Passkeys, chini ya kofia

Nini video hii inashughulikia

• Nenosiri ambalo kifaa chako hubuni na hakikuonyeshi kamwe
• Namba tatu: passkeys bilioni 5, asilimia 98 ya mafanikio ya kuingia, kuingia bilioni 1 kwenye Google
• 2013 → 2022: jinsi FIDO ilivyoua nenosiri, polepole
• Sherehe: jozi moja ya funguo kwa kila tovuti, changamoto, saini
• Kwa nini hadaa inakufa: kivinjari huandika asili

Nakala iliyotafsiriwa

Imetafsiriwa kutoka simulizi asili ya Kiingereza. Sauti na manukuu yanayopatikana yanadhibitiwa na YouTube.

Nenosiri ambalo kifaa chako hubuni na hakikuonyeshi kamwe

0:00 Nenosiri la ufikiaji ni nenosiri ambalo kifaa chako hubuni, hakikuonyeshi kamwe, na hukataa kumpa mtu yeyote, ikiwemo wewe, ambayo ndiyo usalama wote kipengele na, kuanzia Alhamisi, malalamiko yote.

Namba tatu: passkeys bilioni 5, asilimia 98 ya mafanikio ya kuingia, kuingia bilioni 1 kwenye Google

0:11 Namba tatu. Muungano wa FIDO unahesabu passkeys bilioni tano zinazotumika. Microsoft inapima asilimia 98 ya kiwango cha mafanikio ya kuingia nazo, dhidi ya 32 kwa nywila. Na chapisho lililopewa kichwa Sipendi passkeys limetumika siku nzima juu ya Hacker News na maoni mia sita. Katika dakika tatu: zimetoka wapi, kivinjari chako kinasaini nini hasa, na kwa nini zisizoweza kudukuliwa na zisizoweza kuhamishwa ni neno lile lile. Huu ni The Daily Diff, chini ya kofia.

0:36 2013. PayPal, Lenovo na kuanzishwa kulikoitwa Nok Nok kuunda FIDO

2013 → 2022: jinsi FIDO ilivyoua nenosiri, polepole

0:41 Muungano wa kuua nenosiri. 2014, Google na Yubico zinasafirisha ufunguo wa usalama wa U2F. 2019, WebAuthn inakuwa kiwango cha W3C. Na mnamo 2022 Apple, Google na Microsoft zinabadilisha jina kuwa passkeys, kwa sababu hakuna mtu aliyewahi kununua kitu kinachoitwa kitambulisho cha mkazi kinachoweza kugunduliwa.

Sherehe: jozi moja ya funguo kwa kila tovuti, changamoto, saini

0:59 Sherehe. Wakati wa usajili kifaa chako kinatengeneza jozi mpya ya funguo kwa ajili ya hiyo tovuti moja. Ufunguo wa umma huenda kwenye seva; ufunguo wa faragha unabaki kwenye chipu. Wakati wa kuingia seva hutuma changamoto isiyo ya kawaida, kifaa huweka saini, na seva huangalia saini dhidi ya ufunguo wa umma iliyohifadhi. Hakuna siri kwenye seva ya kuvuja. Sehemu ya hadaa ni sehemu moja.

Kwa nini hadaa inakufa: kivinjari huandika asili

1:17 Kabla ya kifaa kuweka saini, kivinjari, si ukurasa, huandika asili halisi kwenye data iliyosainiwa. Kikoa kinachoonekana kama hicho kinapata saini kwa kikoa kibaya, na seva halisi inaikataa. Mtumiaji anaweza kudanganywa; hisabati haiwezi. Kwa hivyo ufunguo wa faragha unakaa wapi?

