U2F 密钥的隐私

信息安全 隐私 u2f
2021-09-04 13:06:09

如果我在某个服务上为两个帐户使用相同的 U2F 密钥,该服务可以检测到并匹配帐户吗?

等效地,如果我为两个不同的服务使用相同的 U2F 密钥,这些服务是否可以串通以匹配它们之间的帐户?

1个回答

假设您的设备支持生成和使用多个密钥,则识别信息不会通过使用 U2F 跨服务共享。

您可能会发现Yubico的以下评论很有趣:

每个用户还可以选择拥有多个身份,包括匿名(没有与身份相关的个人信息)。U2F 设备为每个服务生成一对新的密钥,公钥仅存储在它连接的特定服务上。通过这种方法,服务提供商之间不会共享任何秘密,即使是低成本的 U2F 设备也可以支持任意数量的服务。

Google关于 U2F 设备的常见问题解答提供了类似的答案:

当我在多个网站上使用我的安全密钥时,我的隐私是否受到保护?

由于安全密钥可以与多个网站一起使用,因此 FIDO U2F 协议是从头开始设计的,以确保用户隐私。无法向安全密钥设备查询可用于跨多个站点跟踪用户的唯一标识符。相反,安全密钥会在使用它的每个网站上注册一个唯一的凭据。这些凭据的设计使网站无法“比较笔记”并通过其安全密钥跨网站识别同一用户。