無痛用Bitwarden取代Google Authenticator

更新於 發佈於 閱讀時間約 4 分鐘

為了保護網路帳號的安全,除了要有強悍、難破解、不共用的密碼之外,許多網站也會要求必須開啟「2FA」雙因子認證保護機制。

雙重認證(英語:Two-factor authentication,縮寫為2FA),又譯為雙重驗證雙因子認證雙因素認證二元認證,是多重要素驗證中的一個特例,使用兩種不同的元素,合併在一起,來確認使用者的身分。(維基百科

2FA認證最常見的兩種方式:SMS簡訊驗證與TOTP認證。

基於時間的一次性密碼演算法(英語:Time-based One-Time Password,簡稱:TOTP)是一種根據預共享的金鑰與當前時間計算一次性密碼的演算法。它已被網際網路工程任務組接納為RFC 6238標準,成為主動開放認證(OATH)的基石,並被用於眾多多重要素驗證系統當中。(維基百科

簡訊驗證多數人較熟悉,但缺點是可能會隔很久才收到或沒收到簡訊,以至於超過驗證時效。而TOTP則是必須在啟用時先輸入「密鑰」,未來就只需要進入TOTP app中查看六位數的認證碼即可。最常見的TOTP app應該非Google Authenticator莫屬。

Google Authenticator

Google Authenticator

自從我開始使用Bitwarden後,解決了記憶密碼的問題,但輸入密碼後老是要再掏出手機查看Google Authenticator,著實有些麻煩。雖然我知道Bitwarden具備整合TOTP認證的功能,但一想到要逐個網站去申請新「密鑰」就感到懶惰。(註:若是使用bitwarden.com的免自架服務,需付費升級至Premium等級才能使用TOTP整合服務;自架則無此限制)

然而,一切在Google大神的幫助下有了轉機。以下是我一次性匯出Google Authenticator中「密鑰」的過程,希望對於申請新「密鑰」感到卻步的人,可以無痛用Bitwarden取代Google Authenticator。

從Google Authenticator提取密鑰

使用轉移帳戶功能獲取所有密鑰

進入Google Authenticator的選單,找到「移轉帳戶」選項,並選擇「匯出帳戶」。

raw-image

將密鑰解碼

選擇匯出帳戶後,會得到幾個QR code,QR code的內容便是密鑰。但Google Authenticator將這些密鑰以Base64演算法編碼,因此還必須先進行解碼。

我在GitHub上找到一個開源的解碼專案「extract_otp_secrets」,下載安裝後會啟動相機掃描Google Authenticator的QR code,再自動將密鑰解碼出來。因此建議操作時使用筆電或帶有視訊鏡頭的電腦會比較方便。當然,也可以使用文本的方式輸入,由於操作門檻較高,可以參閱原作者的說明文件進行操作。

開啟extract_otp_secrets後,電腦會開啟鏡頭,並在右上角顯示目前已掃描幾個QR code、有幾組TOTP被成功解碼。

raw-image

匯出密鑰與QR code

掃描完成後,按下「Shift+T」即可將解密結果存成純文字檔。

raw-image

將密鑰輸入Bitwarden

得到上面的純文字檔後,就可以進入Bitwarden輸入TOTP密鑰。可以將密鑰複製到電腦版Bitwarden的TOTP欄位,或使用Bitwarden的手機app直接掃描純文字檔中的QR code。(此QR code即為密鑰明碼,請小心使用,使用完畢請徹底刪除)

raw-image

結語

如果你已經使用Google Authenticator一段時間,肯定會和我一樣有許多TOTP認證碼,逐一轉移到Bitwarden實在是痛苦又冗長的過程。

透過Google Authenticator轉移帳戶的功能,可以一次性的提取所有TOTP密鑰,加快整合TOTP到Bitwarden的過程。整合完成後,不論是輸入帳號密碼或是輸入TOTP認證碼,都只需要Bitwarden即可搞定,在安全性和方便性取得平衡。

後記-資安考量

雖然將TOTP整合至Bitwarden非常方便,但這也代表Bitwarden資料庫中保有TOTP密鑰,也就是說,如果Bitwarden的資料庫外洩,帳號幾乎可以說是沒救。

