密碼怕被盜？乾脆不需密碼的驗證方式反而更可靠？ Passkeys 甩開帳密規則

[@gemini7964]

我是工程師，雖然我覺得這影片解釋原理的部分對一般人應該還是有點硬，不過我可以理解這東西要解釋得清楚又要不失專業，確實很難XDDD

[@PanScitw]

謝謝，我們繼續加油

[@Yuxiang0918]

剛讀完計算機概論沒多久的我完全知道在講的概念是什麼 而且比課本更好懂 讚讚

[@h.y-chen]

其實也不是什麼新技術，主要就是手機要有安全密鑰儲存區，其實也不是什麼新東西，其餘就是RSA，​ "找回密碼攻擊"一樣有效，手機丟了存在硬體儲存區的私鑰當然也丟了，如果服務方還是提供其他找回密碼的方式(例如寄email重設)，那其實沒有提升任何安全性，除非像加密貨幣冷錢包一樣，丟了就什麼都沒了，除非你當初有抄下復原碼而且沒丟，但這門檻對現代人來說比天還高。

[@arichurs]

複雜的密碼最後都變成同一組真的很有同感，自己都記不住的密碼根本沒意義呀

[@Zero2Ryu]

@imguoting 對不少人來說，他們也會忘記他們當初設定的邏輯。（尤其是年紀比較大的，而一些網站他們每年只登入一次 不管是a用@，1用i、l或！，輸入時又增加難度，錯誤幾次就被鎖。 我以前在新加坡某中學工作時，一些老老師會寫在筆記本上，還有一些直接寫在post it貼在筆電。

[@play005517]

@imguoting 有個原則是所有的雜湊都只是延緩最終被碰撞回明文的手段，也就是說你要有密碼終有一天會被逆向回明文的理解 在這個前提下有規則可以推演的密碼制定策略是不安全的，因為只要目標有足夠多組服務的密碼被釋出，就有可能被歸納出來的邏輯推測出目標剩餘的密碼 這也是為什麼服務商除了不儲存明文密碼之外，連雜湊值都不應該保留，也不應該要求定期更改密碼 因為使用者的隨機性是有限的，經常更改密碼會快速地消耗使用者的隨機性，產生明顯的密碼習慣和規則 服務商如果保留了一個使用者長期多次的密碼歷史雜湊值，在這些雜湊值最終被逆向回明文的那天起，這位使用者的密碼習慣和邏輯就會受到威脅 這比單純外洩一個密碼更嚴重，是一個人完整的密碼邏輯都被洩漏 所以近期的資訊安全共識就是：讓使用者自行決定密碼這件事本身具有高度風險。 應該用一切可能的手段，例如密碼管理服務由機器完全隨機的產生密碼或者像這期影片提到的一樣完全避免使用者自行決定的密碼。

[@dirq532]

看到QRcode那段就想到中間人攻擊，不愧是泛科學有想到要解釋這塊，使用藍牙連結來驗證真巧妙！（雖然小麻煩😅

[@crystalH666]

裝置遺失或忘記密碼時，需要用回「原本較不安全的驗證方式」，這也是駭客偷取資料的主要途徑

[@PanScitw]

這倒是

[@awaytodie]

B，密碼記太多，變成寫在紙上OR存在手機裡頭...有的智障網頁或程式還要求幾個月改次密碼，登入錯誤還會說我輸入的是之前的密碼，也不想想誰讓我一直改的，超奇妙...

[@miku3920]

題外話，現在的 HTTPS 就是用公鑰加密對稱式金鑰，再用對稱式加密訊息，因為公鑰加密資料比對稱式加密慢了幾千幾萬倍

[@康瀚中-c8f]

這也不完全對，目前TLS在做handshake的時候很多時候是透過Diffie-Hellman反而不是公私鑰，這主要為了forward secrecy。公私鑰在這個情況下應該只會被用作數位簽章

[@HarukaOChen]

樂觀其成，現在的密碼組成機制對於提升駭客盜取難度並沒有多大幫助，卻對使用者造成很嚴重的困擾 話說經常發生的 Google 帳號 / KZbin 盜用事件的漏洞也不是密碼被破解，而是 cookie 有漏洞，換句話說就算密碼這關安全了，也還有其他方法能繞過驗證機制進行盜用

[@PanScitw]

同意

[@reginald6778]

而且還要連藍芽，這東西本身就有很大問題

[@蘇翊豪-x9t]

曲博曾說過這個話題，簡單來說就是原本是輸入號密碼給雲端辨識再傳結果回終端(手機)，現在改為終端辨識，少了傳輸過程就少了攔截破解的機會，但個人認為終端若是重後門程式一樣會被破解，且現在的生物辨識很不精確

[@xlion]

你可以改用PIN 然後現在的實體安全其實都做的很不錯 真的擔心請買iPhone, Google Pixel或Samsung

[@jinan.li5209]

提到iPhone，只能希望過去iCloud女星私密照外洩事件不再發生...

