如何将 Ledger Nano X 设置为 2FA 密钥？ （安全奖金）

了解 Ledger Nano X 功能

1. Ledger Nano X是一款主要用于加密货币存储和交易签名的硬件钱包。

2. 它支持跨多个区块链的 5,500 多种加密货币和代币，包括以太坊、Bitcoin、Solana 和 Cardano。

3. 其蓝牙连接可实现与移动和桌面设备上兼容应用程序的无线交互。

4. 该设备运行经过 Common Criteria EAL5+ 标准认证的安全元件芯片，将私钥操作与主机系统隔离。

5. 虽然本身并未作为通用双因素身份验证 (2FA) 令牌进行销售，但其底层架构允许通过第三方应用程序与某些 2FA 协议集成。

支持的 2FA 协议和限制

1. Ledger Nano X 不支持像 YubiKey 或 Google Authenticator 这样开箱即用的基于时间的一次性密码 (TOTP)。

2. 当与 Ledger Live 应用程序和启用的固件版本 (v2.0+) 配对时，它可以用作 FIDO2/WebAuthn 安全密钥。

3. WebAuthn 支持允许在 GitHub、Dropbox 和 Cloudflare Dashboard 等平台上进行无密码登录和第二因素验证。

4. 尚未升级到 WebAuthn 的旧服务也支持 U2F（通用第二因素）。

5. 需要专有 TOTP 同步的服务（如许多银行门户或较旧的企业系统）在没有外部桥接工具的情况下仍然不兼容。

WebAuthn 身份验证的分步设置

1. 在受信任的计算机或移动设备上使用 Ledger Live 将 Ledger Nano X 固件更新到最新版本。

2. 从 Ledger Live 管理器安装WebAuthn应用程序 — 该应用程序必须在每次 WebAuthn 会话之前手动启用并打开。

3. 导航到 WebAuthn 兼容服务的安全设置，然后选择“添加安全密钥”或“注册新身份验证器”。

4. 插入 Ledger Nano X 或激活蓝牙配对，然后打开设备上的 WebAuthn 应用程序。

5. 同时按下两侧按钮确认 Ledger 屏幕上的注册提示 - 该服务现在将存储公钥凭证。

使用 2FA 的安全注意事项

1. Ledger Nano X 需要对每个加密操作进行物理存在和按钮确认，以防止静默远程利用。

2. 私钥永远不会离开安全元件，这意味着即使主机系统受到损害，签名功能仍保持隔离。

3. 设备丢失或损坏将导致无法访问，除非安全地存储备份恢复短语并用于恢复另一台 Ledger 设备上的凭证。

4. 重复使用同一个 Ledger 进行加密签名和 WebAuthn 会带来跨域风险——如果策略配置错误，获得一个经过身份验证的会话控制权的攻击者可能会尝试横向移动。

5. 固件更新可能会禁用或改变 WebAuthn 行为；每次更新后，请务必在依赖它进行关键登录之前验证兼容性。

常见问题解答

问：Ledger Nano X 可以替代所有帐户的 Google 身份验证器吗？答：不会。它仅在支持 WebAuthn 或 U2F 的服务中替代 TOTP。大多数面向消费者的基于 TOTP 的服务（例如 Gmail 或 Authy）不接受 Ledger 作为替代品。

问：蓝牙模式用于 WebAuthn 注册安全吗？答：是的，前提是蓝牙仅在主动设置期间启用并在之后禁用。 Ledger 使用加密的 BLE 通道，但有线 USB 仍然是最可审核的连接方法。

问：如果我丢失了 Ledger Nano X 并且没有备份，会发生什么情况？答：所有与该设备专用的 WebAuthn 凭据都将无法恢复。您必须使用每项服务提供的帐户恢复选项 - 通常涉及短信、电子邮件或备份代码。

问：使用 Ledger 作为 2FA 密钥是否会暴露我持有的加密货币？答：不会。WebAuthn 操作在加密上与区块链签名是分开的。安全元件在应用程序之间强制执行严格的域隔离，并且在身份验证期间不会传输钱包数据。