Чи готовий ваш пристрій до ключів доступу?
Дізнайтеся, що цей браузер вміє з WebAuthn, потім за бажанням створіть демонстраційний ключ доступу й увійдіть з ним. Обліковий запис при цьому не створюється.
Перевірки залишаються на цій сторінці. Демонстраційний ключ доступу зберігається на пристрої або в менеджері паролів. Закритий ключ ніколи не полишає цей автентифікатор. Сторінка тримає відкритий ключ лише в цій сесії браузера, щоб перевірити підпис тут.
01
Перевірки браузера
WebAuthn доступний, платформний автентифікатор не повідомлено
Нижче все ще можна спробувати ключ безпеки. Відсутність платформної перевірки не доводить, що будь-яка операція з ключем доступу зазнає невдачі.
Захищений контекст
ДоступноЦя сторінка — HTTPS або localhost, що потрібно для WebAuthn.
WebAuthn API
ДоступноPublicKeyCredential присутній, тож браузер може почати церемонію.
Платформний автентифікатор із перевіркою користувача
НедоступноПлатформний автентифікатор із перевіркою користувача не повідомлено. Ключ безпеки або телефон усе ще можуть працювати.«Доступно» означає, що браузер бачить відповідний автентифікатор. Це не означає, що ключ доступу вже збережено.
Автозаповнення ключа доступу
ДоступноБраузер може запропонувати ключ доступу з форми входу.Ця сторінка не відкриває той запит, тож демо не змішується з іншим ключем доступу для цього сайту.
Підтвердження з телефона за QR-кодом
НедоступноГібридний транспорт повідомлено як недоступний.
Детальні можливості клієнта
- Не підтримується
userVerifyingPlatformAuthenticatorПристрій може підтвердити, що це ви, біометрією або PIN пристрою.
- Не підтримується
passkeyPlatformAuthenticatorДоступний вбудований постачальник ключів доступу.
- Підтримується
conditionalGetПоля входу можуть запропонувати збережений ключ доступу.
- Підтримується
conditionalCreateБраузер може запропонувати створити ключ доступу після входу за паролем.
- Не підтримується
hybridTransportТелефон може підтвердити вхід на цьому комп’ютері за QR-кодом.
- Підтримується
relatedOriginsRelated Origin Requests — пов’язані домени можуть спільно використовувати ключ доступу.
- Підтримується
signalAllAcceptedCredentialsСайт може повідомити пристрою, які ключі доступу ще приймаються.
- Підтримується
signalCurrentUserDetailsСайт може оновити ім’я, показане для ключа доступу.
- Підтримується
signalUnknownCredentialСайт може попросити пристрій приховати ключ доступу, який більше не приймається.
- Підтримується
extension:credPropsРеєстрація може повідомити, чи є нові облікові дані виявлюваними.
- Підтримується
extension:prfАвтентифікатор може вивести ключ для шифрування через розширення PRF.
- Підтримується
extension:largeBlobАвтентифікатор може зберігати більший blob поруч з обліковими даними.
- Підтримується
extension:appid - Підтримується
extension:appidExclude - Підтримується
extension:credBlob - Підтримується
extension:credentialProtectionPolicy - Підтримується
extension:enforceCredentialProtectionPolicy - Підтримується
extension:getCredBlob - Підтримується
extension:hmacCreateSecret - Підтримується
extension:minPinLength - Не підтримується
extension:payment
02
Спробуйте демонстраційний ключ доступу
Створюються виявлювані облікові дані з перевіркою користувача — та сама форма, що в ключа доступу на реальному сайті. Вони не пов’язані з обліковим записом.
Пристрій або менеджер паролів збереже справжній ключ доступу для цього сайту з іменем облікового запису passkey-demo@passwords.lu. Пізніше видаліть його в тому менеджері паролів, iCloud Keychain, Google Password Manager або Windows Hello. «Забути» тут лише прибирає відкритий ключ із цієї сесії браузера.
Запит створюється на цій сторінці, і підпис перевіряється тут відкритим ключем із реєстрації. На продакшен-сайті запит має створюватися на сервері, а підпис перевірятися там. Ця церемонія на сервер не надсилається.
Цей хост — не passwords.lu. Демонстраційний ключ доступу зберігається лише для поточного хоста.
- Relying party id
- localhost
- Ім’я облікового запису
- passkey-demo@passwords.lu
- Де знайти
- Знайдіть у менеджері паролів passkey-demo@passwords.lu.
03
Ключі доступу, паролі та TOTP
Ключ доступу замінює пароль ключем, прив’язаним до справжнього сайту. TOTP додає короткий код із спільного секрету, і фішинговий сайт усе ще може передати цей код далі.
| Тема | Ключ доступу | Пароль | TOTP |
|---|---|---|---|
| Що ви зберігаєте | Закритий ключ на пристрої або в його менеджері паролів. Підтверджуєте біометрією або PIN пристрою. | Секрет, який ви пам’ятаєте або зберігаєте. | Спільний секрет у застосунку-автентифікаторі, зазвичай поруч із паролем. |
| Фішинг | Підпис прив’язаний до справжнього сайту. Схожий домен не зможе його використати. | Секрет можна ввести на підробленій сторінці. | Фішинговий сайт у реальному часі може передати поточний код. |
| Злам сервера | Сервер зберігає відкритий ключ. | Сервер зберігає хеш, який можна атакувати офлайн. | Сервер зберігає спільний секрет. Копія може видавати чинні коди. |
| Втрачений телефон | Залежить від синхронізації, іншого пристрою або відновлення, яке пропонує сайт. | Працює всюди, якщо ви його знаєте. | Потрібен застосунок-автентифікатор, резервна копія або коди відновлення сайту. |
| На цьому сайті | Підтримка браузера плюс живе створення й вхід на цій сторінці. | Інструменти сили та витоків в інших розділах passwords.lu. | Генеруйте та перевіряйте коди в інструменті TOTP. |
Розробникам
Що relying party все ще має зробити
Виявлення можливостей — не інтеграційний тест. Продакшен-сайт видає свіжий запит із сервера, перевіряє підпис збереженим відкритим ключем і звіряє origin та relying party id. Ця сторінка робить ці перевірки локально, щоб показати церемонію без облікового запису. Вхід запитує лише ці демонстраційні облікові дані, тож запит — не вхід з будь-яким іншим ключем доступу для цього сайту.
