お使いのデバイスはパスキーに対応していますか？
このブラウザが WebAuthn で何ができるかを確認し、任意でデモ用パスキーを作成してサインインできます。アカウントは作成されません。
チェックはこのページ内で完結します。デモ用パスキーはデバイスまたはパスワードマネージャーに保存されます。秘密鍵はその認証器から出ません。このページは検証用に公開鍵をこのブラウザセッション内だけに保持します。
01
ブラウザチェック
WebAuthn は利用可能ですが、プラットフォーム認証器は報告されていません
下でセキュリティキーを試すことはできます。プラットフォームチェックがなくても、すべてのパスキー操作が失敗するとは限りません。
セキュアコンテキスト
利用可能このページは HTTPS または localhost です。WebAuthn に必要です。
WebAuthn API
利用可能PublicKeyCredential があるため、このブラウザはセレモニーを開始できます。
ユーザー検証対応のプラットフォーム認証器
利用不可ユーザー検証対応のプラットフォーム認証器は報告されませんでした。セキュリティキーやスマートフォンなら使える場合があります。利用可能とは、ブラウザが対応する認証器を認識しているという意味です。パスキーが既に保存されていることではありません。
パスキーの自動入力
利用可能このブラウザはサインインフォームからパスキーを提示できます。このページはそのプロンプトを開かないため、デモがこのサイトの別のパスキーと混ざりません。
QR コードによるスマートフォン承認
利用不可ハイブリッドトランスポートは利用不可と報告されました。
詳細なクライアント機能
- 非対応
userVerifyingPlatformAuthenticator生体認証またはデバイス PIN で本人確認できます。
- 非対応
passkeyPlatformAuthenticator内蔵のパスキープロバイダーが利用できます。
- 対応
conditionalGetサインイン欄に保存済みパスキーを提示できます。
- 対応
conditionalCreateパスワードサインイン後にパスキー作成を提案できます。
- 非対応
hybridTransportQR コードで、このコンピュータ上のサインインをスマートフォンが承認できます。
- 対応
relatedOriginsRelated Origin Requests。関連ドメイン間でパスキーを共有できます。
- 対応
signalAllAcceptedCredentialsサイトが、まだ受け入れるパスキーをデバイスに伝えられます。
- 対応
signalCurrentUserDetailsサイトがパスキーに表示される名前を更新できます。
- 対応
signalUnknownCredentialサイトが、もう受け入れないパスキーを隠すようデバイスに依頼できます。
- 対応
extension:credProps登録時に、新しいクレデンシャルが発見可能かどうかを報告できます。
- 対応
extension:prf認証器は PRF 拡張により、暗号化用の鍵を導出できます。
- 対応
extension:largeBlob認証器はクレデンシャルと一緒に大きなブロブを保存できます。
- 対応
extension:appid - 対応
extension:appidExclude - 対応
extension:credBlob - 対応
extension:credentialProtectionPolicy - 対応
extension:enforceCredentialProtectionPolicy - 対応
extension:getCredBlob - 対応
extension:hmacCreateSecret - 対応
extension:minPinLength - 非対応
extension:payment
02
デモ用パスキーを試す
ユーザー検証付きの発見可能クレデンシャルを作成します。実際のサイトのパスキーと同じ形です。アカウントには紐づきません。
デバイスまたはパスワードマネージャーに、このサイト向けの本物のパスキーがアカウント名 passkey-demo@passwords.lu で保存されます。後でそのパスワードマネージャー、iCloud Keychain、Google Password Manager、または Windows Hello から削除してください。ここで「忘れる」と、このブラウザセッションから公開鍵が消えるだけです。
チャレンジはこのページで作成され、登録時の公開鍵で署名をここで検証します。本番サイトではサーバーでチャレンジを作り、そこで署名を検証すべきです。このセレモニーはサーバーに送信されません。
このホストは passwords.lu ではありません。デモ用パスキーは現在のホスト専用に保存されます。
- Relying party id
- localhost
- アカウント名
- passkey-demo@passwords.lu
- 見つけ方
- パスワードマネージャーで passkey-demo@passwords.lu を検索してください。
03
パスキー、パスワード、TOTP
パスキーはパスワードを、本物のサイトに紐づく鍵に置き換えます。TOTP は共有シークレットからの短いコードを追加しますが、フィッシングサイトはそのコードを中継できます。
| 項目 | パスキー | パスワード | TOTP |
|---|---|---|---|
| 手元に残るもの | デバイス上またはパスワードマネージャー内の秘密鍵。生体認証またはデバイス PIN で確認します。 | 記憶するか保存する秘密。 | 認証アプリ内の共有シークレット。通常はパスワードと併用します。 |
| フィッシング | 署名は本物のサイトに紐づきます。見た目だけのドメインでは使えません。 | 偽のページに秘密を入力できてしまいます。 | リアルタイムのフィッシングサイトが現在のコードを中継できます。 |
| サーバー侵害 | サーバーは公開鍵を保存します。 | サーバーはオフライン攻撃されうるハッシュを保存します。 | サーバーは共有シークレットを保存します。コピーがあれば有効なコードを発行できます。 |
| スマートフォン紛失 | 同期、別デバイス、またはサイトが提供する復旧方法に依存します。 | 知っていればどこでも使えます。 | 認証アプリ、バックアップ、またはサイトのリカバリーコードが必要です。 |
| このサイトでは | ブラウザ対応の確認に加え、このページでの作成とサインイン。 | passwords.lu の他の強度・漏洩チェックツール。 | TOTP ツールでコードを生成・確認。 |
開発者向け
リライングパーティがまだ行うこと
機能検出は結合テストではありません。本番サイトはサーバーから新しいチャレンジを発行し、保存した公開鍵で署名を検証し、オリジンと relying party id を確認します。このページはアカウントなしでセレモニーを見せるため、それらのチェックをローカルで行います。サインインはこのデモ用クレデンシャルだけを求めるため、プロンプトはこのサイトの他のパスキーでのサインインにはなりません。
