GitHub 启用了 TOTP，国内有没有硬件级密码器可以买得到？

[cnbatch]

Google 了一圈，发现有一家瑞士制造商专门制作各种网站的硬件级密码器（公司叫做 token2 ），还可以自行编程设置写入它未曾预设的 profile ，比如 GitHub 。

在淘宝搜了一圈，搜到的密码器是专门给企业做内部授权用的，附带服务器侧解决方案，不适用于我这种普通网站 2FA 的普通用户。

京东连卖的都没有。

可能是我的搜索关键词不正确？我是直接搜 TOTP 。所以顺便问问，应该用什么关键字去搜？

我还考虑过海淘密码器，但发现有法规限制（商用密码进口许可清单），需要申请许可证，密码器才可以入境。

---

我手机也已经安装好相应的 TOTP 应用，备用密码串也已经下载好，但还是想弄一个硬件密码器。

多一个方案总没坏处

[infinet]

感觉硬件 TOTP 的主要问题是对时。手机可以联网或者从基站获取精确时间，如何保证硬件 TOTP 时间不漂得太远？

[JustBecause]

15L 说的 YubiKey 不可以吗，挺有名的吧

[zbinlin]

TOTP 实际上是用一串字符串(secret key) 算时间戳，你可以把那串字符串打印出来保存

[bobryjosin]

Yubikey 不就行，也带 TOTP ，随便找一个能安装 yubico authenticator 的设备就可以存取 code ，也可以用 U2F ，完全符合你的要求，而且这玩意挺耐造不需要充电，防止彻底丢了，把 recovery codes 打印出来不就完事了。

[rei4]

国内如果担心不好买 yubikey 的话， 推荐看一下清华大学 TUNA 协会出的开源硬件密钥 Canokey ， 功能没 yubikey 多，胜在开源和便宜。

顺带说下，yubikey 硬件不是开源的哦

[Cusox]

canokey 可以的，我有一个，不过用来给 git 签名和服务器 ssh 验证比较多

[cnbatch]

@790002517zzy 我现在用的就是 2FA 的 App ，硬伤还是存在——就是手机本身（屏幕和电池）

这就是为什么我不愿用手机的原因，已经有过两次惨痛经历，实在不想再经历第三次

[cnbatch]

@JustBecause yubikey 除了需要插 USB 这一步比较消耗时间（我家用的是台式机，放在桌子底下，要弯腰蹲下伸头探到主机尾部再插 USB ），还确实挺完美的

[cnbatch]

@infinet 这应该需要看硬件制造商的技术水平了，或者自带 USB 接口允许用户随时同步时间也说不定？

[cnbatch]

@zbinlin 我还真的这么做了😆

然后觉得这样好像有点随意了，差不多等于把密码写在白纸上贴到墙壁

有个硬件 token 也许差不多，起码会……安心一点吧

[Deplay]

yubukey ，已经用了快一年
至于你说的 usb 要弯腰的问题，建议买个拓展坞，毕竟也要插 u 盘之类的吧。。。

[YGHMXFAL]

开启 TOTP 时让你扫描得那张二维码,你随便找一款开源离线扫码器,解析出字符串,备份这个字符串就行了

只要有这个字符串,你随时随地可以在任何验证器 APP 上重新恢复这个 2FA 实例,因为标准和算法是统一地

你非得执着于一个`硬件`干啥

[YGHMXFAL]

甚至你都不需要解析,直接顺手截图,备份这个二维码图片就行了

[cnbatch]

@Deplay 原本有两个 USB 扩展 hub 的，都被我的可乐泡坏了（个人坏习惯，在电脑前喝可乐，试过几次不小心碰翻），然后就懒得买…

[wizardyhnr]

Canokey?

[mooyo]

yubikey

[cnbatch]

@YGHMXFAL 二维码我也已经保存下来了，就如同前面打印字符串一样

总的来说用起来还是硬件简单，按个按钮就能跳验证码，不需要鼠标点来点去，也不用手机按来按去

[sonnyclarity492]

@YGHMXFAL #32 同意，

建议把 TOTP 字符串记录下来，手写、云端、本地多地备份，异地容灾。

[ahbicj]

把 key 拿到打印出来，标准算法的重新导入就完事了呀😢

[sonnyclarity492]

@cnbatch #37

（自建个） Bitwarden ，点一下鼠标就能获取 TOTP 了