我的想法是,Bitwarden資料庫不是以明碼方式儲存資料,縱使資料庫整個被盜走,小偷也必須解密資料庫才能獲得密鑰。此外,由於我是自行架設Bitwarden,資料庫是由我自己管理,沒有管理人員外洩給他人的危險,唯一的問題只有伺服器的安全性風險。然而,我並非什麼政商名流,我自己管理的伺服器被攻擊的機率本就沒有那麼高(參閱:LassPass遭駭事件),這也是我選擇自架Bitwarden的原因之一。

有連網的設備就有被攻擊的風險,我想這是身為網路使用者應該有的認知。怎麼在方便性和安全性之間取得平衡,是我們永遠的課題。

留言
avatar-img
留言分享你的想法!
avatar-img
GYB的沙龍
40會員
52內容數
正在就讀法律系的你,一定耳聞過司律考試,甚至已經下場考過。我有幸從考海中上岸,希望透過我的經驗,幫助正在迷惘、焦急、或是洩氣的你/妳。專題內容包含是否要參加考試、如何準備考試、面授與函授的優缺點比較等等,幫助你/妳找到最適合自己的解方。
GYB的沙龍的其他內容
2023/09/04
除了電腦與網路技術方面的人才,完整的資安架構還必須包含資安法遵師。我甚至認為,多數企業對於資安法遵的需求,高於資安技術。企業面對資安威脅,必須採取風險控管的角度,將實際的防禦技術工作外包給專門的資安公司進行,企業內部僅需評估與控制風險。而控制風險正是法遵的核心職能。期待法律人才能一同為資安盡一份力。
Thumbnail
2023/09/04
除了電腦與網路技術方面的人才,完整的資安架構還必須包含資安法遵師。我甚至認為,多數企業對於資安法遵的需求,高於資安技術。企業面對資安威脅,必須採取風險控管的角度,將實際的防禦技術工作外包給專門的資安公司進行,企業內部僅需評估與控制風險。而控制風險正是法遵的核心職能。期待法律人才能一同為資安盡一份力。
Thumbnail
2023/03/17
隱私是甚麼?很遺憾的,「隱私」在國內外的法律界,始終沒有一個統一的範圍-甚麼是隱私、甚麼不是隱私。資訊隱私學者Helen Nissenbaum教授在其著作中提出脈絡完整性理論,但仍沒有提出更放諸四海皆準的標準。或許在未來,我們可以運用機器學習去訓練一個隱私的模型,嘗試為「沒有標準」建立科學模型。
Thumbnail
2023/03/17
隱私是甚麼?很遺憾的,「隱私」在國內外的法律界,始終沒有一個統一的範圍-甚麼是隱私、甚麼不是隱私。資訊隱私學者Helen Nissenbaum教授在其著作中提出脈絡完整性理論,但仍沒有提出更放諸四海皆準的標準。或許在未來,我們可以運用機器學習去訓練一個隱私的模型,嘗試為「沒有標準」建立科學模型。
Thumbnail
2023/02/05
一開始我將Bitwarden架設在我私人的伺服器上,過程中吃了不少苦頭。後來架設於NAS上,大幅降低佈建難度。且NAS的原始設計就是長時間不間斷地開機運行,我認為是現階段自架Bitwarden的最佳方案。
Thumbnail
2023/02/05
一開始我將Bitwarden架設在我私人的伺服器上,過程中吃了不少苦頭。後來架設於NAS上,大幅降低佈建難度。且NAS的原始設計就是長時間不間斷地開機運行,我認為是現階段自架Bitwarden的最佳方案。
Thumbnail
看更多
你可能也想看
Thumbnail
每年4月、5月都是最多稅要繳的月份,當然大部份的人都是有機會繳到「綜合所得稅」,只是相當相當多人還不知道,原來繳給政府的稅!可以透過一些有活動的銀行信用卡或電子支付來繳,從繳費中賺一點點小確幸!就是賺個1%~2%大家也是很開心的,因為你們把沒回饋變成有回饋,就是用卡的最高境界 所得稅線上申報
Thumbnail
每年4月、5月都是最多稅要繳的月份,當然大部份的人都是有機會繳到「綜合所得稅」,只是相當相當多人還不知道,原來繳給政府的稅!可以透過一些有活動的銀行信用卡或電子支付來繳,從繳費中賺一點點小確幸!就是賺個1%~2%大家也是很開心的,因為你們把沒回饋變成有回饋,就是用卡的最高境界 所得稅線上申報
Thumbnail
