Passkeys, ички түзүлүшү

Бул видео эмнелерди камтыйт

• Сиздин түзмөгүңүз ойлоп тапкан жана эч качан көрсөтпөгөн сырсөз
• Үч сан: 5 миллиард өткөрмө ачкыч, 98% кирүү ийгилиги, 1 миллиард Google кирүүсү
• 2013 → 2022: FIDO сырсөздү кантип акырындап жок кылды
• Салтанат: бир сайт үчүн бир ачкыч жубу, чакырык, кол тамга
• Эмне үчүн фишинг жок болот: браузер origin жазат

Котормо стенограмма

Англис тилиндеги баштапкы баяндамадан которулган. Жеткиликтүү аудио жана коштомо жазуулар YouTube тарабынан көзөмөлдөнөт.

Сиздин түзмөгүңүз ойлоп тапкан жана эч качан көрсөтпөгөн сырсөз

0:00 Өткөрмө ачкыч — бул сиздин түзмөгүңүз ойлоп тапкан, эч качан көрсөтпөгөн сырсөз, жана эч кимге, анын ичинде сизге да берүүдөн баш тартат, бул толугу менен коопсуздук функциясы жана бейшемби күнгө карата жалпы нааразычылык.

Үч сан: 5 миллиард өткөрмө ачкыч, 98% кирүү ийгилиги, 1 миллиард Google кирүүсү

0:11 Үч сан. FIDO Alliance беш миллиард колдонулуп жаткан passkeys'ти санайт. Microsoft алар менен кирүү ийгилигинин 98 пайызын өлчөйт, сырсөздөр үчүн 32ге каршы. Жана "Мага passkeys жакпайт" деген пост Hacker News сайтында бир күн бою алдыңкы орунда турду алты жүз комментарий менен. Үч мүнөттө: алар кайдан келген, браузериңиз чындыгында эмнеге кол коёт, жана эмне үчүн фишингден корголгон жана жылдырылбай турган бир эле сөз. Бул The Daily Diff, ички түзүлүшү.

0:36 2013. PayPal, Lenovo жана Nok Nok деп аталган старт-ап FIDOну түзүшөт

2013 → 2022: FIDO сырсөздү кантип акырындап жок кылды

0:41 Альянс сырсөздү жок кылуу үчүн. 2014, Google жана Yubico U2F коопсуздук ачкычын жөнөтүшөт. 2019, WebAuthn W3C стандарты болуп калат. Ал эми 2022-жылы Apple, Google жана Microsoft атын passkeys деп өзгөртүшөт, анткени эч ким discoverable resident credential деп аталган эч нерсе сатып алган эмес.

Салтанат: бир сайт үчүн бир ачкыч жубу, чакырык, кол тамга

0:59 Салтанат. Каттоодо түзмөгүңүз ошол бир сайт үчүн жаңы ачкыч жубун түзөт. Жалпы ачкыч серверге кетет; жеке ачкыч чипте калат. Кирүүдө сервер кокус чакырыкты жөнөтөт, түзмөк ага кол коёт, жана сервер сакталган жалпы ачкычка каршы кол тамганы текшерет. Серверде эч кандай жашыруун нерсе жок. Фишинг бөлүгү бир талаа.

Эмне үчүн фишинг жок болот: браузер origin жазат

1:17 Түзмөк кол койгонго чейин, баракча эмес, браузер, чыныгы originди кол коюлган маалыматтарга жазат. Окшош домен туура эмес домен үчүн кол тамга алат, жана чыныгы сервер аны четке кагат. Колдонуучу алданышы мүмкүн; математика алданбайт. Анда жеке ачкыч кайда жайгашкан?

Жеке ачкыч кайда жайгашкан: түзмөккө байланган vs синхрондоштурулган

1:30 Түзмөккө байланган деген коопсуздук ачкычын билдирет, ал эч качан кетпейт, жана YubiKey жүзүн кармайт. Синхрондоштурулган деген iCloud Keychain, Google Password Manager, 1Password же Bitwarden дегенди билдирет, мында ачкыч аягына чейин шифрленген казынада турат жана аккаунтуңузду ээрчийт. Сайт AAGUID деп аталган он алты байттык моделдин IDсинен кайсынысын айырмалай алат, жана көпчүлүк сайттар аны этибарга албайт.

