如果手机丢了,里面的 Passkey 通行密钥怎么办?

55 天前
 moudy
给新手机登陆微信时提示支持创建 passkey 通行密钥,可以免去登陆验证 blahblah 。

到微信的文档里看了一下,完全没提将来换手机或手机丢了该怎么办。放在以前手机丢了,可以短信登陆。是不是开启 passkey 后手机丢了,就只能走严格的挂失流程了?感觉麻烦程度上升一个数量级。

现在似乎主要网站都在推荐换到 passkey 登陆,但是并没有一个统一的流程来说明,如果 passkey 丢了该怎么办。有的是给一个巨长的恢复 key 让你记在什么地方,说实话此法巨扯淡,也就企业 IT 部门能有合格的 recovery key 管理,根本就不应该给普通消费者使用。有的怕是要走忘记密码的流程了。

然后同品牌换手机一般还好说,可以还原密码本。跨品牌换手机似乎如何传递 passkey 就不知道了。原则上 passkey 一经创建就不应该离开设备。品牌不一样的话就没有传递 passkey 的统一标准了吧?
4093 次点击
所在节点    信息安全
36 条回复
seanzxx
55 天前
很多网站都把 passkey 做为另一种身份验证方式,又不是唯一一种。
就算 passkey 丢了,你也可以用以前的密码,或者 以前的 apple id 方式登陆。
而且 passkey 通过云同步的,手机丢了也无所谓呀,你在新手机上登陆 apple account ,passkey 又同步回来了。
rick13
55 天前
icloud 可以云同步,安卓不知道,也可以第三方类似 1password 同步
rick13
55 天前
这功能竟然只能海外手机号用,小龙🐎又死了一遍
HENQIGUAI
55 天前
存到 Bitwarden 里,只要主密码不忘记,就不会丢。如果不放心他们的云服务,可以自建服务的。
HTravel
55 天前
本质上是因为你在家里没有自己的数据中心,没有这个“根”,导致你发现 passkey 逻辑上不自洽。

我的密码分为基础型密码、衍生型密码、普通密码。基础型密码细分为硬件(防盗柜、防盗门、Wi-Fi 等等)、OS 本地用户、应用类(微信、QQ 、OS 在线用户、银行等)。衍生型密码就是类似 gmail 验证登陆、QQ 验证登陆这类生成的注册用户。普通密码自然是不重要的各类网站、app 的密码。

我基础型密码会单独存放在一个 numbers 里面,然后强加密保存;该强密码也会记在里面。这个强密码需要自行记住。假设出车祸失忆了也有 Plan B ,防盗柜支持 2 个机械钥匙开锁,我在里面放了打印出来的该 number 文档。2 个机械钥匙日常一个插在防盗门上配合数字密码开锁,另一个放在家里不引人注意的角落,确保小偷很难找到。

我定期会导出所有的密码到另一个 numbers 里面,然后强加密保存。

所有的密码,包括这两个 numbers 文件,又都在 iCloud 里面,会自动同步到多个设备中。我又写了同步、备份、快照功能,可以再进一步同步到 Windows 、群晖、威联通中。在这些里面会进一步生成历史备份、历史快照。所以即使中了勒索病毒也不影响以前的密码。

所以唯一一个小风险就是 2 次备份普通密码期间,iCoud 同步普通密码时丢失了,或 iCloud 服务端有 bug 导致丢失了密码。也就是说,在别人眼中 iCloud 是顶级的安全存储中心,在我方案里反而是最弱的那个点。

假设中美开战,苹果直接关闭了 iCloud ,甚至直接强加密了用户所有文件,我的密码及所有文件都不受影响。

甚至进一步,我在天翼云、车库车子的中央扶手箱,都各自存放了一份我的核心数据,大约 70GB 。这个存放也是包含了历史版本的,所以即使当前版本出了问题,也不会导致历史版本丢失。

因为安卓手机支持 termux ,termux 里面能跑我的同步、备份、快照代码,所以我 2 台安卓中,也可以随时备份我的核心数据,相当于我的核心数据永远可以跨苹果生态异构互备在随身的本机设备中。

我的所有数据(密码自然也是数据),都没有单点故障风险,连双点故障风险都没有。

密码我也不需要单独考虑,密码本就是数据,按照核心数据备份原则对待即可。
SakuraYuki
55 天前
@moudy #4 「如果连 passkey 都能丢失,说明你的密码库已经灭了。」 你的主楼里说的是手机丢了不是 passkey 丢了,手机丢了又不影响你用 bitwarden 和 1password ,及时更改这两个的管理密码就行了
xiangyuecn
55 天前
5202 年了,证明你是你还是很困难嘛
urlk
55 天前
用 Bitwarden
yecc
55 天前
@HTravel 学习了,马上去实践。
Admstor
55 天前
密码库完全可以丢到云存储,随时保持更新啊

举例我是用 keepass 的,坚果云实现全平台同步
keepass 数据库我是使用密码+密钥文件来保护
密码就是随机密码,死记硬背下来,密钥文件我使用了多个物理 U 盘存放,开 bitlocker 死记硬背下来,并且定期检查校验文件是否完整

任意设备丢失,因为缺少密码和密钥文件,数据库是安全的
任何密钥文件丢失,因为缺少密码和数据库,也是安全的,无密码情况下只是一个毫无意义的空白 U 盘
设备和密钥同时丢失,因为缺少密码,依然是安全的,且这种情况下还不一定能拿到数据库

我自己只需要记住数据库密码和 bitlocker 密码即可

甚至于,密码,密码库,密钥文件,我可以分别给三个相互不认识的好友
这样即便我手上所有设备密钥文件乃至我自己忘记了密码,我都可以找到他们来回复如初(但是因为密码库做不到实时更新,会存在一定的历史版本问题,但是也完全可以解决,不细说了)
wheat0r
54 天前
我的 recovery key 打印出来放在另一套房子里了
qqqyh
54 天前
首先,passkey 保存在第三方密码管理器里自然就实现跨设备同步了。其次,如果要保存在不可导出的设备上,那当然要每个设备设置单独的 passkey 了,这不就和 GtiHub 上传多个 SSH 公钥一个道理么?
qqqyh
54 天前
而且 passkey 只是一个登录选项,设置了 passkey 又不是不让用密码或手机号登录了。
Andrue
54 天前
软件 webauth 类可以同步备份
硬件 key 可以设置丢失应急机制
并且严格安全要求的硬件 key 用户大多都会配置一个以上的多个 key 分散丢失损坏的风险
ofLmvFk
54 天前
最开始 passkey 设计是硬件绑定的,但是因为有你提及的丢失损坏导致的访问权限丢失,如果只有硬件级别的 key, 那就需要添加多个硬件 passkey 作为备份,比较麻烦。所以设计了可以同步的 passkey.



具体可以看这个

https://fidoalliance.org/white-paper-fido-authentication-for-moderate-assurance-use-cases/
moudy
54 天前
@qqqyh #33 那就是我理解错误了。以为是和二次验证一样,一旦切过去旧的登陆方式就统统作废。因为考虑换机之类的问题,一直没敢启用 passkey ,所以也不清楚 passkey 后还有没有退路。

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/1148585

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX