咨询一下 dalao 关于 Google Passkeys

[ZaneCode6574]

不太清楚 passkeys 的工作原理

给我的感觉就是如果某台设备添加为 passkey 的设备，这台设备就拥有了免密认证某些操作的权利

在其它比如新设备登陆的时候都需要带有 passkey 的设备认证？

有一种情况是，如果我的某个安卓机是游戏机，我不想设置密码，但是游戏要通过谷歌 Play 登陆，一旦我登录了这个账户，这个没有密码的设备也成了 passkey 的设备。

那岂不是就很不安全了？

[codehz]

正常情况下，passkeys 是只在一个设备上的，不会被同步

[stamhe]

passkey 登录的原理就是 私钥签名，公钥验证签名的原理。现在 fido 的方案就是你的私钥要么在 fido 的 U 盾里面（ fido 自己的设备)，要么被 google cloud 或者 apple iCloud 同步，也就是 google 和 apple 的工程师都能看看你的私钥。

[stamhe]

@codehz apple 和 google 默认同步

[jiagm]

没有设置屏幕密码的话，Passkey 不会生效啊。

>若要创建并使用通行密钥，您的设备必须启用以下功能：
>屏幕锁定

https://support.google.com/accounts/answer/13548313?hl=zh-Hans

[jiagm]

@stamhe iCloud Keychain 是端对端加密的，怎么会出现“工程师都能看看”的情况？

[stamhe]

@jiagm 我也不知道为啥，但是云上贵州他们好像就是看到了，说明所谓的端对端加密哪里有问题？

[jiagm]

@stamhe 哪里得出的“‘好像’就是看到了”这个结论？

[stamhe]

@jiagm https://www.zhihu.com/question/268317967 哦，我也不知道这个是不是真的。

[jiagm]

@stamhe 暂且不说这事是不是真的，就假设它是真的，整个文章里哪里提到 keychain 被看到了？用全部用户密码都被拖库的网易邮箱，这难道不是原因？

[Biggoldfish]

@stamhe
"也就是 google 和 apple 的工程师都能看看你的私钥"

1. Passkey sync 是 E2E encrypted 的
2. 这个 passkey 是用来登录 Google/Apple account 的，你猜这俩公司想要 access 你的账户数据需不需要知道你的密码/passkey
3. 这俩公司绝大多数 engineer 根本没权限访问 PII data 别说查看 passkey 了，少数有权限的也只能看到自己工作有关的部分。以及这类 data access log 都会被定期 audit ，几乎没人会因为好奇冒着丢工作的风险从 billions of users 把你的账户找出来看

[ncepuzs]

@stamhe 你真搞笑

[stamhe]

@jiagm 你给我抠字眼，是么？

[stamhe]

@Biggoldfish 在 2 里面，你也承认这 2 个公司想看数据不需要你允许了。 再 3 里面，你也承认少部分有权限可以看到了，所以你想表达啥？

[stamhe]

@Biggoldfish icloud 里面的都能被看到，那么你凭什么说经过 icloud 的 keychain 看不到？ e2e 很牛逼么？不知道什么是中间人劫持么？哪个老师告诉你 e2e 就是安全的？

[dudewei]

@stamhe 听你这么说，google 他们把 私钥放 cloud ，这是用不安全的密码去保护更安全的私钥么？那 passkey 的意义是啥？

[Ocean810975]

@stamhe 不是，抠字眼，你说的这事真和 keychain 八竿子打不着吧

[stamhe]

@dudewei 对啊，fido 这个方案本身就是半残疾的方案。工业产品不应该这么设计的，更不应该这么不负责任的推广。

[stamhe]

@Ocean810975

问几个问题吧
1. keychain 是否经过苹果服务器？
2. keychain 的 e2e 安全么？
3. icloud 安全么？

不用辩论，直接回答 是 or 不是 就行了。

[stamhe]

很多人一看到 e2e 就觉得安全，可靠，事实不是这样的。
e2e 是可以被中间人（开发商）劫持，被中间人替换掉 对方的公钥，从而捕获到中间对称加密的 key 的。

说会被定期 audit 啊什么之类的，这不是搞笑来着么？所以你吹牛的是他的内审机制，不是他的技术安全？

没有人好奇访问用户数据更是搞笑，就上个月，特斯拉才被爆出内部员工随意看特斯拉车主的视频和照片，拿出来炫耀嘲笑车主。居然还有人说没有人好奇所以不会访问。。。

[coolcoffee]

@stamhe 以我对于 yubikey 的了解，私钥是不会离开硬件的。网站的服务器只需要保存公钥，然后就可以验证私钥签名的数据。


网站就算泄露公钥也不会影响太多东西的，最多就影响他们自己的网站安全。以目前的算力，知道公钥是不可能推断出私钥的。