Выбор ответа Middle Аутентификация и сессии обновлено
Почему passkeys устойчивы к фишингу
Вопрос
Почему WebAuthn и passkeys устойчивы к фишингу, а TOTP нет?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Подпись WebAuthn привязана к домену: на фишинговом сайте ключ не сработает, а TOTP введут где угодно. При WebAuthn браузер проверяет origin и подписывает challenge с указанием домена, приватный ключ не покидает устройство.
Варианты ответа
- Ключ passkey намного длиннее шести цифр TOTP, поэтому его нельзя подобрать даже за годы
- Приватный ключ passkey хранится на сервере сайта, и фишинговый домен не может его запросить
- Подпись WebAuthn привязана к домену: на фишинговом сайте ключ не сработает, а TOTP введут где угодноправильный ответ
- TOTP-коды приходят по SMS, а SMS можно перехватить через подмену SIM-карты или SS7
Разбор
При WebAuthn браузер проверяет origin и подписывает challenge с указанием домена, приватный ключ не покидает устройство. TOTP это просто код, который фишинговая страница перешлёт настоящему сайту в реальном времени. Длина тут не главное, ключи на сервере не хранятся (там только публичные), а TOTP генерирует приложение, не SMS.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.