Comments 7
Если ваш браузер скомпрометирован вредоносным ПО или расширением, он может показывать вам «attacker.com», тогда как фактически отправит вашему аутентификатору запрос на подпись для «google.com».
Так и с обычным паролем это прокатывает. Тут пасскей ничем не хуже. Показываем пользователю, что это habr.com, а на самом деле это attacker.com.
К сожалению, к пасскеям пока какое-то больше негативное отношение, видимо, потому что пока люди толком не разобрались, что это, как их хранить и бэкапить. Я с удовольствием буду их использовать, как только поддержку добавят в KeePass.
как только поддержку добавят в KeePass
В смысле? В KeePassXC и плагином в браузере вовсю используется.
Это разные программы.
Переходить с KeePass на KeePassXC я не хочу, потому что в последнем абсолютно по-линуксовому (то есть, через одно место) сделана работа с SSH.
Во-первых, нигде в программе вам не скажут, что KeePassXC сам не выступает SSH-агентом (в отличие от плагина KeeAgent в KeePass), а работает с агентом OpenSSH. И по умолчанию этот агент в виде службы Windows выключен. Всё, что даст вам программа - какую-то непонятную ошибку. Почему нельзя человечьим языком об этом сказать пользователю, не заставляя его шерстить справку - загадка.
Во-вторых, я хотел было настроить KeePassXC так же, как и оригинальный KeePass - чтобы кликом по записи запускался ssh.exe и аргументом ему передавался хост. Но это сломано. Судя по тому, что сломано уже 6 с лишним лет - я угадал и разработчики действительно ориентированы на Linux. Ну, флаг им в руки, а я не готов ради пасскеев плясать по этим граблям.
А можно с помощью этого создавать passkey, который потом отозвать ? Например зарегистрироваться в утубе в гостинице и потом, если забыл выйти, из дома отозвать?
WebAuthn решает проблему фишинга с помощью привязки к origin. Спецификация требует, чтобы браузеры передавали аутентификатору origin запроса (т. е. домен веб-сайта). В свою очередь, аутентификатор использует пасскеи только тогда, когда веб-сайт, делающий запрос, совпадает с веб-сайтом, создавшим пасскей.
А чем эта логика принципиально отличается от системы TLS сертификатов?
Криптография, лежащая в основе passkeys