Czy Twoje urządzenie jest gotowe na passkeys?
Zobacz, co ta przeglądarka potrafi z WebAuthn, a następnie opcjonalnie utwórz demonstracyjny passkey i zaloguj się nim. To nie tworzy konta.
Sprawdzenia pozostają na tej stronie. Demonstracyjny passkey jest przechowywany przez Twoje urządzenie lub menedżer haseł. Klucz prywatny nigdy nie opuszcza tego authenticatora. Ta strona przechowuje klucz publiczny tylko w tej sesji przeglądarki, aby móc tu sprawdzić podpis.
01
Sprawdzenia przeglądarki
WebAuthn jest dostępny, bez zgłoszonego authenticatora platformowego
Nadal możesz spróbować klucza bezpieczeństwa poniżej. Brak wyniku sprawdzenia platformy nie dowodzi, że każda operacja z passkey się nie uda.
Bezpieczny kontekst
DostępneTa strona to HTTPS lub localhost, czego wymaga WebAuthn.
API WebAuthn
DostępnePublicKeyCredential jest obecne, więc ta przeglądarka może rozpocząć ceremonię.
Authenticator platformowy weryfikujący użytkownika
NiedostępneNie zgłoszono authenticatora platformowego weryfikującego użytkownika. Klucz bezpieczeństwa lub telefon nadal może działać.Dostępne oznacza, że przeglądarka widzi zdolny authenticator. Nie oznacza, że passkey jest już zapisany.
Autouzupełnianie passkey
DostępneTa przeglądarka może zaproponować passkey z formularza logowania.Ta strona nie otwiera tego monitu, aby demonstracja nie mieszała się z innym passkey dla tej witryny.
Zatwierdzenie telefonem przez kod QR
NiedostępneTransport hybrydowy zgłoszono jako niedostępny.
Szczegółowe możliwości klienta
- Nieobsługiwane
userVerifyingPlatformAuthenticatorTo urządzenie może potwierdzić, że to Ty, biometrią lub PIN-em urządzenia.
- Nieobsługiwane
passkeyPlatformAuthenticatorDostępny jest wbudowany dostawca passkey.
- Obsługiwane
conditionalGetPola logowania mogą zaproponować zapisany passkey.
- Obsługiwane
conditionalCreatePrzeglądarka może zaproponować utworzenie passkey po zalogowaniu hasłem.
- Nieobsługiwane
hybridTransportTelefon może zatwierdzić logowanie na tym komputerze kodem QR.
- Obsługiwane
relatedOriginsRelated Origin Requests, dzięki czemu powiązane domeny mogą współdzielić passkey.
- Obsługiwane
signalAllAcceptedCredentialsWitryna może poinformować urządzenie, które passkeys są nadal akceptowane.
- Obsługiwane
signalCurrentUserDetailsWitryna może zaktualizować nazwę wyświetlaną dla passkey.
- Obsługiwane
signalUnknownCredentialWitryna może poprosić urządzenie o ukrycie passkey, którego już nie akceptuje.
- Obsługiwane
extension:credPropsRejestracja może zgłosić, czy nowe poświadczenie jest discoverable.
- Obsługiwane
extension:prfAuthenticator może wyprowadzić klucz do szyfrowania przez rozszerzenie PRF.
- Obsługiwane
extension:largeBlobAuthenticator może przechowywać większy blob wraz z poświadczeniem.
- Obsługiwane
extension:appid - Obsługiwane
extension:appidExclude - Obsługiwane
extension:credBlob - Obsługiwane
extension:credentialProtectionPolicy - Obsługiwane
extension:enforceCredentialProtectionPolicy - Obsługiwane
extension:getCredBlob - Obsługiwane
extension:hmacCreateSecret - Obsługiwane
extension:minPinLength - Nieobsługiwane
extension:payment
02
Wypróbuj demonstracyjny passkey
Tworzy to poświadczenie discoverable z weryfikacją użytkownika — tę samą formę co passkey na prawdziwej witrynie. Nie jest powiązane z kontem.
Twoje urządzenie lub menedżer haseł zapisze prawdziwy passkey dla tej witryny, z nazwą konta passkey-demo@passwords.lu. Usuń go później z tego menedżera haseł, iCloud Keychain, Google Password Manager lub Windows Hello. Zapomnienie tutaj usuwa tylko klucz publiczny z tej sesji przeglądarki.
Wyzwanie jest tworzone na tej stronie, a podpis jest tu sprawdzany kluczem publicznym z rejestracji. Witryna produkcyjna powinna tworzyć wyzwanie na serwerze i tam weryfikować podpis. Ta ceremonia nie jest wysyłana na serwer.
Ten host to nie passwords.lu. Demonstracyjny passkey jest zapisywany tylko dla bieżącego hosta.
- Identyfikator relying party
- localhost
- Nazwa konta
- passkey-demo@passwords.lu
- Gdzie go znaleźć
- Wyszukaj w menedżerze haseł passkey-demo@passwords.lu.
03
Passkeys, hasła i TOTP
Passkey zastępuje hasło kluczem powiązanym z prawdziwą witryną. TOTP dodaje krótki kod z wspólnego sekretu, a strona phishingowa nadal może ten kod przekazać.
| Temat | Passkey | Hasło | TOTP |
|---|---|---|---|
| Co przechowujesz | Klucz prywatny na urządzeniu lub w jego menedżerze haseł. Potwierdzasz biometrią lub PIN-em urządzenia. | Sekret, który zapamiętujesz lub przechowujesz. | Wspólny sekret w aplikacji authenticator, zwykle obok hasła. |
| Phishing | Podpis jest powiązany z prawdziwą witryną. Podobna domena nie może go użyć. | Sekret można wpisać na fałszywej stronie. | Strona phishingowa w czasie rzeczywistym może przekazać bieżący kod. |
| Wyciek z serwera | Serwer przechowuje klucz publiczny. | Serwer przechowuje skrót, który można atakować offline. | Serwer przechowuje wspólny sekret. Kopia może generować ważne kody. |
| Utrata telefonu | Zależy od synchronizacji, innego urządzenia lub metody odzyskiwania oferowanej przez witrynę. | Nadal działa wszędzie, jeśli je znasz. | Potrzebna aplikacja authenticator, kopia zapasowa lub kody odzyskiwania witryny. |
| Na tej witrynie | Wsparcie przeglądarki oraz tworzenie i logowanie na żywo na tej stronie. | Narzędzia siły i wycieków gdzie indziej na passwords.lu. | Generuj i sprawdzaj kody w narzędziu TOTP. |
Dla programistów
Co relying party nadal musi zrobić
Wykrywanie możliwości to nie test integracyjny. Witryna produkcyjna wydaje świeże wyzwanie z serwera, weryfikuje podpis zapisanym kluczem publicznym oraz sprawdza origin i identyfikator relying party. Ta strona wykonuje te sprawdzenia lokalnie, abyś mógł zobaczyć ceremonię bez konta. Logowanie prosi tylko o to demonstracyjne poświadczenie, więc monit nie jest logowaniem innym passkey dla tej witryny.