[@cacalirw]

其實你可以研究看看FIDO標準，早在2016年就在台灣推廣了。

[@user-bob-pikachu]

@@xlion 現在的實體裝置皆不安全，因為不是專門用於MFA的。

[@yoyo9300241]

你應該有些誤解啦 還是會有傳輸給伺服器驗證的流程 只是把保護鑰匙的方式 從人腦換成相對更可靠的硬體安全晶片

[@ray-realms]

5:18 "所使用的密碼並不會被直接用明文來儲存" 很多魔幻公司：恩，有意思，下一位

[@SunnyShoun]

笑死，我之前還看過帳密驗證寫在前端

[@shihjacky5103]

看到這段我也笑了

[@3cblog]

有的網站的忘記密碼功能，直接寄信告訴你密碼是什麼XD

[@carey2184]

受害者之一來了，還好正在用手機馬上發現，12分鐘被刷了NTD 6.5W

[@SyuAsyou]

我的指紋辨識每過一段時間就要更新一次，舊的會漸漸辨識不出來。passkeys理論上會比較安全，但也可能會造成我新的困擾。如果重設新指紋的方式不夠安全，反倒會產生弱點，兩難啊。

[@triplec1976]

我一直想要清楚定義所謂的無密碼到底是做到哪裡 1. 是登入的時候不需使用密碼？還是用遠都用不到密碼了？ 2. 首次使用需要註冊行動裝置，是不是仍需要使用密碼來驗身？ 3. 以Windows AD為例，登入Win時使用Passkeys做無密碼驗證，那使用不同身分以RDP, Samba等協定存取遠端電腦建議如何驗證 4. 如需符合資安規範，密碼需定期更換，是否使用Passkeys之後就不必變更了？或者根本不具備密碼這欄位了

[@王小明-o6l]

這樣說來，以後也許不能再任意在外吃東西 如果有人在觀光區開了一個臨時飯館 沒有裝潢那種 然後只要有落單或是極少數的客人 將安眠藥加進去將所有人迷暈 就能將受害者的資產全部轉移 每作案一次換一個觀光區

[@スリーマーメイド]

雖然密碼被盜用的可能性已經很低了，但我認為這種方式被盜用的可能性低很多，又更有便利性(前提是辨識不會出錯)。

[@VirusG0518]

印象深刻的數位鑰匙 第一次使用時根本手忙腳亂，基本原理顛覆傳統。 了解流程後是挺方便的

[@5566Brian]

听了那么多原理和metamask钱包大相径庭，基于区块链的技术打造passkey。便利性倒是挺诱人的❤

[@PhoenixWu2011]

B. 終於可以不用記一堆密碼，輕鬆多了!😆

[@余光-k2p]

A，因為我覺得不可能換。這相當於用指紋解鎖手機，然後用手機解鎖所有東西。這樣只要手機或任何一台驗證裝置被攻破了，就相當於所有東西都攻破了。而且手機丟失會非常非常麻煩。本人就有換手機後遇到各種麻煩問題的經歷（密碼記得都無法登陸，因為OTP收不到，他們又沒實體店，只能放棄帳號了）。本質上來講這個問題是無解的，因為一旦太複雜，就會有客戶自己都用不了的情況出現。

[@bugatti961]

其實多數網路的危險都在於公司的爛系統，而非使用者這一端。 不管是要求複雜密碼、等同於不加密的伺服端、還是根本沒在系統維護的老闆，應該立法只要公司行號的網路出現危險，公司董事長總經理主管等階級，通通用詐欺、公共危害、殺人等刑法罪嫌起訴，保證整個數位安全還擊會大改善。 最有名的爛網路安全就是台灣銀行

[@a2011521]

