パスキーはなぜ「盗まれても意味がない」と言えるのか — 公開鍵暗号方式で理解する新しい認証 - Qiita

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? パスワードを使い回している自覚はある。それでも「まあ自分は大丈夫だろう」と思いながら、今日もどこかのサービスに8文字のパスワードを打ち込んでいる。そういう人は、案外多いのではないだろうか。 最近、GoogleやApple、主要なECサービスなどで「パスキーでログイン」という選択肢を見かけるようになった。指紋や顔認証でログインできて便利、という説明はよく見る。だが、「それは結局、指紋データがサーバーに送られているだけではないのか」という疑いを、一度は持ったことがあるはずだ。この記事は、その疑いに答えるところから始めたい。 パスワードという

[pixmap]

こういう場合の「盗まれる」は秘密鍵やデバイス情報を盗まれることを指すのでは？

[sgo2]

秘密鍵を盗まれたらアウトだけど、秘密鍵の入ったデバイスのプロテクトが破られない限りは問題無いという前提。紛失は複数のデバイス登録で対策できる。(一部複数のデバイスを登録できないクソサービスも有るが)

[w1234567]

パスキー素人だけどサーバー側の公開鍵漏れても問題ないって言ってるけどサーバー側で公開鍵を保存してるDBを更新されたら他人でログインできそうって思った、まあDB更新できる時点で終わりなんだが

[nguyen-oi]

仕組みは理解できるけどスマホ落としたり壊れた時の復旧の手間考えるとまだ不安なんだよな