" %}
6、使用解密后的账户加密密钥，与客户端建立信任关系，详见**入职**选项卡。
ª - **身份验证请求公钥**和**私钥**是为每一个无密码登录请求生成的唯一密钥，其存在时间与请求的存在时间相同。未被批准的请求，请求将在 1 周后过期。
* **使用主密码批准：**
1. 按照安全白皮书中「[身份验证和解密](https://help.ppgg.in/security/bitwarden-security-whitepaper#authentication-and-decryption)」部分的说明，获取并解密用户的账户加密密钥。
2. 使用解密后的账户加密密钥，按照**入职**选项卡中的说明与客户建立信任。
{% endtab %}
{% tab title="密钥轮换" %}
{% hint style="info" %}
只有拥有主密码的用户才能轮换其[账户加密密钥](https://help.ppgg.in/docs/security/encryption/encryption-key-rotation)。[了解更多](#impact-on-master-passwords)。
{% endhint %}
当用户轮换其[账户加密密钥](https://help.ppgg.in/docs/security/encryption/encryption-key-rotation)时，正常轮换过程如下：
1. **用户密钥-已加密的公钥**从服务器发送到客户端，然后使用旧的账户加密密钥（又称**用户密钥**）对其解密，得到**设备公钥**。
2. 使用未加密的设备公钥对用户的新的账户加密密钥进行加密，然后将结果值作为新的**公钥-已加密的用户密钥**发送到服务器。
3. 使用用户的新的账户加密密钥对设备公钥进行加密，然后将结果值作为新的**用户密钥-已加密的公钥**发送到服务器。
4. 为此用户持久保存在服务器上的所有其他设备的受信任设备加密密钥都会被清除。这样，服务器上就只保留该单个设备所需的三个密钥（**公钥-已加密的用户密钥**、**用户密钥-已加密的公钥**和在此过程中未被更改的**设备密钥-已加密的私钥**）。
任何现在未受信任的客户端都必须通过**批准**选项卡中说明的方法之一重新建立信任。
{% endtab %}
{% endtabs %}
### 受信设备使用的密钥
本表格提供了有关上述过程中所使用的每一种密钥的更多信息：
| 密钥 | 详细信息 |
| ----------- | --------------------------------------------------------- |
| 设备密钥 | AES-256 CBC HMAC SHA-256，长度为 512 位（其中密钥 256 位，HMAC 256 位） |
| 设备私钥和设备公钥 | RSA-2048 OAEP SHA1，长度为 2048 位 |
| 公钥-已加密的用户密钥 | RSA-2048 OAEP SHA1 |
| 用户密钥-已加密的公钥 | AES-256 CBC HMAC SHA-256 |
| 设备密钥-已加密的私钥 | AES-256 CBC HMAC SHA-256 |
### 对主密码的影响
虽然使用受信任设备 SSO 可以消除对主密码的需求，但并非在所有情况下都能消除主密码本身：
* 如果用户是在受信任设备 SSO 激活**之前**入职的，或者如果他们从组织邀请中选择了**创建账户**，则他们的账户将保留其主密码。
* 如果用户是在受信任设备 SSO 激活**之后**入职的，并从组织邀请中选择**登录** → **企业 SSO** 进行 [JIT 配置](https://help.ppgg.in/docs/admin-console/login-with-sso-faqs#q-how-does-login-with-sso-work-for-new-users-just-in-time)，则他们的账户将无需拥有主密码。如果您更改为主密码[成员解密选项](https://help.ppgg.in/docs/admin-console/login-with-sso/sso-decryption-options)，只要这些用户仍然是组织的成员，系统就会在他们登录时提示创建一个主密码（[了解更多](https://help.ppgg.in/docs/admin-console/login-with-sso/trusted-devices/setup-sso-with-trusted-devices)）。
{% hint style="danger" %}
对于那些因使用受信任设备 SSO 而没有主密码的账户，[将其从您的组织中移除](https://help.ppgg.in/docs/manage-members/user-management#offboard-users)或[撤销其访问权限](https://help.ppgg.in/docs/manage-members/user-management#revoke-access)将切断其对 Bitwarden 账户的所有访问权限，除非：
1. 您事先使用[账户恢复](https://help.ppgg.in/docs/admin-console/manage-members/account-recovery/about-account-recovery)功能为其分配了主密码。
2. 用户在账户恢复后至少登录一次，以便完全完成账户恢复流程。
此外，除非在将用户从组织中删除之前执行上述步骤，否则用户将无法重新加入您的组织。在这种情况下，用户将需要[删除其账户](https://help.ppgg.in/plans-and-pricing/delete-an-account-or-organization#delete-your-personal-account)，并接收新的邀请以创建账户并加入您的组织。
撤销对组织的访问权限，但不将其从组织中移除，仍可让他们登录 Bitwarden 并**只能**访问其个人密码库。
{% endhint %}
* 如果使用账户恢复功能恢复了用户账户，就必须为其分配一个主密码。目前，有了主密码后，就无法将其从账户中移除，因此，为了避免出现这种结果，我们建议：(i) 指导用户将数据导出到备份中；(ii) 完全删除丢失的账户；(iii) 要求用户[使用受信任设备重新入职到您组织](https://help.ppgg.in/docs/account/log-in-and-unlock/using-single-sign-on/add-a-trusted-device)；(iv) 用户完成这些后，指导他们导入备份。
### 对其它功能的影响
根据您的客户端内存中是否有主密码哈希（由客户端应用程序最初被访问的方式决定），它可能会表现出以下行为变化：
| 功能 | 影响 |
| -------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| 验证 | Bitwarden 客户端应用程序中有许多功能通常需要输入主密码才能使用，包括导出密码库数据、更改两步登录设置、检索 API 密钥等。
如果用户不使用主密码访问客户端，所有这些功能都将使用基于电子邮件的 TOTP 验证来取代主密码确认。
|
| 密码库锁定/解锁 | 一般情况下，被锁定的密码库可以使用主密码解锁。如果用户不使用主密码访问客户端，则被锁定的客户端应用程序只能使用 PIN 或生物识别解锁。
如果客户端应用程序既没有启用 PIN 也没有启用生物识别，则密码库将始终注销而不是锁定。解锁和登录始终需要互联网连接。
|
| 主密码重新提示 | 如果用户不使用主密码解锁其密码库，则[主密码重新提示](https://help.ppgg.in/password-manager/your-vault/vault-items/vault-items#protect-individual-items)将被禁用。 |
| 更改电子邮箱地址 | [没有主密码](#impact-on-master-passwords)的用户将**无法**更改他们电子邮箱地址。 |
| CLI | [没有主密码](#impact-on-master-passwords)的用户将**无法**访问密码管理器 CLI。 |
