Yubikey 安全密钥折腾记（2）：使用入门

自从上次使用 Cloudflare Zero 的优惠买下两个 YubiKey 之后，这俩玩意被我搁置了一个学期。原因之一是学习成本不低，关于它们的文档、教程都充斥着不少不太了解的名词、概念，令人望而却步。于是经过查阅各种资料，在这篇博客中我将（用白话文）介绍我从零开始的 YubiKey 入门之旅。

（本文首发于 blog.skywt.cn，建议查看原文以获得更好的阅读体验。）

Yubico 与 YubiKey

Yubico 是一家美国的公司，是 YubiKey 的制造商。

YubiKey 是这家公司生产的硬件安全密钥。这个东西有点像以前很多银行要用的「U 盾」，是硬件层面保障安全性的一个东西。

我购买的是 YubiKey 5 系列，包含一个 YubiKey 5 NFC 和一个 Yubikey 5C NFC（Type-C 接口）。本文只介绍这两个设备支持的功能。这个设备上有一个可以触摸的按钮和指示灯。

软件安装

官方有三个软件：

• YubiKey Manager：简单易用的跨平台 GUI 的 YubiKey 管理器。相比于命令行，这个软件对于新手来说友好很多。本文我主要使用这个软件来管理 YubiKey。非常推荐安装。
• YubiKey Personalization Tool：更加专业的管理工具，有 GUI 和 CLI 两个版本。自由度更高。似乎已经停止更新。这个软件在我的 macOS 上文字显示特别模糊，不知道是为啥。
• Yubico Authenticator：一个 App，用于生成二次验证的密码（生成时需要 YubiKey 验证），类似于 Google Authenticator。不同之处在于真正秘密的信息都存储在 YubiKey 硬件上，通过很强的加密机制保障安全性。手机上可以通过 NFC 和 YubiKey 交互。

安装 YubiKey Manager 后，插入 YubiKey 它就可以识别到。可以看到支持的三个主要应用：OTP、FIDO2 和 PIV，这是三个相互独立的功能。在 Interfaces 里则可以控制各种功能的开关。

设置前准备……

理论上，为了保证较高的安全性，接下来的操作都应该在一台全新安装的、断开网络连接的 USB 镜像（比如 Ubuntu Live）或者虚拟机中进行；所有生成的临时文件都应该放在重启后就消失的 tmpfs 里。如果确实有特殊的需求，可以配置这样的环境，不过对于个人而言应该没什么必要。

OT