展开讨论

经验与复盘经验摘录 · 机器翻译

我明白你的帖子的重点更多是关于passkeys缺乏清晰度和细节

我明白你的帖子的重点更多是关于passkeys缺乏清晰度和细节。这确实是一个问题,我对此没有真正的答案——除了我认为,也许为了使它们简单且“只需工作”而做出的努力,可能使它们变得过于模糊,以至于我们现在处于一个情况:甚至很多技术娴熟的人也不太了解它们。但我觉得回答你的问题可能会帮助解释为什么会出现这种情况,所以我将尝试回答:> 如果我意外在手机上设置了passkey(比如某天我用Safari而不是我常用的Brave),那么在其他设备上还能登录而不需要这个passkey吗?假设你设置了LastPass作为iOS的密码管理器,并且它完全支持iOS的passkey实现:当你在Safari中创建一个passkey时,它会询问你是否想将其存储在LastPass或iOS密码应用(以前称为iCloud Keychain)中。如果你选择LastPass,那么就由他们来处理,但我认为它会同步到你所有的设备上——这就是1Password的工作方式。

源讨论密码钥匙是由对消费者大脑毫无理解的工程师发明的原帖 784 条评论 · 导入时统计
2

这条内容在回应什么?

父级讨论 · 节选

GO

我不知道如何使用Passkey而不会妨碍我登录系统的方式。我在科技行业工作了26年,我了解Passkey背后的公钥/私钥机制。我不明白的是: 我通过至少四种不同的设备(我的iPad、iPhone、Windows台式电脑和MacBook Pro)以及每种设备上的三种不同浏览器(Brave、Firefox、Safari)访问网站,我使用LastPass。如果我意外地在手机上设置了Passkey(比如有一天我用Safari而不是我常用的Brave),我是否还能在其他设备上登录而不需要这个Passkey?有没有办法确保Passkey可以在其他设备上使用?我能否在另一台设备上添加另一个Passkey?一个特定的网站/应用可以设置多少个Passkey?我目前至少有6种不同的浏览器/设备组合在使用。 我不想去使用Passkey,因为我没有这些问题的答案。…

完整原文

社区评论 0

还没有社区评论,来聊聊你的看法。

原讨论中的回复 2

仅展示本次导入中包含的直接回复。中文为机器翻译,可查看英文原文。

TH

> passkeys 的设计初衷是通过您选择的密码管理器进行同步,这是主要使用场景。 实际上,同步功能是对标准的一种妥协。最初的想法是独特的、与设备绑定的凭据。一个人,一个设备。您手机上的私钥/passkey 不应该与您的笔记本电脑或平板电脑上的相同。每个设备都应该有自己的唯一凭据。 允许同步会降低标准的安全性,在威胁模型保证方面有所下降。纯 WebAuthn 凭据应该被封存在硬件中(TPM 或 Secure Enclave 或类似设备),并且在数学上不可导出,这保证了零远程扩散范围,攻击者必须物理上拥有设备。 允许同步并将 passkeys 存储在密码管理器中会重新引入云账户被入侵的风险和恢复流程被劫持的风险。您将失去不可否认性。 尽管仍然比密码 + TOTP 更安全,但并不能消除...…

完整原文
NE

> 不过,我能看到很多场景下这可能行不通 - 例如,我第一个想到的是图书馆里的公共电脑,其中蓝牙可能被禁用;公司电脑或远程服务器也可能有问题。 我所有的台式电脑都不支持蓝牙。我妻子的电脑也不支持。

完整原文
在 Hacker News 阅读

尊重不同观点,分享具体经验。

登录后即可发帖、评论、转发和引用。