Account Fingerprint Phrase（账户指纹短语）的工作原理是什么？为何更安全？

官方对该功能的定义如下：

Account Fingerprint Phrase是一项重要的安全功能，可在执行共享等与加密相关的重要操作时，协助唯一且安全地识别Bitwarden用户账户。
部分Bitwarden操作流程（例如向组织添加新用户、为浏览器扩展启用生物识别解锁）可能会要求您验证指纹短语是否与您本人或其他用户的匹配。
验证指纹短语可确保端到端加密安全启动，且您正在通信的Bitwarden服务器及连接未遭到恶意篡改。

具体工作逻辑 #

• 生成环节完全在本地客户端完成，不会上传到Bitwarden服务器存储。生成时会将你的账户公钥与Bitwarden公开的全局盐值组合，经过标准哈希算法计算后，将结果映射到预定义的常用词库，最终输出5个无意义但易读的单词组合，就是你的账户指纹短语。
• 验证环节同样在本地完成：当你需要验证其他用户的身份时，你的客户端会拉取对方向服务器公开的账户公钥，在你的设备本地用完全相同的算法计算出对方的指纹短语，和对方线下告知你的短语比对即可，校验过程不需要服务器参与。

安全性更高的核心原因 #

• 从根本上规避了中间人攻击和服务器篡改风险：哪怕攻击者控制了Bitwarden服务器，或者篡改了你和服务器之间的传输数据，替换了目标用户的公钥，你本地计算出来的指纹短语也会和对方实际的短语不一致，你可以直接发现风险，避免在加密错误的情况下传输敏感数据。
• 无敏感信息泄露风险：指纹短语是公钥的单向衍生值，就算短语泄露，攻击者也无法通过短语反推出你的私钥、主密码、保管库内容等核心敏感信息。
• 实际落地安全性更强：相比直接比对上百位的公钥字符串，简单的单词组合对普通用户来说核对门槛极低，不会因为操作复杂导致用户跳过验证步骤，反而大幅提升了安全校验的实际执行率。

内容的提问来源于stack exchange，提问作者Ahmad Ismail