The Cryptography Behind Passkeys
a year ago
- #WebAuthn
- #authentication
- #cryptography
- Passkey使用密钥对进行数字签名来验证用户身份，无需传输敏感信息。
- WebAuthn规范通过源站绑定增强passkey功能，防止钓鱼攻击和跨站点密钥复用。
- 认证器可分为平台型（如iCloud钥匙串）和漫游型（如YubiKey），各有利弊。
- Passkey能防御钓鱼攻击和数据泄露，但存在基于浏览器的攻击和认证器被破解的风险。
- WebAuthn扩展功能如'prf'和'largeBlob'支持HMAC-SHA-256等密码学功能及安全数据存储。
- 开发者应实施账户恢复机制，并将passkey纳入更广泛的安全威胁模型中评估。
- 未来WebAuthn扩展可能包含高级密码学原语和单调计数器以提升安全性。