如果你在这个网站上只做一件事，就做这一件。这里的其他所有措施都只是在边际上降低风险；而这一项消除了一整类攻击，而且恰恰是从事这类工作的人真正会遭遇的那类攻击。它的花费不到一双鞋，只需一个下午。
01为什么验证码可以被窃取，而密钥不能
即使这种攻击没有得逞，你也见过它。一封邮件或消息说你的账户出了问题。链接指向一个与真实登录页面像素级完全相同的页面。你输入了密码。它要求你输入验证器代码。你也输入了。
在幕后，攻击者的服务器在同一时刻登录真实网站，实时转发你输入的一切。你的验证码是真实的。它在三十秒内有效。你只是把它输入到了错误的窗口，而三十秒足够了。
应用根据共享密钥和时钟生成一个数字。它不知道你正在看哪个网站，因此无法区分真实登录页面和副本。弱点不是验证码，而是人的眼睛。任何依赖你识别虚假域名的防御最终都会失败，因为伪造品非常逼真，而你会疲惫。
安全密钥的工作方式不同。当你将它注册到一个网站时，它会存储一个与该网站真实域名绑定的密钥。登录时，网站会发送一个挑战；密钥会对其进行签名，但前提是核实请求的域名与注册时的域名一致。如果是一个仿冒域名发起请求，密钥根本不会响应。无需转发任何信息，无需输入任何内容，你也不会出错。
谷歌将其全体员工——数万人——迁移到了安全密钥，并报告此后员工账户零成功钓鱼接管。这是消费者安全领域针对任何单一措施的最有力证据，也是为什么本指南排在第一位而非第五位。
02密钥上有什么
YubiKey 5 不是单一设备。它是同一块塑料中的几个独立安全设备，大多数人只使用其中一个，从不知道其余的存在。以下是全部内容，用通俗的语言说明。
| 功能 | 是否使用？ | 用途 |
|---|---|---|
| FIDO2 / WebAuthn | 是，就是这个 | 现代标准。防钓鱼登录，也是通行密钥的基础。这就是你在 Google、Microsoft、GitHub、Cloudflare、Proton 以及大多数重要服务上会用到的东西。 |
| 通行密钥（常驻密钥） | 是 | 同样的事情，但密钥也存储账户身份，因此你完全无需输入用户名或密码即可登录。存储空间有限——请参阅下方说明。 |
| U2F | 自动 | 同一思路的旧版本。仍被一些网站使用；密钥会处理它，无需你选择。 |
| OATH-TOTP | 视情况而定 | 将你普通的六位验证码存储在密钥上，而不是手机应用中，通过 Yubico Authenticator 读取。适用于不支持 FIDO2 的网站。它仍然是验证码，仍然可被钓鱼，它保护的是密钥，而不是登录过程。 |
| 质询-响应 (HMAC-SHA1) | 是，配合 KeePassXC | 使你的密码数据库需要物理密钥才能打开。详见 KeePassXC 指南，这种配对使两个工具都显著更强。 |
| PIV / 智能卡 | 高级 | 存储证书。用于无法从设备复制走的 SSH 密钥，以及一些企业和政府系统。 |
| OpenPGP | 高级 | 将 GPG 密钥保存在硬件上，因此签名和解密都在密钥上完成，私钥永远不会接触你的电脑。 |
| Yubico OTP | 很少 | 一种早于 FIDO 的旧式一次性密码方案。一些较旧的服务仍在使用它。除非有服务要求，否则不要动它。 |
| 静态密码 | No | 当你触碰密钥时会输入一个固定字符串。这是来自另一个时代的便利功能。不要用它处理任何重要的事情。 |
常驻密钥，也就是让你无需用户名即可登录的密钥，会在设备上占用永久槽位，而且数量是固定的。较旧的 YubiKey 5 固件大约可存 25 个；较新的固件可存的数量要多得多。普通的 FIDO2 第二因素注册不受这种限制，所以你可以把一把密钥添加到数百个网站而不会占满任何空间。如果你用完了，那一定是因为通行密钥，而不是 2FA。
