yubikey 到手了， fido 模式怎么没有设置初始密钥的地方？

[liuidetmks]

买这个主要就是用来免密码登录网站，gmail ，outlook ，应该是用的 fido2 协议吧。

（ gpg 这些高级功能目前用不到，PIV 啥的也不懂）

比较疑惑的是 fido2 设置只有一个设置 pin 的选项。

第一次不是应该设置一个私钥之类的东西吗

只能用他出厂内置的私钥登录？

[FanError]

关注，买了 4 个，卖了 2 个，留 2 个自用，还没拆封。

[me221]

` ssh-keygen -t ed25519-sk -O resident -C "your remark" `

[Zikinn]

@FanError 如果你是 Windows 的话，在 Accounts → Sign-in Opinions → Security Key 里面，点一下图标然后按 Manage 设置密码就行了


[sobigfish]

请问用的什么转运？貌似券码还没过期😂

[leoleoasd]

用卡上的随机数生成器生成的新秘钥才是安全的（毕竟从电脑写到卡上的过程可能被监听），用 yubikey 的管理软件应该能 reset ？大概是这个时候会在卡上生成一个秘钥？

[leoleoasd]

里面本身就有一个秘钥的话，应该是出场就自带了一个？

[liuidetmks]

@sobigfish 转运中国，这单用了 59 ，不知道什么水平。

[billgong]

FIDO2 模式密钥你看不到的，只有 pin 可以设置（必须设置一个 pin ）抹掉 pin 的话私钥应该也就重置了吧

YubiOTP 的话出厂默认带一个 key 在 slot1 ，默认是锁定的状态，千万不要删掉（自己再生成的 cc key 有 trust 的问题）

大部分功能可以用 yubikey manager 管理，但更高阶的功能需要用 personalization tool ，只是那个工具现在已经 EOL 了

[billgong]

U2F 模式仅支持 MFA ，不需要用户端校验，所以每个 app 都生成新的密钥对
https://developers.yubico.com/U2F/Protocol_details/Key_generation.html
然后 yubikey 里再用设备自己的主密钥处理生成的密钥私钥，整个过程 yubikey 不存储任何新创建的信息

新的 FIDO2 支持 resident key 模式，这样就能允许设备存储某一 app 的私钥，实现（更高一级的） passwordless 。

不支持 FIDO2 的 Yubikey （四代及以前）主密钥永远不变。支持 FIDO2 的 Yubikey （五代及以后）重置 pin 会重设主密钥。

[billgong]

@billgong 更正：YubiOTP 原厂 key 是 cc 开头；
自己生成的 key ，需要公开注册的 key 是 vv 开头，其他前缀只能作为私有用途。

[julyclyde]

@billgong trust 问题是什么问题啊？

[Projection]

使用官方 YubiKey Manager 图形化界面，或者命令行：

```bash
ykman fido reset
ykman fido access change-pin
```

[billgong]

@julyclyde YubiOTP 不像 U2F ，是需要目录服务器支持的。如果 app 选择使用 YubiOTP ，他们就可以配置服务为仅信任 cc 开头的密钥，即便 Yubico 的服务器上 cc 和 vv 开头的密钥都有提供。

YubiOTP 生成的时候需要在服务端保存一个不公开的密钥。cc 密钥在设备生产的时候就已经生成了，可以理解为密钥没有在公网公开过，信任度更高。vv 密钥生成后需要通过网络传到 Yubico 的服务器，这个过程有可能被破解窃听，所以信任度不如 cc 密钥。

这些对 U2F 和 FIDO2 没有影响，两者是完全不同的技术