安全与隐私blog.singleton.io
用最聪明的笨手表在手腕上生成 TOTP 令牌
TOTP tokens on my wrist with the smartest dumb watch
2022 — 2024，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
作者把一个 1980 年代的老式电子表的机芯换成 ARM Cortex M0+ 微控制器，保留原有的显示屏和按钮，让它能在手腕上生成 TOTP 动态验证码。文章记录了这次硬件改造的思路与实现细节，属于把复古手表和现代嵌入式开发结合起来的小项目。
为什么经久不衰：它把硬件拆改、嵌入式编程和实用的两步验证需求揉在一起，动手过程讲得清楚，是那种看一次就想自己动手试试的经典 DIY 记录。
HN 评论精选
TOTP 仍可被钓鱼和本地恶意软件攻破，建议改用硬件安全密钥并开启 Google 高级保护。
很酷的改造。不过给目标读者一个安全提醒：如果你已经聪明到在 Google 账号上开了 TOTP 两步验证，不如买几个便宜的 USB 安全密钥并开启高级保护（Advanced Protection），它会完全禁用非硬件形式的 2FA。这需要两个不同的密钥（最好每台常用电脑各配一个，外加至少一个异地备份），因为一旦开启，任何没有登记密钥的人都将被彻底锁在账号之外。TOTP 并不比短信验证码强多少，它仍然容易受到钓鱼和本地恶意软件（比如攻击密码管理器里的 TOTP）的威胁。凡支持硬件密钥的地方都尽量用硬件密钥，Google 和 GitHub 都支持。
sneak查看英文原文
Cool hack. That said: A security reminder to anyone who is in the target audience here: if you're clever enough to have TOTP 2FA enabled on your Google account, get some cheap USB security keys and enable Advanced Protection, which completely disables non-hardware 2FA. It requires two different tokens (and you should really get one for each computer you have/use, plus at least one offsite backup) because once enabled it actually and completely locks anyone out of the account that does not possess one of the enrolled tokens. https://landing.google.com/advancedprotection/ TOTP is not much better than SMS-based 2FA. It's still vulnerable to phishing, local device malware (that attacks your TOTP in your password manager), etc. It's best to use hardware tokens everywhere that support them, and both Google and GitHub do. (And Google supports a special hardware token only mode which I wish more sites would adopt.)
赞叹在不换显示屏和按键的前提下把老手表换成现代微控制器。
我就是想强调一下这有多酷：把一块 1980 年代手表的内部换成 ARM Cortex M0+ 微控制器，同时还复用了原来的显示屏和按钮。
cbm-vic-20查看英文原文
I just wanted to call out how cool it is to replace the guts of a 1980s-era wristwatch with a ARM Cortex M0+ microcontroller, while reusing the original display and buttons.
提醒不要按文中做法把 TOTP 密钥贴到第三方网站转换。
请不要像文中建议的那样，把你的密钥粘贴到任何网站上去做转换。
mkesper查看英文原文
Please do not paste your secrets into any website as proposed here for conversion.
疑问：手表时钟漂移会不会导致 TOTP 验证失败。
TOTP 对时间精度要求有多高？如果手表走时有点漂移，是不是就不能用了？毕竟手机是跟 NTP 服务器同步的。
yellow_lead查看英文原文
How accurate does the time have to be for TOTP to work? If the watch drifts a bit, will it no longer work? Compared to your phone which is synced with an NTP server.
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选