

  • 資深大佬 : tsukiikekaoru

    @Hackerchai 我之前的最后一段话说了啊，哪有那么容易攻破服务器，做好服务器登录防护，非必要端口不开，ssh 复杂密码或者密钥登录，乱七八糟的服务不乱跑在上面，做好升级，即便公网环境很恶劣也没那么容易攻破一台服务器，大多数时候还是因为简单密码和服务端口漏洞被人黑进去了。再者退一万步真的被人黑了服务器，没有主密码也很难获得其中的内容。或者像其他人说的与其单独保存每个网站的 2FA，不如只开密码管理软件的 2FA 。

  • 主 資深大佬 : Hackerchai

    @zzyzxd otp 不和密码管理器放在一起的考虑就是自建密码管理器有被入侵的风险

  • 資深大佬 : lovehigh

    用的 keepass+KeeTrayTOTP，steam 也能支持。手机端用 keepass2android，配合坚果云的 webdav 。非常方便。

  • 資深大佬 : johnli

    @baobao1270 微软这个 OTP 只能单平台同步，iOS 和安卓不能互通，亲测