Эки окуя тең чындык: тезирээк, күчтүүрөөк, бекитилген

1:51 Ошентип, эки окуя тең чындык. Кирүү тезирээк жана күчтүүрөөк, жана FIDO сурамжылоосунда төрт керектөөчүнүн үчөөндө бирөө бар делет. Бирок окуй албаган сыр фишингден корголгон жана жылдырылбай турган бир демде: телефон өчкөндө, же робот сиздин Google аккаунтуңузга тыюу салганда, ичиндеги ар бир passkey аны менен кошо жоголот. Hawksley муну корпорация үчүн идеалдуу жана адам үчүн начар деп атайт; Nikita Bier муну сыйкырдуу пери чаңы деп атайт.

Чечим: FIDO ырастоо маалыматтарын алмашуу (CXF/CXP) жана анын абалы

2:14 Оңдоонун аты бар. FIDOнун ырастоо маалыматтарын алмашуу форматы сунушталган стандартка жетти, жана iOS 26 жана Android азыр passkeys'ти менеджерлер ортосунда аны менен жылдырышат. Анын жанындагы протокол эки жылдан бери дагы эле иштеп жаткан долбоор. Аппараттык ачкычтар дизайн боюнча эч качан экспорттолбойт, ошондуктан расмий камдык көчүрмө экинчи аппараттык ачкыч, баасы бар сунуш.

Дүйшөмбү: аккаунттарыңыз менен эмне кылуу керек

2:33 Ошентип, Дүйшөмбү. Биринчи: ар бир аккаунтта сырсөздү жана аутентификатор колдонмосун сактаңыз экспорт сиз үчүн иштегенге чейин; эң алсыз калыбына келтирүү жолу - сиздин чыныгы коопсуздугуңуз. Экинчи: түзмөккө байланган деген биринчи күнү эки ачкычты билдирет. Үчүнчү, эгер сиз логинди куруп жатсаңыз: резидент ачкычын талап кылыңыз, сервердеги originди текшериңиз жана жаңы эле колдонгон адамдан passkey суроону токтотуңуз. жаңы эле колдонгон адамдан passkey суроону токтотуңуз. Өкүм, ички түзүлүшү: КАРАП ЧЫГУУ КЕРЕК.

Өкүм: КАРАП ЧЫГУУ КЕРЕК

2:56 Салтанат жөнөтүлдү. Жашоо цикли иштеп жаткан долбоор. Эгер сиз муну уккандан көрө окугуңуз келсе, diff сиздин почтаңызга күн сайын эртең менен бекер келет, daily diff dot dev дарегинде, шилтеме ылдыйда. Бүгүнкү diff ушул. Мен Axrisi'ден Никомун. Жоопкерчилик менен бириктириңиз.

Булактар

1. Ethan Hawksley, "I don't like passkeys" (18 Sep 2026) — https://hawksley.dev/blog/i-dont-like-passkeys · HN (616 points)news.ycombinator.com
2. W3C Web Authentication Level 3www.w3.org
3. Trail of Bits, "The cryptography behind passkeys"blog.trailofbits.com
4. FIDO Alliance, "The State of Passkeys 2026" (5 billion passkeys; 90% familiar, 75% enabled; n = 11,000)fidoalliance.org
5. Microsoft, "Convincing a billion users to love passkeys" (98% vs 32% success, 3× faster, 7,000 password attacks/s)www.microsoft.com
6. Google, 1 billion passkey sign-ins across 400 million accounts (May 2024)blog.google
7. FIDO Credential Exchange specs (CXF 1.0 Proposed Standard, CXP Working Draft)fidoalliance.org
8. Android passkey transfer via CXF (heise, Sep 2026)www.heise.de
9. Yubico, YubiKey 5.7: 100 passkeys per keywww.yubico.com
10. William Brown, "Passkeys: A Shattered Dream"fy.blackhats.net.au