Passkeys

webauthn に加えて、アプリと認証デバイスとのコミュニケーションのための spec である CTAP などを含め、パスワードレスログインを実現するための仕様(FIDO2 ともよばれる)

複数の鍵を登録することで、マルチデバイスでのログインが可能

クラウドで鍵を同期させる事業者もある

Apple デバイス間では iCloud で鍵が同期される

You can even use your iPhone to sign in to apps and websites on non-Apple devices.

なぜこんなことができる？

スマホの鍵をつかって、PC で web アプリにログインが可能

このための spec が CTAP かな？

フィッシングは防げるはず

webauthn の範囲で対応している？

こういうのも防ぎやすくなるだろう

passkeys は 2FA である説明されるが違和感がある

デバイスに保存されている passkey を使うには生体認証やPINが必要というだけで、ログイン自体は passkey があれば十分なんだよね？

であれば、それを 2FA と呼ぶのは違和感があるが、そういうものなのだろうか？

passkey が盗まれるということをあまり想定していない気がする。もちろんパスワードよりリスクは低いが、クラウドで同期するなら lastpass のような事例はあるわけで、リスク０ではない。

その場合はクラウド同期なしで物理デバイス使えばよいが、それはそれで recovery の問題が生じる

2FA という言葉遣いは間違ってはいないらしい？？

Passwordless multi-factor authentication requires an authenticator capable of user verification, and in some cases also discoverable credential capable.

authenticato 自体を認証する仕組みがある。これと組み合わせるなら 2fa か

Passkey は二要素と言えるのか。