生物驗證就是最好的驗證裝置 簡單來說就是用手機生物驗證功能來確定是不是本人。 一開始先設定好讓手機知道這個人是我，然後開放給企業刷卡用，只要手機確定是我企業就會讓我刷卡或登入。 這種機制不錯，不會被盜用生物資料 反正先試試看吧，希望未來連公務單位都可以省去身分證健保卡

[@b438]

生物驗證的一大弱點是你沒有辦法去更改 萬一生物驗證的algorithm或者是data被盜取破解了，你沒辦法換另一個指紋或者faceid或者瞳孔😅

[@gibbspan7381]

我記得有看過類似的介紹公私鑰的文章，還是能暴力運算破解，只不過要付出的成本很高，大部分情況下不划算而已

[@minol2]

當然是選擇選開源的專案 自架密碼管理Server+Passkeys support 私鑰跟密碼還是要自己保管 不想給雲服務商

[@aa851127]

如果有時間弄的話QQ 我也是覺得密碼自己存最安心

[@duckduck9487]

自架，到底有多少人能做到

[@j355203]

比安控廠商PM講的還容易懂，讚讚

[@hhorace_hsu]

2:40 真的不管是誰介紹非對稱性加密 都會有Alice跟Bob XDDD

[@cmosinverter]

真的...

[@LouisLu0221]

主流教科書都是寫Alice跟Bob，當然就沿用囉~

[@PanScitw]

本來想換成更在地一點的稱呼，但...

[@choosin]

不用alice bob全身不對勁XDD

[@brian8384]

資安教科書都是用這兩位

[@LionelRalph]

视频非常好！我的OKX钱包里有USDT，并且我有恢复短语. 「pride」「pole」「obtain」「together」「second」「when」「future」「mask」「review」「nature」「potato」「bulb」 我该如何将它们转移到Binance？

[@王小明-o6l]

還有一個問題 如果私鑰是放在手機 那也就是只要駭客有讀取我手機資料權限 那就可能繞過限制查看私鑰 尤其大部分的程式 都會要求這個權限 而且這個權限是一開全開 只要開放了就能全部都看 而不是只能在某個資料夾或是某個硬碟區塊裡面運作… 當然這個私鑰可能也有某種預防破解的辦法啦

[@omeletwithoutegg]

推password manager 現在我在用的是unix pass，個人覺得很安全也很方便

[@hcf]

就結構來說是挺安全又粉方便，但...並不是所有行動裝置都有支援指紋辨識或其他的生物辨識，再加上跨平台...PC上沒有指紋辨識器丫(高階或商用NB部份有)😅😅😅

[@xlion]

PIN可以取代生物辨識啊

[@SyuAsyou]

@@xlion PIN也算是密碼的一種吧

[@GiovannaSun]

看過一部電影還是美劇，不記得名字了，只記得有一幕中，主角把手機螢幕去照一個屍體的臉，然後用他的手指登入手機。防不勝防。

[@Beck_Sora]

C.簡單一句話 道高一尺，魔高一丈

[@jackwon860]

IRENT也示範不用密碼直接讓黑客隨便看客戶信用卡資料很安全

[@PanScitw]

錯誤示範

[@tne01]

我的指導教授就是主攻密碼學的，不得不說這門學科喔..... 真的超無聊的 😅 (全部都是數學 我能畢業只能說是僥倖.....

[@PanScitw]

賀

[@aigaga8330]

那手機就身分．　目標就是盜取手機做為網路身分．你不在是你．你手機才是你～

[@dog840810]

要指紋或掃臉阿..只有手機也沒用

[@Weng-window]

想起以前流行的用采取指纹来验证的方法…… 手机表面必然拥有主人的指纹所以…… 如果还要“理论定位”+提问+“立体扫脸”也许能提防？ 我希望有『批准者、申请者、使用者』记录。 如大马手机号码要登记，但柜台服务员人可能偷备份…… 某些部门申请没有安程序标准，会被盗用者滥用身份……

[@aigaga8330]

@@dog840810 只要想想把公鑰貼在臉上, 手指是公鑰印章. 然後你整天曬公鑰臉或隨處按公鑰印章~

[@BorisHu-makoto]

👍passkeys方便多了，不必再记这么多的密码了。

[@GalaxyWu]

這只是在做身分辨識，私鑰沒了就沒了，重新產生一組公私鑰、更新公鑰即可，不至於有太大的災難。 另外驗證私鑰也不一定只能用生物辨識，比方說符合FIDO標準的KEY也能當認證私鑰。

[@HSU_KO66]