03该买哪一个
决定因素主要在于末端的插头，以及你是否想要那些额外功能。让接口与你的手机和电脑相匹配；如果两者不同，就各买一个，而不是随身带一个你迟早会弄丢的转接头。
| 型号 | 最适合 | 说明 |
|---|---|---|
| Security Key 系列 （蓝色的那些） | 大多数人 | 仅支持 FIDO2 和 U2F，这正是你需要的部分。价格大约是 YubiKey 5 的一半。如果你不打算使用 PGP、PIV 或 KeePassXC 配对，这是诚实的推荐。 |
| YubiKey 5 NFC | USB-A 电脑 + 任意手机 | 全功能密钥。用 NFC 轻触手机，插入笔记本电脑使用 USB。如果你想要上表中的所有功能，这是默认选择。 |
| YubiKey 5C NFC | USB-C 电脑 + 任意手机 | 完全相同，但采用 USB-C 插头。如果你的笔记本电脑较新，这很可能是正确的选择。 |
| YubiKey 5Ci | 带 Lightning 接口的 iPhone | 同时具有 USB-C 和 Lightning。仅适用于较旧的 iPhone；较新的 iPhone 是 USB-C，并且无论如何都可以使用 NFC。 |
| YubiKey 5 Nano | 留在笔记本电脑里 | 体积小，永久平插在端口里。方便，但失去了物理隔离的好处——如果笔记本电脑被拿走，密钥也会随之被拿走。 |
| Bio 系列 | 共享空间 | 用指纹代替 PIN。确实不错；价格更高；请仔细考虑在你居住的地方生物识别是否是正确的解锁方式，因为在许多司法管辖区，你被强制提供指纹比被强制提供 PIN 更容易。 |
单个密钥就是单点故障：丢了它，你可能会被永久锁在自己的账户之外，这本身就是另一种灾难。在每个账户上注册两个密钥，随身携带一个，把第二个放在物理上分离的地方，家里的抽屉、保险箱、你信任的人那里。第二个密钥是备用方案，它的成本低于恢复所需的代价。
不要从市场卖家购买，不要买二手，不要接受你不太了解的人送的礼物。安全密钥是你将托付一切的设备；供应链是产品的一部分。Yubico 的固件故意不可更新，这有利于防篡改，也意味着被攻破的密钥永远无法修复，只能更换。
04按正确顺序进行设置
顺序很重要。从可以重置所有其他账户的账户开始，并确保在此过程中不会把自己锁在外面。
-
从你的电子邮件开始
你拥有的其他所有账户都通过它来恢复，这使它成为真正的目标。前往你的电子邮件提供商的安全设置，在碰其他任何东西之前先添加两把密钥。如果你的电子邮件提供商不支持安全密钥，那是更换提供商的理由，而不是跳过这一步的理由。
-
同时注册两把密钥
一次性完成，在所有账户上都这样做。人们遇到的失败模式是现在注册一把密钥，然后“以后再添加备用密钥”——以后永远不会到来，然后第一把密钥就进了洗衣机。
-
妥善保存恢复代码
每个网站都会给你一组一次性恢复代码。这些代码可以完全绕过你的密钥，所以它们值得和密钥本身一样小心对待。把它们放进你的密码管理器，或者打印出来放在物理上安全的地方。不要给它们拍照，也不要把它们留在下载文件夹里。
-
现在检查较弱的方法
如果短信验证码仍然是备用方式，SIM 卡交换可以绕过密钥。一旦两把密钥都能正常工作，在服务允许的地方关闭短信。只在你需要作为恢复途径的地方保留验证器代码，把它的种子和恢复代码保护在你的密码管理器里，并且在测试完其余找回方式之前，绝不要移除任何一种方法。
-
按清单逐项处理