Ufunguo wa faragha unakaa wapi: umefungwa kwa kifaa dhidi ya kusawazishwa

1:30 Ufunguo wa kifaa unamaanisha ufunguo wa usalama, ambapo haiondoki kamwe, na YubiKey ina mia moja. Imesawazishwa inamaanisha iCloud Keychain, Google Password Manager, 1Password au Bitwarden, ambapo ufunguo unakaa mwisho hadi mwisho vault iliyosimbwa na inafuata akaunti yako. Tovuti inaweza kusema ni ipi kutoka kitambulisho cha mfano cha baiti kumi na sita kinachoitwa AAGUID, na tovuti nyingi huipuuza.

Hadithi zote mbili ni za kweli: haraka, imara zaidi, imefungwa

1:51 Kwa hivyo hadithi zote mbili ni za kweli. Kuingia ni haraka na imara zaidi, na utafiti wa FIDO unasema watumiaji watatu kati ya wanne wanayo. Lakini siri ambayo huwezi kuisoma haiwezi kudukuliwa na haiwezi kuhamishwa katika pumzi ile ile: simu inapokufa, au roboti inakataza akaunti yako ya Google, kila passkey ndani yake huenda nayo. Hawksley anaita hiyo inafaa kabisa kwa shirika na haifai kwa mtu; Nikita Bier anaita vumbi la hadithi za kichawi.

Suluhisho: ubadilishanaji wa vitambulisho vya FIDO (CXF/CXP) na msimamo wake

2:14 Suluhisho lina jina. Umbizo la ubadilishanaji wa vitambulisho vya FIDO lilifikia kiwango kilichopendekezwa, na iOS 26 na Android sasa huhamisha passkeys kati ya mameneja nazo. Itifaki iliyo kando yake bado ni rasimu inayofanyiwa kazi, miaka miwili ndani. Funguo za vifaa hazisafirishwi kamwe kwa kubuni, kwa hivyo chelezo rasmi ni ya pili funguo ya vifaa, mapendekezo yenye bei.

Jumatatu: nini cha kufanya na akaunti zako

2:33 Kwa hivyo, Jumatatu. Moja: weka nenosiri na programu ya uthibitishaji kwenye kila akaunti hadi usafirishaji ukufae; njia dhaifu ya kurejesha ndio usalama wako halisi. Mbili: iliyounganishwa na kifaa inamaanisha funguo mbili siku ya kwanza. Tatu, ikiwa unaunda kuingia: hitaji ufunguo wa kudumu, thibitisha asili kwenye seva, na uache kuomba passkey kutoka kwa mtu ambaye ametumia moja. Uamuzi, chini ya kofia: inahitaji kupitiwa.

Uamuzi: NEEDS REVIEW

2:56 Sherehe ilisafirishwa. Mzunguko wa maisha ni rasimu inayofanyiwa kazi. Ikiwa ungependa kusoma hii badala ya kunisikia nikisema, diff inatua kwenye kikasha chako kila asubuhi, bila malipo kwenye the daily diff dot dev, kiungo hapa chini. Na hiyo ndio diff kwa leo. Mimi ni Niko kutoka Axrisi. Unganisha kwa uwajibikaji.

Vyanzo

1. Ethan Hawksley, "I don't like passkeys" (18 Sep 2026) — https://hawksley.dev/blog/i-dont-like-passkeys · HN (616 points)news.ycombinator.com
2. W3C Web Authentication Level 3www.w3.org
3. Trail of Bits, "The cryptography behind passkeys"blog.trailofbits.com
4. FIDO Alliance, "The State of Passkeys 2026" (5 billion passkeys; 90% familiar, 75% enabled; n = 11,000)fidoalliance.org
5. Microsoft, "Convincing a billion users to love passkeys" (98% vs 32% success, 3× faster, 7,000 password attacks/s)www.microsoft.com
6. Google, 1 billion passkey sign-ins across 400 million accounts (May 2024)blog.google
7. FIDO Credential Exchange specs (CXF 1.0 Proposed Standard, CXP Working Draft)fidoalliance.org
8. Android passkey transfer via CXF (heise, Sep 2026)www.heise.de
9. Yubico, YubiKey 5.7: 100 passkeys per keywww.yubico.com
10. William Brown, "Passkeys: A Shattered Dream"fy.blackhats.net.au