其實信箱OTP沒問題 有問題的是信箱的安全 因為基本你的google有用F2A(2FA) 手機線上二步驗證 就不會被盜刷

[@edwinyoo44]

其實也不一定，現在很多惡意的APP擁有超高權限，光是可以讀取你手機通知訊息，就可以輕易拿到傳到你信箱、簡訊的otp密碼了

[@tsunho7195]

設備丟了,找回密碼機制一樣需要記得當初設定的一些問題和答案,也很麻煩 要不就是個人的生物特征會儲存在對方的服務器上,那就更不安全了

[@陳品銓-e7u]

對有富貴手的人，不管指紋解鎖有多方便都無感🥲

[@xlion]

可以用PIN

[@h906230]

用蘋果😏

[@andyhuang3319]

這告訴我們，可以用最自豪的那支當其中一個指紋XD (joke)

[@search1788]

讲到这个话题， 就想到上海世博会时候到工商银行开了一个账号。 那时候给了一个小机器，像计算机，想网路汇款就需要输入一个验证码，这个机器就是产生验证码的。必须在一定时间内输入。转账才会成功。意思跟现在台湾一些银行，支付系统用的OTP 意思差不多。视频主现在说的用指纹解锁什么的，意思都跟银行保险箱必须有兩支钥匙同时打开才行功能差不多。 逻辑思考模式其实没有多大的改变，能够做到的防止被盗用的作用， 碰到行家/骇客就相当于开放钱包让他们自取。 现在那一个密码机10几年没用， 已经没电， 想用可能需要大陆的银行跑一趟， 可以说劳师动众，不是一般的麻烦。 不要说银行等与金钱相關的网站需要你定时换密码， 但是自己有超过50个网站密码，ID。。。需要记忆， 怎么可能定时变更。 保密工作，想做的大家都会做， 网路小偷就不会做吗？ 有时候最简单的方法， 也许就是最好的方法。

[@shadowaki3939]

雖然很心動，可是生物認證真的超不方便，有更簡單準確的方法就更棒了

[@Peter-r4h9q]

這樣的話 其實只要攻破大公司防線 這樣不就拿到所有私鑰 會不會造成大公司壟斷之類的 而且如果指紋發生變化就很麻煩 我手機指紋辨識就是，手磨到毛毛的就會辨識不了

[@tzuyanglin5313]

只有你的手機握有私鑰，所以並不會公司取得私鑰問題，假如有表示該公司並非使用標準規則

[@andyhuang3319]

這告訴我們，要用最自豪的的那一支當其中一個多指紋驗證XD

[@perry3059]

講半天好像沒有講到Passkeys和Authenticator app有什麼不同？前者會比後者安全嗎？

[@ChinaziXitler]

未來登入失敗請使用「找回我的拇指」服務

[@PanScitw]

XD

[@博麗靈夢-e5l]

更多時候駭客會直接攻擊網站伺服器，根本不會直接對使用者進行攻擊

[@henrylin4667]

更甚至握有個資的私人企業或政府部門毫不在意資安，任由個資外洩 iRent個資外洩就是超級誇張的例子

[@scorpio81245]

至少可以確定三大巨頭的資安是可信的 如果三大巨頭被攻擊成功，那是世界等級的資訊犯罪，足以稱作黑天鵝事件了

[@alexwu493]

@@henrylin4667 律師函警告⚠️

[@不要稱讚我]

不過像 Google 這種伺服器安全強度就很適合用生物驗證，反正我是沒聽過有人駭進去他的伺服器，都是用釣魚、遠端或 cookies 駭 client 端，生物驗證+裝置連藍芽掃 QRcode 至少能擋掉釣魚和遠端

[@johnjohnleele]

後半段才是密碼被盜取風險：服務器儲存private passkey 以便用戶還原至另一個手機。。。

[@xlion]

帳戶「本身」的安全有別種技術來保護，設計這個的並不是傻子

[@johnjohnleele]

@@xlion passkey 設計是很好，至於備份private key 在服務器並不在設計初衷。希望如你所說風險已經考慮下去

[@MeariBamu]

所以最後那段的安全，才是黑客常用的做法， 直接HACK 安卓手機或JB的IPHONE， 或扮成供應商用遺失需用OTP的方法盜取帳戶

[@斌小無]

一個鎖能被許多鑰匙簡單打開，稱為爛鎖 但一個鑰匙能打開各種鎖，我們卻將之稱為萬能鑰匙？ 嗯⋯我在說啥啊⋯

[@kevinchu5441]

