ควรสแกน QR การลงชื่อเข้าใช้ passkey นี้หรือไม่?

การลงชื่อเข้าใช้ passkey ข้ามอุปกรณ์ทำงานอย่างไร

passkey คือข้อมูลรับรองตัวตน ซึ่งเป็นคู่กุญแจสาธารณะ/ส่วนตัว ที่ผูกกับอุปกรณ์ใดอุปกรณ์หนึ่งของคุณ หากคุณลงทะเบียน passkey สำหรับ example.com บนโทรศัพท์ของคุณ มีเพียงโทรศัพท์ของคุณเท่านั้นที่สามารถลงนาม login challenge สำหรับ example.com ได้

นั่นใช้ได้ดีเมื่อคุณลงชื่อเข้าใช้บนโทรศัพท์ แต่เกิดอะไรขึ้นเมื่อคุณลงชื่อเข้าใช้บนแล็ปท็อปที่ไม่มี passkey? คุณมีสามตัวเลือก:

1. พิมพ์รหัสผ่าน ซึ่งทำลายจุดประสงค์ทั้งหมดของ passkey
2. ลงทะเบียน passkey ใหม่บนแล็ปท็อป ไม่เป็นไร แต่เฉพาะเมื่อคุณเชื่อถือแล็ปท็อปนี้ในระยะยาว
3. ใช้ passkey บนโทรศัพท์ผ่านการขนส่งข้ามอุปกรณ์ แล็ปท็อปแสดง QR โทรศัพท์ของคุณสแกน แล้วโทรศัพท์ดำเนินการรับรองตัวตน

ตัวเลือกที่ 3 คือสิ่งที่ FIDO CTAP 2.2 "hybrid" กำหนดไว้ QR คือการบูตสแตรป มีข้อมูลเพียงพอสำหรับโทรศัพท์ของคุณที่จะสร้างอุโมงค์ที่เข้ารหัสไปยังแล็ปท็อปและยืนยันการลงชื่อเข้าใช้

ข้อมูลอะไรอยู่ใน QR

URI มีลักษณะดังนี้:

FIDO:/0123456789012345678901234567890123456789...

ตัวเลขฐาน 10 คือการเข้ารหัส base10 ของ CBOR map หลังจากถอดรหัส base10 + แยกวิเคราะห์ CBOR แล้ว map จะมีคีย์จำนวนเต็ม:

โมเดลภัยคุกคาม: ใครกด "ลงชื่อเข้าใช้ด้วย passkey" ก่อน?

โปรโตคอลนี้ปลอดภัยด้านการเข้ารหัส การตรวจสอบความใกล้ชิด Bluetooth นั้นจริงและจำกัดการโจมตีให้อยู่กับผู้ที่อยู่ใกล้ทางกายภาพ ปัญหาไม่ได้อยู่ที่โปรโตคอล

ผ่าน social engineering ที่ การเริ่มต้น ผู้โจมตีเริ่มการลงชื่อเข้าใช้ passkey สำหรับบัญชี ของคุณ บนแล็ปท็อป ของผู้โจมตี แล้วแสดง QR ให้คุณ

• โทรศัพท์ "ฝ่ายสนับสนุนด้านเทคนิค" และขอให้คุณสแกน QR เพื่อ "ยืนยันบัญชีของคุณ"
• การโทร Zoom แบบ "แชร์หน้าจอ" ที่ผู้โจมตีแสดง QR บนหน้าจอและขอให้คุณสแกนด้วยโทรศัพท์
• การโจมตี social engineering ต่อหน้า ผู้โจมตีนั่งข้างคุณที่ร้านกาแฟ แสดง QR ขอความช่วยเหลือในการ "ลงชื่อเข้าใช้"
• อีเมล phishing ขอให้คุณสแกน QR เพื่อ "ยืนยันตัวตนสำหรับการลงชื่อเข้าใช้ใหม่" (FIDO QR จริงมีอายุสั้น อีเมล phishing ไม่มีบริบทนั้น)

หากคุณสแกน โทรศัพท์ของคุณส่งลายเซ็น passkey กลับไปยัง เบราว์เซอร์แล็ปท็อปของผู้โจมตี เว็บไซต์ที่คุณเพิ่งรับรองความถูกต้องตอนนี้ให้ผู้โจมตีเข้าสู่ระบบ

โปรดทราบว่าการตรวจสอบระยะใกล้ไม่ช่วยได้ เพราะผู้โจมตีอยู่ใกล้ตัวจริงๆ เนื้อหา QR ไม่ช่วยได้ เพราะมีความถูกต้องทางการเข้ารหัส ปลายทาง login ไม่ช่วยได้ เพราะเป็นเว็บไซต์ที่ถูกต้องที่คุณมี passkey อยู่ สิ่งเดียวที่ช่วยได้คือการรับรู้สถานการณ์: คุณไม่ควรสแกน FIDO QR ที่คุณไม่ได้สร้างขึ้นเองโดยการคลิก "Sign in" บนอุปกรณ์ของคุณเอง

สิ่งที่เครื่องสแกนของเราแสดง

เมื่อคุณอัปโหลด FIDO QR เข้าเครื่องสแกนของเรา ผลแสดง:

• คำแนะนำการดำเนินการ นี่คือการลงชื่อเข้าใช้ การลงทะเบียน passkey หรือการดำเนินการ discoverable-credential?
• โดเมนเซิร์ฟเวอร์อุโมงค์ ตรงกับผู้ให้บริการที่คุณรู้จักหรือไม่ (เช่น cable.ua5v.com ของ Google)?
• เวลาประทับของ QR สร้างขึ้นเมื่อกี้หรือล้าสมัยและน่าจะถูกเล่นซ้ำ?
• ความยาวกุญแจ peer-public-key และความยาว QR-secret เป็นการตรวจสอบความถูกต้องของโครงสร้าง QR

คลาสภัยคุกคามมักเป็น suspicious เสมอ ไม่ใช่เพราะโปรโตคอลมีปัญหา แต่เพราะการตัดสินใจด้านความปลอดภัยขึ้นอยู่กับบริบทที่เซิร์ฟเวอร์ไม่มีทางรู้

เมื่อใดที่ปลอดภัย (และเมื่อใดที่ไม่)

ปลอดภัย: คุณนั่งอยู่ที่แล็ปท็อป เปิดเว็บไซต์ธนาคารหรืออีเมล คลิก "ลงชื่อเข้าใช้ด้วย passkey" และแล็ปท็อปแสดง QR ที่คุณสแกนด้วยโทรศัพท์เองทันที

ไม่ปลอดภัย: บุคคลอื่นนอกจากคุณเริ่มการลงชื่อเข้าใช้ ซึ่งรวมถึงบุคคลใดก็ตามทางโทรศัพท์ บุคคลใดก็ตามในหน้าจอที่แชร์ หรืออีเมล/เว็บไซต์ที่แสดง QR ให้คุณสแกน

หากคุณไม่แน่ใจว่า QR มาจากการลงชื่อเข้าใช้ที่ คุณ เริ่ม ให้ยกเลิกการลงชื่อเข้าใช้บนอุปกรณ์ต้นทาง (ปิดเบราว์เซอร์) แล้วเริ่มต้นใหม่

ที่เกี่ยวข้อง

• กลโกง QR ที่ควรระวังในปี 2026
• มาตรฐาน QR ทั้งหมดที่เราตรวจสอบ
• QR ส่งออก Authenticator (รูปแบบ 2FA รุ่นเก่าที่คล้ายกัน) →