使用通行密钥登录 & 解锁

对应的官方文档地址

Bitwarden 提供三种通行密钥功能：使用通行密钥登录和解锁您的 Bitwarden 账户、在您的 Bitwarden 账户上使用通行密钥 2FA，以及为其他网站和服务自动填充已存储的通行密钥。

通行密钥为您的 Bitwarden 账户提供安全身份验证。使用它们登录，并通过支持 PRF 的设置自动解锁您的密码库，而无需输入主密码。通行密钥绕过两步登录，为传统的基于密码的身份验证提供了简化的替代方案。

要求

目前，这些 Bitwarden App 支持使用通行密钥登录和解锁您的 Bitwarden 账户：

基于 Chromium 的浏览器中的浏览器扩展
网页 App

在 macOS 上，创建和使用支持 PRF 的通行密钥来解锁您的密码库需要基于 Chromium 的浏览器。

用于登录 Bitwarden 的通行密钥需要用户验证，例如生物识别或安全密钥来验证和使用您的通行密钥。

解锁密码库要求

要使用通行密钥解密并解锁您的密码库，您需要为该通行密钥设置加密。您的浏览器（例如 Google Chrome）和身份验证器（例如 YubiKey 5）都必须同时支持 PRF 才能使用此解锁方式。如果其中任何一个不支持 PRF，您需要使用其他解锁方式，例如您的主密码或 PIN 码。

PRF 功能因设备和环境而异。例如，Google Chrome 支持 PRF，但 Chrome 配置文件不支持。YubiKey 5 是一款支持 PRF 的身份验证器。此外，已知 Windows 10 与支持 PRF 的通行密钥存在兼容性问题。

通行密钥限制

如果您所在的组织使用了要求 SSO 策略、使用受信任设备 SSO 或 Key Connector，则无法在 Bitwarden 中使用通行密钥。

Bitwarden 不会提示或允许您保存用于登录任何 Bitwarden 账户的通行密钥。这避免了需要访问您的密码库才能登录到同一个密码库的循环问题。

管理通行密钥

使用网页 App 创建、更新和删除用于访问您的 Bitwarden 账户的通行密钥。

创建通行密钥

您最多可以添加 5 个通行密钥到您的 Bitwarden 账户。要创建用于登录 Bitwarden 的通行密钥：

1、在网页 App 中，转到设置 → 安全。

2、选择主密码。

3、在使用通行密钥登录部分，选择启用，或者如果您已经设置了通行密钥，则选择新增通行密钥。系统将提示您输入主密码。

4、按照浏览器的提示创建 FIDO2 通行密钥。您可以使用生物识别等因素或通过创建 PIN 码来完成用户验证。

您可能需要取消浏览器希望您使用的默认验证器，例如，如果您想在 macOS 设备上使用硬件安全钥匙，它会优先使用 Touch ID。

5、输入您的通行密钥的名称。

6、（可选）如果您的浏览器和身份验证器支持 PRF，则用于密码库加密设置默认会被选中。这允许使用您的通行密钥解密和解锁您的密码库。如果不想将通行密钥用于密码库解锁，请取消选中此选项：

7、选择启用。

设置加密用于解锁

如果您的浏览器和身份验证器支持 PRF，您可以使用通行密钥解密和解锁您的密码库。有两种方法可以做到这一点：

创建通行密钥时，请选中用于密码库加密设置（步骤 6）。
对于现有的通行密钥，请转至设置 → 安全 → 主密码，然后选择通行密钥旁边的设置加密：

您的通行密钥列表显示了每个通行密钥的加密状态：用于加密、支持但未激活（设置加密）或不支持加密。

移除通行密钥

要从 Bitwarden 账户中删除通行密钥，请转到设置 → 安全 → 主密码，然后选择通行密钥旁边的移除。这将断开通行密钥与 Bitwarden 的连接，但私钥仍将保留在您的 FIDO2 身份验证器中。

使用通行密钥登录和解锁

创建了通行密钥后，您就可以将其使用于 Bitwarden 网页 App 和基于 Chromium 的浏览器扩展了。对于 macOS 上支持 PRF 的通行密钥，您需要使用基于 Chromium 的浏览器来访问网页 App。

如果您要登录 Linux 上的浏览器扩展，则需要先弹出该扩展，然后再尝试使用通行密钥登录或解锁：

要使用通行密钥登录和解锁您的密码库：

在 Bitwarden 登录界面，在通常输入电子邮箱地址的地方，选择使用通行密钥登录。
按照浏览器的提示读取通行密钥，这将使用 Bitwarden 验证您的身份。
接下来的操作取决于您的通行密钥是否已设置为用于密码库加密：
- 如果您的通行密钥已设置为用于密码库加密，则操作就完成了！通行密钥将用于解密并解锁您的密码库。
- 如果您的通行密钥未设置为用于密码库加密，请输入您的主密码然后选择解锁，或使用您之前已配置的其他解锁方式。

如果您已登录，想要解锁密码库，请在密码库锁定界面选择使用通行密钥解锁。按照浏览器提示读取通行密钥。这将解锁您的账户并打开您的密码库。

工作原理

使用通行密钥登录的机制取决于您的通行密钥是否设置为用于加密。

创建通行密钥

当已注册的通行密钥用于登录 Bitwarden 时：

通过 WebAuthn API，验证器生成一个通行密钥公钥和私钥对。根据定义，该密钥对构成了您的通行密钥。
通过 WebAuthn API PRF 扩展，验证器生成一个 PRF 对称密钥。该密钥源自于您的通行密钥的特有的内部机密和 Bitwarden 提供的盐化。
Bitwarden 客户端生成一个 PRF 公钥和私钥对。PRF 公钥对您的账户加密密钥进行加密，您的客户端可以通过登录和解锁来访问该密钥，然后将生成的 PRF 加密的账户加密密钥发送到服务器。
使用 PRF 对称密钥对 PRF 私钥进行加密（参见第 2 步），然后将得到的 PRF 加密的私钥发送到服务器。
您的客户端将数据发送到 Bitwarden 服务器，以用于为您的账户创建一个新的通行密钥凭据记录。如果您的通行密钥凭据被注册为支持密码库加密和解密，此记录将包含：
- 通行密钥名称
- 通行密钥公钥
- PRF 公钥
- PRF 加密的账户加密密钥
- PRF 加密的私钥

完成身份验证所必需的通行密钥私钥只会以加密格式保留在客户端中。