8:17 這個很危險，不管是哪個作業系統平台都不值得你給予這麼大的信任

[@andyhuang3319]

這告訴我們，要用特別的那一支當其中一個指紋XD

[@阿波羅-r3r]

之前設定GOOGLE兩階段時就有看到無密碼的選項，然而當時不了解這甚麼東西就沒理他。了解後有意替換成Passkey登入，但由於是生物驗證身分，等到換新手機在說吧，i6s指紋有點不放心。

[@蔡兆鈞-r5o]

生物特徵是不錯!但......因為工作性質,導致生物特徵無法被辨識的狀況還是有的,有一段時期因工作內容導致,我無法用此方式登入我的裝置,最後還是需要依靠密碼登入

[@e44168]

台灣金融業還在用帳號密碼登入方式才是需要令人擔心。既古老又容易釣魚的登入方式。

[@s41014]

C.道高一尺魔高一丈，還是會被找出弱點

[@PanScitw]

這就是技術進步的動力

[@回憶日記]

好厲害的講解

[@NathanCYM]

Key登入是個好東西

[@LazyHoneyBee626]

最大問題是如果裝置只有一台，遺失就沒了，或是使用FACEID臉部卻因事故毀容、使用指紋卻因事故失去手等等。

[@月悠-u2d]

道高一尺魔高一丈，現在或許可以，很快就會被駭客找到突破口

[@kenchen1351]

目前駭客的突破口都不是在加密上. 所以能夠減少突破口的OTP 就相當於加強防禦了.

[@zeemanliao]

8:15 駭客:我知道該在什麼地方下手了

[@jojodu2032]

我看到這也是覺得問題很大

[@CryptoMOC]

這跟區塊鏈怎麼有點類似

[@gjlmotea]

讚，感謝科普

[@a58602064]

現階段被破解的都是直接繞過 根本沒人再硬剛了

[@從前從前]

我一定馬上用，方便太多了!

[@SeanLinTw]

我家我跟我媽手機指紋都按不太出來，桃機的自動通關也採不到指紋，只能用人臉單一辨識，用手機支付時很不方便

[@PanScitw]

好特殊

[@StanWu]

不知道公司團隊的共享密碼的方案？我目前是用TOPT

[@沈憲偉]

C. 我是資安人員，總覺得似乎還有哪裡不對勁

[@小輔-y3l]

這次洩漏的就是...資安做得最好的銀行~ㄟ嘿! 所以不管甚麼KEY都沒用XD 覺得還是常用的銀行跟主要儲蓄銀行要分開 常用的想要轉帳信用卡甚麼都能開~裡面放個半年生活費就好了 儲蓄的就限定轉帳納些只能臨櫃辦理~網路服務除了查餘額、定存之類轉不走的其他連開都不要開 但內賊難防~如果是內賊那也沒辦法

[@trainlooper]

沒有流行的真正原因是..... 電腦端專用指紋識別裝置那片玻璃是消耗品, 用久了就會感應不良, 手機沒用過不知道, 手機廠商會很高興, 繼電池之後又找到了可以讓使用者定期買手機的漏洞, 指紋感應不良~~~~ 🤑

[@PanScitw]

不管是軟體還是硬體商都很努力鼓勵大家換手機

[@Jian_sean]

但駭客只要不攻擊伺服器轉攻擊使用者帳戶就一樣可以破解，而在資安意識低落的台灣，這容易很多。 看到有案例使用備援信箱向Google 請求找回原帳號，卻連備援信箱都被盜走的悲劇。

[@ruihonggao6324]

9:31 我的答案會是C,因為是新的,還不確定整體狀況~

[@Gunleon-Kiemelay]

感覺是更方便了，但好像沒有比較安全， 像是裝置遺失後的處理方式，跟之前沒有什麼差別， 而很多駭客是從這方面著手盜用的

[@yyyqq__]

找回遺失的裝置之後仍然要由本人來透過passkeys進行登入，就算駭客擁有手機和帳號密碼仍然無法通過passkeys登入，因為帳號密碼的功能並不是用來登入網站或應用程式，只是單純的恢復passkeys的使用。我剛剛也在思考這個問題，我的理解不知道對不對但給你參考看看

[@yyyqq__]

