網路攻擊與防禦實務
FIDO2（WebAuthn）通行金鑰的驗證，比一次性密碼（OTP）更能抵抗網路釣魚，正確的理由是下列何者？
- A私密金鑰的簽章與連線目標的網域綁定，因此假網站無法產生真網站用的簽章，即使轉送也無法使用
- B通行金鑰是6位數的數字，位數比OTP少，因此使用者在假網站上輸入前的時間也比較短
- C使用通行金鑰時，伺服器會保存使用者的密碼，因此即使在假網站上輸入，也能在伺服器比對時識破
查看答案與解析
正確答案：A. 私密金鑰的簽章與連線目標的網域綁定，因此假網站無法產生真網站用的簽章，即使轉送也無法使用
OTP是使用者看著畫面輸入的值，因此無法防止誘使使用者在假網站上輸入，再立刻轉送到真網站的攻擊（中間人型的網路釣魚）。在FIDO2中，會為每個網站建立一組公開金鑰與私密金鑰，只把公開金鑰註冊到網站；登入時則以私密金鑰對網站送來的值（挑戰）簽章。要使用哪個網站的金鑰，由瀏覽器確認的實際連線目標網域決定，被簽章的資訊中也包含該連線目標，因此假網站無法取得真網站用的簽章。此外，伺服器只保存公開金鑰，即使從伺服器外洩，也無法用於冒用身分。
- A. 正確。簽章與連線目標的網域綁定，因此假網站無法取得可用的簽章。
- B. 通行金鑰不是輸入數字的方式，而是以裝置內的私密金鑰簽章的方式。
- C. 使用通行金鑰時，註冊到伺服器的不是密碼，而是公開金鑰。