Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Поток Информационная безопасность доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 16
То есть те, у кого по какой-то причине нет сканера пальца, камеры или желания ими пользоваться - смело могут пойти нафиг, верно?
А также те, кто по какой-то причине разбил смартфон, компьютер, вместе с сохраненным ключом...
смело могут пойти нафиг, верно?
Неверно. Если именно Passkeys используются. Но из показанного интерфейса это ни разу не понятно.
разбил смартфон, компьютер, вместе с сохраненным ключом...
Во первых, Passkeys синхронизируются между устройствами. Во вторых - разных сценариев восстановления доступа никто не отменял.
Так если при регистрации никакой другой идентификации не было, то что восстанавливать?
Так если при регистрации никакой другой идентификации не было, то что восстанавливать?
А тут нужно уже после регистрации капать на мозги "добавь способы восстановления/дополнительные способы входа". Логин/пароль может быть одним из них. И пускай где-то записанный в тумбочке лежит.
Если же клиент эти просьбы настойчиво игнорирует - ну так сам того хотел.
Между какими устройствами?
Я вижу тут смартфон и Виндовс. Виндовс вычеркиваем, смартфон разбился/утонул/забыт в кафе/украден/собака съела.
С чем синхронизировать будем?
И да, биометрия по лицу - это тоже ненадёжно (особенно если в процессе спасения смартфона повреждены пальцы или то самое лицо)
Не, ф топку эти навороты, старый добрый пароль будет надёжнее.
Кстати, мне вот тут надо было один пароль подобрать, скорость 2 шт в секунду, никаких ограничений по попыткам, но длина неизвестна и ориентировочно 8-9 символов с клавиатуры, случайных. Посчитайте, сколько на это нужно лет. А то же самое через сеть и с ограничениями?
Ну и смысл в этом? Фича ради фичи, стильно, модно, молодежно
С чем синхронизировать будем?
С новым смартфоном. Залогинишися в ту же самую гугловую/яблочную учетку - и ключик приеедет.
И да, биометрия по лицу - это тоже ненадёжно (особенно если в процессе спасения смартфона повреждены пальцы или то самое лицо)
Так и не заставляют. Это автор статьи пользователь в заблуждение вводит, что оно именно Face ID.
Ну, то есть, ключик у гугля есть, ок...
Ну, то есть, ключик у гугля есть, ок...
Ну как есть. У него есть криптоконтейнер в котором лежит ключик. Теоретически, без пароля учетки (а его спрашивают, когда новый телефон к учетке цепляешь) в него не заглянуть.
Принципиально не отличается от хранения у Гугла же базы данных keepass или другого менеджера паролей.
Тут есть, правда, тонкость - если войти десктопным Хромом в эту же учетку, ключик тоже доступен становится. И вот там - оно в каком-то смысле 'есть у гугла'. Весьма запутанным способом. Я подозреваю, что в данном случае Гуглу легче просто бэкдор какой-нибудь в хроме дернуть, чтобы уже готовую сессию перехватить, чем из всей этой криптографии и аппаратных HSM ключ вытаскивать.
Вы своим "Сразу видишь кнопку Face ID", кажется, целую кучу пользователей распугиваете.
Кроме того, что биометрия вообще многих несколько пугает (хотя в данном случае она локальная), так, вообще говоря, Passkeys работают и без нее - просто PIN будет спрашиваться.
Ну и вы скрываете название технологии и запутываете тех, кто про нее знает и согласен использовать. Одновременно чуточку препятствуя ее узнаваемости и распространению.
Так что пишите нормально, как на первом экране и предоставляя выбор - 'Войти, используя Passkeys'.
Это, вроде бы, в официальных рекомендациях по внедрению даже есть.
Если пользователь создал аккаунт с помощью этой технологии совсем без почты или другой внешней идентификации, то потеря ключа равно потере аккаунта. Как быть в таком случае?
Я не понял, почему ос доступа к ключу не имеет и это безопасно, но условный МакБук может получить ключ через синхронизацию и это всё ещё безопасно?
А куда палец-то суют или морду лица? В какое-то дополнительное хитрое устройство, или в штатный сканер/камеру собственного гаджета?
У нас в нашей внутренней производственной системе сразу было заложено - никаких паролей. А дальше кому как удобно - так и входят.
PS. Мы не в РФ, нет ограничений на телеграм, Гугл и так далее.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Passkeys в продакшне: как мы выкинули пароли и внедрили Face ID за 3 дня. FastAPI + Next.js, полный код