有没有靠谱的 2FA 验证器推荐？

[click]

被 Microsoft Authenticator 坑惨了！
最近换机发现 Microsoft Authenticator 没法跨平台备份/恢复，iOS 平台和安卓平台不互通。

需求：
1.支持跨平台备份/恢复。
2.不用翻墙。

[TossPig]

Vaultwarden

[xinge666]

https://2fas.com/

全平台，还支持浏览器插件

[BigShot404]

我用 Authy

https://authy.com/

[ladypxy]

Authy

[ab]

google authenticator + 苹果密码
前者扫完再用 ios 相机也扫一次。
后者既可当做备份也可以方便 safari 使用。

[bobryjosin]

yubico authenticator 需要你有一个 yubikey ，全平台都有客户端，离线不联网，代价是出门需要额外带一个硬件，丢失损坏不能恢复存储的 2fa ，我一般是两个 yubikey+authy 都存一份。

[SenLief]

密码管理器不是都带 totp

[arfaWong]

自建 bitwarden

[gletec]

密码管理器自带 totp 记录。而且很多是支持自动填入的，都不需要你自己手动输入。

[netnr]

在用 Aegis ，而且可以导出

[uuhhme]

ente 跨平台，支持导出二维码，现在用的挺好。同时 iCloud 钥匙串备份一份，无忧

[qistchan]

自建 bitwarden+1 ，自带 TOTP

[surbeta]

Authy,用了很多年了

[n2l]

Authy PC 版好像得挂代理才能上去。

[lisxour]

可以手动导出，https://www.v2ex.com/t/979314

[vacuitym]

用的 Google 的

[zjcoding]

google ，可以导入导出

[youngkingdom]

自建 bitwarden+1

[woshicixide]

用的微软的 authenticator

[wuxiao2522]

Authy

[woshicixide]

被你这么一说也想换了

[lw0717]

我也被 Microsoft Authenticator 坑过，换了 Google 的

[nothingistrue]

Microsoft Authenticator Q&A 第一个就是，不能在 Android 和 iOS 之间切换。事实上你刚开始看到 iOS 备份需要 icloud ，Android 备份不需要，就该猜到两个平台之间的备份是独立的。Microsoft Authenticator 的 2FA 只是附加功能，它的主功能是 Microsoft Account 的免密登录器，这是物理密钥，它的「备份/恢复」不是复制粘贴，而是密钥迁移，这要想跨平台就太为难了。

TOTP 2FA ，虽然技术上不是物理密钥（它的密钥可以随意复制），但你最好还是别搞什么跨平台同步。想要跨平台同步就没法用平台私有的文件系统加密防护，同步服务商只能在自己的服务端用主密码来保护密钥（不负责人的甚至会明文存储密钥），一旦服务商发生泄漏你就乐开花了——重置 2FA 可比重置密码的操作繁琐多了。

最好还是各用各的，这样除了安全性高之外，还天然给你的众多 2FA 多了一套备份。 Microsoft Authenticator 是使用相同的主帐号来在多个设备中断上各用各的的。

[weidaizi]

https://github.com/MuggleWei/yoauth

我用自己写的，一个本地的，纯命令行终端下的 TOTP generator ；支持 linux/windows/mac/android ，要备份直接复制本地数据文件就 ok 了

[ztxcccc]

歪一下楼，之前谷歌那个更新了以后很多人反馈同步有问题，现在解决了吗？我还在用很旧的版本

[mikaelson]

我倒是想问有没有能自动填充的？
虽然用的浏览器插件，但是每次都要点一下。。。。

还有就是，比如 jumpserver 这一类的跳板机，有办法在用本地 ssh 客户端的时候也能自动填充吗。。。太麻烦了

[mhqschen]

@woshicixide #19 那么多血淋淋的案例，怎么还敢用

[click]

@gletec
@arfaWong
@qistchan
@youngkingdom
感谢回复。bitwarden 的 TOTP 是要付费的吧

[click]

@ab
@vacuitym
@zjcoding
感谢回复。Google 要翻墙。虽然说我可以翻，但也不是一直挂着

[arfaWong]

@click #28 自建的就是免费用的

[MuSeCanYang]

２ FAS

[zjcoding]

@click #29 不用啊，只是下载的时候需要，用的时候不需要联网的

[qistchan]

@click 自建的免费

[NoOneNoBody]

import pyotp
totp = pyotp.TOTP(...)
print(totp.now())

[CodeCodeStudy]

php 的代码，不依赖第三方库

```php
<?php

class TOTP {
private static $base32Map = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ234567';

private static function base32Decode($in) {
$l = strlen($in);
$n = $bs = 0;

for ($i = 0; $i < $l; $i++) {
$n <<= 5;
$n += stripos(self::$base32Map, $in[$i]);
$bs = ($bs + 5) % 8;
@$out .= $bs < 5 ? chr(($n & (255 << $bs)) >> $bs) : null;
}

return $out;
}
public static function getOTP($secret, $digits = 6, $period = 30, $offset = 0) {
if (strlen($secret) < 16 || strlen($secret) % 8 != 0)
return ['err' => 'length of secret must be a multiple of 8, and at least 16 characters'];
if (preg_match('/[^a-z2-7]/i', $secret) === 1)
return ['err' => 'secret contains non-base32 characters'];
$digits = intval($digits);
if ($digits < 6 || $digits > 8)
return ['err' => 'digits must be 6, 7 or 8'];

$seed = self::base32Decode($secret);
$time = str_pad(pack('N', intval($offset + time() / $period)), 8, "\x00", STR_PAD_LEFT);
$hash = hash_hmac('sha1', $time, $seed, false);
$otp = (hexdec(substr($hash, hexdec($hash[39]) * 2, 8)) & 0x7fffffff) % pow(10, $digits);

return ['otp' => sprintf("%'0{$digits}u", $otp)];
}
}

echo TOTP::getOTP('xxx')['otp'];
```

[LCD]

试一下，freeotp

[sayoll]

https://github.com/Bubka/2FAuth

[click]

感谢大家的回复，最后我还是用回了 MS Authenticator 。因为微软账户好像只支持 MS Authenticator