Wagwoorde, onder die enjinkap

Wat hierdie video dek

• 'n Wagwoord wat jou toestel uitdink en nooit vir jou wys nie
• Drie syfers: 5 biljoen wagwoorde, 98% aanmeld sukses, 1 biljoen Google-aanmeldings
• 2013 → 2022: hoe FIDO die wagwoord doodgemaak het, stadig
• Die seremonie: een sleutelpaar per webwerf, uitdaging, handtekening
• Waarom uitvissing sterf: die blaaier skryf die oorsprong

Vertaalde transkripsie

Vertaal uit die oorspronklike Engelse vertelling. Beskikbare klank en onderskrifte word deur YouTube beheer.

'n Wagwoord wat jou toestel uitdink en nooit vir jou wys nie

0:00 'n Wagwoord is 'n wagwoord wat jou toestel uitdink, nooit vir jou wys nie, en weier om aan enigiemand, insluitend jou, te oorhandig, wat die hele sekuriteit is eienskap en, soos van Donderdag, die hele klagte.

Drie syfers: 5 biljoen wagwoorde, 98% aanmeld sukses, 1 biljoen Google-aanmeldings

0:11 Drie syfers. Die FIDO Alliansie tel vyf biljoen wagwoorde in gebruik. Microsoft meet 'n 98 persent aanmeldsukseskoers daarmee, teenoor 32 vir wagwoorde. En 'n plasing getiteld Ek hou nie van wagwoorde nie het net 'n dag bo-aan Hacker News deurgebring met seshonderd kommentaar. In drie minute: waar hulle vandaan kom, wat jou blaaier eintlik teken, en hoekom on-uitvissbaar en on-beweegbaar dieselfde woord is. Dit is The Daily Diff, onder die enjinkap.

0:36 2013. PayPal, Lenovo en 'n opstartonderneming genaamd Nok Nok vorm die FIDO

2013 → 2022: hoe FIDO die wagwoord doodgemaak het, stadig

0:41 Alliansie om die wagwoord dood te maak. 2014, Google en Yubico verskeep die U2F sekuriteitsleutel. 2019, WebAuthn word 'n W3C-standaard. En in 2022 hernoem Apple, Google en Microsoft dit wagwoorde, want niemand het ooit iets gekoop wat 'n ontdekbare residente-geloofsbrief genoem word nie.

Die seremonie: een sleutelpaar per webwerf, uitdaging, handtekening

0:59 Die seremonie. By registrasie genereer jou toestel 'n nuwe sleutelpaar vir daardie een webwerf. Die publieke sleutel gaan na die bediener; die private sleutel bly in die skyfie. By aanmelding stuur die bediener 'n ewekansige uitdaging, die toestel teken dit, en die bediener kontroleer die handtekening teen die publieke sleutel wat dit gestoor het. Daar is geen geheim op die bediener om te lek nie. Die uitvissing-gedeelte is een veld.

Waarom uitvissing sterf: die blaaier skryf die oorsprong

1:17 Voordat die toestel teken, skryf die blaaier, nie die bladsy nie, die regte oorsprong in die getekende data. 'n Ooreenstemmende domein kry 'n handtekening vir die verkeerde domein, en die regte bediener verwerp dit. Die gebruiker kan mislei word; die wiskunde kan nie. So waar woon die private sleutel?

Waar die private sleutel woon: toestelgebonde vs gesinkroniseer

1:30 Toestelgebonde beteken 'n sekuriteitsleutel, waar dit nooit verlaat nie, en 'n YubiKey hou honderd. Gesinkroniseer beteken iCloud Sleutelhanger, Google Wagwoordbestuurder, 1Password of Bitwarden, waar die sleutel in 'n end-tot-end geënkripteerde kluis sit en jou rekening volg. Die webwerf kan vertel watter van 'n sestien-greep model-ID genaamd die AAGUID, en die meeste webwerwe ignoreer dit.

Albei stories is waar: vinniger, sterker, toegesluit

1:51 So albei stories is waar. Aanmelding is vinniger en sterker, en die FIDO-opname sê drie uit vier verbruikers het een. Maar 'n geheim wat jy nie kan lees nie, is onuitvissbaar en onbeweegbaar in dieselfde asem: wanneer die foon sterf, of 'n robot jou Google-rekening verbied, elke wagwoord daarin gaan daarmee saam. Hawksley noem dit 'n perfekte pas vir 'n korporasie en 'n swak pas vir 'n persoon; Nikita Bier noem dit towerfeetjie-stof.

Die oplossing: FIDO-geloofsbriefuitruiling (CXF/CXP) en waar dit staan

2:14 Die oplossing het 'n naam. FIDO se geloofsbriefuitruilformaat het voorgestelde standaard bereik, en iOS 26 en Android skuif nou wagwoorde tussen bestuurders daarmee. Die protokol langsaan is nog 'n werkende konsep, twee jaar in. Hardeware sleutels voer nooit by ontwerp uit nie, so die amptelike rugsteun is 'n tweede hardeware sleutel, 'n aanbeveling met 'n prysetiket.

Maandag: wat om met jou rekeninge te doen

2:33 So, Maandag. Een: hou 'n wagwoord en 'n verifikasie-app op elke rekening totdat die uitvoer vir jou werk; die swakste herstelpad is jou regte sekuriteit. Twee: toestelgebonde beteken twee sleutels op dag een. Drie, as jy die aanmelding bou: vereis 'n inwonende sleutel, verifieer die oorsprong op die bediener, en hou op om 'n wagwoord te vra van iemand wat net een gebruik het. Uitspraak, onder die enjinkap: NEEDS REVIEW.

Uitspraak: NEEDS REVIEW

2:56 Die seremonie is verskeep. Die lewensiklus is 'n werkende konsep. As jy dit eerder wil lees as om my dit te hoor sê, land die verskil in jou inkassie elke oggend, gratis by the daily diff dot dev, skakel hieronder. En dit is die verskil vir vandag. Ek is Niko van Axrisi. Voeg verantwoordelik saam.

Bronne

1. Ethan Hawksley, "I don't like passkeys" (18 Sep 2026) — https://hawksley.dev/blog/i-dont-like-passkeys · HN (616 points)news.ycombinator.com
2. W3C Web Authentication Level 3www.w3.org
3. Trail of Bits, "The cryptography behind passkeys"blog.trailofbits.com
4. FIDO Alliance, "The State of Passkeys 2026" (5 billion passkeys; 90% familiar, 75% enabled; n = 11,000)fidoalliance.org
5. Microsoft, "Convincing a billion users to love passkeys" (98% vs 32% success, 3× faster, 7,000 password attacks/s)www.microsoft.com
6. Google, 1 billion passkey sign-ins across 400 million accounts (May 2024)blog.google
7. FIDO Credential Exchange specs (CXF 1.0 Proposed Standard, CXP Working Draft)fidoalliance.org
8. Android passkey transfer via CXF (heise, Sep 2026)www.heise.de
9. Yubico, YubiKey 5.7: 100 passkeys per keywww.yubico.com
10. William Brown, "Passkeys: A Shattered Dream"fy.blackhats.net.au