rt 不考虑老用户密码舍弃问题,不考虑用户注册设备丢失问题,不考虑无密码找回重置问题
生物识别会不会没那么靠谱?
1
totoro625 307 天前
安全设计的预设:如果坏人能控制你的人身自由,解锁你的设备,就不用考虑密码的安全风险
|
2
jiagm 307 天前 via Android
一般而言生体认证无法使用的话会回落到使用锁屏密码,所以倒不至于会有突然验证不过就登录不了的问题。
Passkey 的最大问题还是在于同步问题。海外用户的 Android 有 Google Password Manager ,国内总不能指望每个人都用 Bitwarden ,甚至是 1password 等。 |
3
cccer 307 天前
Passkey 并不只有生物识别,usb key 硬件认证器、手机扫描认证、windows hello pin 、密码管理器等都可以认证。
|
4
cccer 307 天前
如果准备舍弃密码登录,就至少要注册 2-3 个 Passkey 设备,或者可以云同步的 Passkey 管理器。
|
5
jocover 307 天前
用户学习成本太高,可能就不会注册你网站了
生物识别也就是设备返回给你的结果,至于是不是真的去识别了,都能修改的 |
8
jocover 307 天前
@raw0xff 这东西标准是要去验证用户设备证书是否有效,否则你用第三方设备可以轻易模拟 passkeys 登录,然后 dump 出设备上保存的登录凭证,就可以实现你网站登录凭证复制到其他设备了
验证证书需要 metadata ,不过里面有几百个通过认证的设备,所以你服务器验证证书挺费时间,证书会在设备 authenticatorMakeCredential 后返回给你的服务器 苹果是验证证书的,github 和 google 是忽略这一步的 当然 passkeys 的验证设备是用户选择的,客户可以选择开源方案或者花钱买一个有认证的设备 设备认证的 metadata 下载地址: https://fidoalliance.org/metadata 我的开源 passkeys 实现项目 https://github.com/jocover/esp32_u2f |
9
jiagm 307 天前 via Android
@raw0xff
一般而言,锁屏密码是仅限本人知道的情报。而且如果锁屏密码泄露,那不使用 Passkey 而是使用密码管理器(或者浏览器的记住功能)保存密码,一样会泄露,一样不安全。 所以并不认为在锁屏密码会为第三者所知晓的前提下,Passkey 比其他密码管理器保存的方式更不安全。 |
10
cccer 307 天前
@raw0xff "所以只要知道锁屏密码就能登录凭证,感觉不安全",这句话是错的,passkeys 在安全设备上至少是需要一个生物识别或者 PIN ,并不是只需要锁屏密码,而且这个 PIN 是有尝试次数到了次数就无法使用。
passkeys 作为互联网巨头联合推出的新一代登录解决方案,至少不会有明显的安全问题,只可能存在一些不安全的实践。 |
11
raw0xff OP @jiagm 明白了。记得以前看过一篇文章说有人“破解”了人脸识别,拿对方照片贴在眼镜上就能通过,当然也有一些技巧,安卓手机大部分都能过。不知道现在情况怎样。当然作为开发者一定是更愿意用公私钥方式,因为不用担心私钥的安全,只需要管理好凭证即可。
|
13
raw0xff OP Esp32 再加个 rfid 模块就能在线授权门禁,nfc 识别,淘汰 ic id 卡啦
|
15
BwNVlwSq 306 天前 via iPhone
Passkey 太好用了,国内的网站不会跟进吧
|
16
cccer 306 天前
@raw0xff 上面已经说了吗、,至少一个生物识别或者 PIN ,PIN 并不等于密码,是绑定设备的限次数的令牌。
PIN 任何时候都不能告诉别人,而且因为有限制次数无法遍历。 |
18
zx900930 306 天前 1
国内喜欢搞手机号一键登录,然后广告电话短信就来了
|
20
SenLief 306 天前
话说 passkey 在手机上有支持吗
|
21
raw0xff OP @jocover 你的设备有没有在 fido (登记?获取?)证书?
抱歉你说的非常对,当时忽略了用户认证器设备的验证,如果服务端不验证用户认证器就存储公钥,那么就有可能存在中间人。可否留个小飞机请教一些问题? |
22
afxcn 74 天前
你比我早 232 天关注 webauthn 这个问题,有在实际项目中用了吗?
|