不過駭客要取得登入狀態確實可以直接繞過登入這個步驟，登入狀態只能透過登入這個動作來取得算是一個普遍的誤解，因此資料仍然無法保證完全的安全😢

[@Gunleon-Kiemelay]

@@yyyqq__ 這次的影片提到裝置遺失後用帳密重新"登入"， 可以設定的只有"停用舊裝置"與"啟用新裝置"， 也就是說依然需要保留帳密，帳密依然有被盜用的價值， 這並沒有達到所謂的"無帳密"，所以不擁有無帳密帶來的安全， 你還是要費神去記帳密，而風險依舊存在。

[@xlion]

有個東西叫實體金鑰 可以用來保護你的Google 跟蘋果帳號

[@h.y-chen]

​ @YQ L 錯，手機丟了存在硬體儲存區的私鑰當然也丟了，如果服務方還是提供其他找回密碼的方式(例如寄email重設)，那其實沒有提升任何安全性，除非像加密貨幣冷錢包一樣，丟了就什麼都沒了，除非你當初有抄下復原碼而且沒丟，但這門檻對現代人來說比天還高。

[@albert_ysy]

問題在普及速度

[@灌油]

有個疑問，私鑰存在手機，那如果換手機時是做二手機賣掉，不就流出了嗎？

[@funzoneliao4915]

你會重置手機吧？

[@h906230]

很多人不重置就賣就是個人問題😌

[@kenchen1351]

理論上, 轉賣後其他人應該無法登入, 只能重置手機.

[@tsunho7195]

密碼難記我覺得主要是安全的密碼是無規律的，而無規律正是和人類的記憶方式衝突，我想到的辦法是用符合人類記憶的方式寫出密碼，然後把符合人類記憶的密碼通過加密再生成一組無規律的密碼，加密的演算法可以每個人自定，這樣人類只要記住容易記的就行，無規律的密碼就交給自定的演算法

[@happypotato5561]

我有個問題，很常時候駭客並不是透過帳號密碼這種方式駭入帳號的，且能繞過2次驗證，在此前提下，往後的駭客是否也能直接盜取私鑰資訊，如同原使用者同步雲端的方式駭入？

[@PanScitw]

因為還有物理距離限制，加上加密，所以不是不可能，但是很不容易，如果不是資料特別有價值，對駭客沒有吸引力

[@gppo0721]

萬一舊手機突然壞掉了，感覺會很麻煩？

[@outoftime666]

目前還搞不懂怎麼用❤

[@xdimplendidx]

在這些之前，台灣許多公司還停留在明碼……

[@michae1119]

黑道：看來我們可以上場了（？ 直接砍手不是比較快 吉良吉影：讚耶（？

[@PanScitw]

這就不是駭客啦

[@chococ7651]

所以原理上和使用網上的密碼管理器，或者使用瀏覽器幫你生成的隨機密碼好像不差太多🤔 感覺主要加強的安全性應該是在綁裝置這個部份？

[@chococ7651]

還有我記得以前上課的時候聽說過生物認證類的密碼Entropy並不高，如果有人拿到你的裝置嘗試暴力破解的話，說不定比現在使用密碼的方式還簡單

[@PanScitw]

蠻不一樣的，私鑰的位元會多很多，而且會檢查網站

[@chinorchen]

這種技術非常依賴手機的指紋認證 一旦遺失手機還是更換手機 就會一堆帳密（或者說私鑰）遺失要重新弄 最慘的是帳密根本找不回來 理論上講的都是說找的回來 實際上搞不好一堆問題一堆限制 然後一翻兩瞪眼 到最後你怎麼證明該帳號（私鑰）是你的？ 跟誰證明去？

[@6130161309]

所以就會出現A信箱需要你進B信箱驗證，當你開B信箱要驗證的時候，發現B信箱要進A信箱點開驗證...:3....