你好,開發者們!如今,OAuth 已經成為 Web 和移動應用中身份驗證和授權的黃金標準。這種協議允許用戶向第三方應用提供有限的訪問權限,而無需共享密碼。在這篇文章中,我們將探索如何在 Gin 框架中實現 OAuth 驗證和授權。
Thumbnail
你好,開發者們!如今,OAuth 已經成為 Web 和移動應用中身份驗證和授權的黃金標準。這種協議允許用戶向第三方應用提供有限的訪問權限,而無需共享密碼。在這篇文章中,我們將探索如何在 Gin 框架中實現 OAuth 驗證和授權。
Thumbnail
最近因為想要花些時間做完一個完整的SideProject,以前總是懂得怎麼使用,拼拼湊湊完成一個塞趴卷就交卷了,但都沒時間去真正理解這些原理的應用,而Laravel 框架本身支持的登入登出的工具,就有好多種。
Thumbnail
最近因為想要花些時間做完一個完整的SideProject,以前總是懂得怎麼使用,拼拼湊湊完成一個塞趴卷就交卷了,但都沒時間去真正理解這些原理的應用,而Laravel 框架本身支持的登入登出的工具,就有好多種。
Thumbnail
哈囉!在今天的文章中,我們將深入探討如何在 Gin 應用中實現 JWT 驗證。這種技術允許我們安全地驗證和授權用戶,並確保我們的 API 或 Web 應用的資源僅被許可的用戶訪問。
Thumbnail
哈囉!在今天的文章中,我們將深入探討如何在 Gin 應用中實現 JWT 驗證。這種技術允許我們安全地驗證和授權用戶,並確保我們的 API 或 Web 應用的資源僅被許可的用戶訪問。
Thumbnail
透過Google Authenticator轉移帳戶的功能,可以一次性提取所有TOTP密鑰,加快整合TOTP到Bitwarden的過程。整合完成後,不論是輸入帳號密碼或是輸入TOTP認證碼,都只需要Bitwarden即可搞定,在安全性和方便性取得平衡。在方便性和安全性之間取得平衡,是資安永遠的課題。
Thumbnail
透過Google Authenticator轉移帳戶的功能,可以一次性提取所有TOTP密鑰,加快整合TOTP到Bitwarden的過程。整合完成後,不論是輸入帳號密碼或是輸入TOTP認證碼,都只需要Bitwarden即可搞定,在安全性和方便性取得平衡。在方便性和安全性之間取得平衡,是資安永遠的課題。
Thumbnail
最近我的 X 上出現有許多人的加密貨幣被盜 一開始指向是 WPS(金山軟件辦公室套件) 後來又指向比特指紋瀏覽器
Thumbnail
最近我的 X 上出現有許多人的加密貨幣被盜 一開始指向是 WPS(金山軟件辦公室套件) 後來又指向比特指紋瀏覽器
Thumbnail
在進行開發工作時,可能會使用不同的 Git 帳號做登入和推送的情形,例如: 公司的 Git 帳號和個人的帳號,這樣做的好處是為了確保開發工作能清楚劃分,所以需要做切換帳號的動作,特別是在不同的專案間切換 commit 的對象,因此有了這篇文紀錄這個過程。
Thumbnail
在進行開發工作時,可能會使用不同的 Git 帳號做登入和推送的情形,例如: 公司的 Git 帳號和個人的帳號,這樣做的好處是為了確保開發工作能清楚劃分,所以需要做切換帳號的動作,特別是在不同的專案間切換 commit 的對象,因此有了這篇文紀錄這個過程。
Thumbnail
使用網銀時我們常常會聽到OTP、OTP, 究竟OTP是什麼呢? 全名為「One Time Password」, 一次性密碼, 顧名思義就是密碼僅能一次性的使用, 在過去我們也都很清楚單純的帳號密碼登入已經不是一個非常安全的選項的, 萬一牽涉到重要的金錢交易時, 如果安全環節沒有兼顧, 將導致個人財產
Thumbnail
使用網銀時我們常常會聽到OTP、OTP, 究竟OTP是什麼呢? 全名為「One Time Password」, 一次性密碼, 顧名思義就是密碼僅能一次性的使用, 在過去我們也都很清楚單純的帳號密碼登入已經不是一個非常安全的選項的, 萬一牽涉到重要的金錢交易時, 如果安全環節沒有兼顧, 將導致個人財產
追蹤感興趣的內容從 Google News 追蹤更多 vocus 的最新精選內容追蹤 Google News