近年来，随着多重身份验证 (MFA) 的普及，如何平衡用户的便捷性和安全性成为了一项挑战。MFA 是一种安全措施，它结合了多种身份验证方法，例如除了密码之外，还结合了生物特征身份验证和一次性密码，以防止未经授权的账户访问。然而，引入 MFA 意味着用户需要经历更多繁琐的程序。为了解决这个问题，一种名为 Syncable Authenticator（也称为 Passkey）的新型身份验证技术应运而生。
可同步认证器通过在多台设备之间同步用于认证的私钥，允许用户在任何设备上使用相同的认证信息。这极大地提升了便利性。然而，在多台设备之间共享私钥存在安全风险。因此，美国国家标准与技术研究院 (NIST) 发布了可同步认证器的安全使用指南（SP 800-63B 的附录）。
本文档是对 NIST 特别出版物 800-63B 的补充，提供了有关使用可同步认证器（也称为密钥）的指南，该认证器允许在设备之间复制和同步认证密钥。关键要点包括：
- 正确构建的可同步认证器可以减轻中间人攻击、验证者冒充和重放攻击等威胁，并提供认证意图以实现认证保证级别 2 (AAL2)，该级别需要高级别的安全性，包括抵抗网络钓鱼，同时仍提供一定的易用性。
- 本文档更新了 SP 800-63B，以允许复制可同步认证器的认证密钥，只要满足密钥生成、存储和访问控制的某些要求，从而使政府组织能够使用密钥。
- 它讨论了实现方面的注意事项，例如使用 WebAuthn 规范中的标志来确定身份验证器是否满足 AAL2 的要求。对于企业用例，可以使用 Attestation 来验证身份验证器的功能。
- 我们概述了可同步认证器的潜在威胁和挑战，包括未经授权的密钥使用、同步结构的泄露和撤销的困难，并提出了缓解这些威胁和挑战的方法。
- 本文档认识到某些实现中用户之间密钥共享的风险，并为企业和公共用例提供指导。
总体而言，本补充旨在帮助机构就可同步身份验证器的集成做出明智的、基于风险的决策，如果部署得当，这些身份验证器可以提供方便的、防网络钓鱼的身份验证。
本附录提供了验证可同步认证器是否适用于 AAL2 的重要标准。它还讨论了密钥滥用和云存储泄露等新威胁，并提出了应对措施。它表明，通过识别可同步认证器的潜在风险并适当引入它们，可以在不牺牲便利性的情况下提高安全性。
本附录不仅为安全人员提供了实用信息，也为所有考虑引入可同步身份验证器的各方提供了实用信息。NIST 发布的公共指南将增强人们对可同步身份验证器安全性的信心，并促进其广泛应用。用户数量的增长将促进进一步的技术创新。本附录被视为一个重要的里程碑，将有助于兼具安全性和便捷性的新型身份验证技术的健康发展。
有关背景信息，请参阅@phr_eidentity 的这篇文章。记事1很详细。