[@MarkLOWO]

等於是把鑰匙放在大公司手裡，雖然是蠻方便的　哈哈

[@斌小無]

我想應該是指本人即是鑰匙，而不必傳遞鑰匙的概念吧？

[@MarkLOWO]

@@斌小無 是啊 但是審核的能力是放在大公司手裡的 ，假如有需要不經別人同意就登入的話，那些公司是有能力做到的，只是法律上不允許，就跟一開始的帳號密碼的狀況是一樣的，只是現在除了源頭的公司跟你之外，其他的人就更難偷登入你帳號

[@user_3kmbk86ae]

新漏洞被發現利用速度遠比漏洞修補還要快 通訊技術發展近年來非常快速 但未考慮資安的問題就先搶先上市 內部測試時間與項目不足 現況是發現漏洞後才開始漏洞修補 然後請消費者儘速更新...... 消費者只是拿來當成白老鼠 新技術帶來方便也帶來更多漏洞可攻擊

[@加密投資咖啡]

這不是加密錢包的方式嗎 讚哦

[@雪岸翔太]

這東東 加密貨幣產業早就在用了 最好趕快習慣

[@weterfung]

所以簡單來說 就是三大公司獨佔市場 其他公司想進一步創立自己的OS就很難

[@xlion]

未來會讓其他密碼管理器來接管Passkeys的資料庫 不用擔心

[@eternityambit]

如果你明白個體意識是什麼，根本不用太在意這些所謂＂獨佔＂，它們本質只是＂象徵＂，而你是活著的。

[@ngvincent1577]

一提到public key / private key, 很多人就難理解個中原理

[@霸王別擠]

藍芽連結，用定位鎖定，再變更遠端位置到附近，再駭入，防得了嗎？

[@PanScitw]

糟糕，想試試看

[@霸王別擠]

@@PanScitw 還好你看懂我說的

[@兩條槓]

生物辨識 指紋留存的圖樣 不會被盜嗎

[@PanScitw]

如果要大規模犯案比較難

[@n0.6u]

這會不會要讓一個人最多19個小帳？

[@mars007400]

會吧，總筆記一堆高難度密碼，很累，還常常忘記

[@aaaaa-yv1zr]

裝置壞了會很麻煩...

[@koka-on6dt]

很多銀行的郵件傳輸根本沒加密 事先知道信箱 opt被拿走也不是不可能

[@PanScitw]

還有這漏洞！

[@h.z1109]

三星也有類似的功能，Samsung pass

[@邱奕仁-j9b]

這很像古代，公章跟私章

[@HeiMiBR]

不會，公私鑰都存在大公司伺服器，而更換passkey還是用其他目前有的方式登入，想不出這樣更安全的理由是什麼。

[@h.y-chen]

你沒看懂吧,RSA私鑰只會在手機端, 只要把公鑰傳給伺服器而已, 當要授權時, 伺服器傳給你一個資訊到手機端, 手機端用私鑰匙加簽章後, 回傳 伺服器用公鑰認證簽章, 你要想的是私鑰丟了怎麼辦.

[@bingluenzhuang]

@@h.y-chen 我覺得你也沒看完XDD 為了普及和裝置遺失救援問題， RSA 私鑰必定會再同步到系統商(Apple / Google/微軟)的伺服器。 系統商如何保存這些各服務私鑰、救援流程是否能夠落實身分驗證，會變成整個驗證機制裡面最弱的部分。 大部分攻擊手法幾乎都從救援流程下手。

[@h.y-chen]

@@bingluenzhuang 都做這行超過10年了.. 私鑰當然是放在手機的安全儲存區，不管是不是硬體的，你不同意的話怎麼會同步到系統商去，另外同步時應該也會使用點對點加密的方式傳送(例如SSL交換KEY流程)而不是直接把KEY傳到伺服器上去，這些應該都是基本中的基本，救援流程是另一回事，我在其他留言就有提到了，("找回密碼攻擊"一樣有效，手機丟了存在硬體儲存區的私鑰當然也丟了，如果服務方還是提供其他找回密碼的方式(例如寄email重設)，那其實沒有提升任何安全性，除非像加密貨幣冷錢包一樣，丟了就什麼都沒了，除非你當初有抄下復原碼而且沒丟，但這門檻對現代人來說比天還高。)

[@cyli09701225]

私鑰一但上傳雲端，就失去意義了

[@james58899]

可以選擇不上傳，只把私鑰保存在自己信任的裝置上，但就要承擔丟失或損壞的風險。

[@user-9527-v9x]

密碼加生物認證才是最安全的 只用指紋的話,當手機主人被挾持時就什麼也沒有了！

[@andrelee6054]

所以...神盾/義隆可以買了嗎... 之前fb帳號被盜...覺得這些駭客真的很厲害...用亂數生成的密碼也破解得了...

[@xlion]

二步驟不開 被盜正常

[@SunnyShoun]

最大的問題還是session cookie 被盜用

[@Knight0wI]

現在已經不推薦使用session cookie了， 可以理解一下JWT