パスキー神話崩壊　Google Password Managerの同期機能を狙う新攻撃手法

パスキー自体が破られたわけじゃないけど、同期のための認証（PIN）がフィッシングで盗まれると全滅するのか。結局人間が一番の脆弱性だな

鍵がデバイス内にしかないのがパスキー(FIDO2)の強みなのに、別端末に同期する仕組みがあるんだから、そりゃそこが攻められるよねぇ⋯

何が「神話崩壊」か。マスタキーに相当するものを悪意ある者に渡したら全部奪われるというのはあまりにも普通のことである。パスキーに絞って語る必要が無い。

この記事に限らず、よく言われる『パスキーの弱点』って、ほぼ『(クラウド同期型)パスワードマネージャの弱点』なんだよね。実際そこが単一障害点になりうるので、慎重に扱わないといけないのだけど。

そりゃVault破られたら死ぬに決まってるわ。//そもそもの話、Passkeyに神話などない。あると思ってるならそれはあなたがPasskeyとは何であるかという科学を理解しようとせず、勝手に神話を作って盲信しているだけだ。

パスキーは複数作成できるのだから同期なんて不要で必要な端末に対して作成すべきなんよ。複数作成を許容しないのはサービス側の怠慢でしかない

パスキーの秘密鍵を複製できるようにしたら、そりゃこうなる。FIDOでの議論で散々やったろ