电子邮件之后：如果你的密码管理器支持密钥，就处理它，然后是云存储，接着是你发布内容所用的社交账户，然后是所有绑定了支付方式的账户，最后是代码托管。剩下的可以等一个空闲的晚上再处理。
-
在把备用密钥收起来之前先测试它
注销，然后专门使用备用密钥重新登录。未经测试的备份只是一种猜测。
05它不能保护你免受什么
安全密钥是普通人可用的最强单一控制手段，但它仍然有局限。它能抵御网络钓鱼。它不能抵御以下这些。
- 钓鱼页面，无论多么逼真，包括实时中继攻击。
- 撞库攻击，你从其他网站泄露中获得的密码本身已毫无用处。
- 密码猜测和喷洒攻击。
- 大多数 SIM 卡交换攻击，一旦短信作为备用方式被移除。
- 你电脑上已有的恶意软件。如果有东西在你登录后监视你的会话，密钥已经完成了它的使命并被绕过。
- 会话 cookie 窃取。攻击者窃取了活跃的会话令牌后根本不需要登录。
- 恢复途径。如果客服人员能被说服重置你的账户，你的密钥就无关紧要了。这现在是密钥保护账户失守的最常见方式。
- 物理扣押，将你和密钥一起控制。
- 你忘记保护的账户，这正是攻击者接下来会去的地方。
它完全关上了前门，攻击者转向窗户。这仍然是巨大的进步，前门是几乎所有流量所在的地方，但这也是继续阅读本网站其余内容而非止步于此的理由。
06如果你不想使用 YubiKey
YubiKey 是默认选择，因为它得到最广泛的支持、经过最彻底的审查，而不是因为它是唯一的选择。我们不从这些产品中收取任何费用。
将手机用作通行密钥
现代手机可以作为 FIDO2 认证器，让你免费获得同样的防钓鱼能力。但在一个特定方面较弱：手机是最有可能被拿走、解锁或攻破的设备。适合作为第二因素，不适合作为你唯一的因素。
07人们真正会问的问题
如果我丢失了密钥会怎样？
如果你正确操作了，就没事：你使用第二个密钥，然后从每个账户中移除丢失的那个并注册一个替代品。这正是指南坚持购买两个的原因。如果你没有这样做，你就只能依靠恢复代码，如果你连恢复代码也没有，你就只能依赖服务商的账户恢复流程，这可能需要数周时间，有时还会失败。
偷走我密钥的人能进入我的账户吗？
单靠密钥不行。密钥是第二因素，他们仍然需要你的密码，而且在大多数配置下，他们还需要密钥的 PIN，设备在几次错误尝试后就会锁定。密钥被盗对你来说是个麻烦，而不是一次入侵。不过还是把它从你的账户中移除。
我必须随身携带它吗？
只有在某处新登录时才需要。大多数网站允许你将设备标记为受信任，所以日常你很少会碰密钥——通常是在设置新机器或清除 cookie 之后。NFC 型号通过贴近手机来工作，这消除了人们想象中的大部分麻烦。
通行密钥是同一回事吗？
通行密钥是相同的密码学，具有相同的抗钓鱼能力。区别在于它存放在哪里。手机或浏览器账户中的通行密钥会通过公司的云同步，这很方便，也意味着该账户的强度就变成了你通行密钥的强度。硬件密钥上的通行密钥无法被同步、复制或提取。对于重要的账户，把它放在硬件上。
哪些账户应该首先配备一个？
电子邮件，永远如此。然后是密码管理器，接着是你发布内容的任何账户，再然后是任何持有资金的账户。如果你记录或报道这个主题，你发布内容的账户对对手来说比你的银行更有价值——失去它意味着别人以你的名义发声，这无法通过退款来撤销。
08来源与延伸阅读
- Yubico — 官方网站和型号对比 yubico.com
- FIDO 联盟，FIDO2 / WebAuthn 标准 fidoalliance.org
- Nitrokey — 开源硬件和固件替代方案 nitrokey.com
- EFF 监控自卫 — 账户安全 ssd.eff.org
- Privacy Guides — 多因素认证 privacyguides.org
最后审核：2026年9月25日