FIDO U2Fにもかかわらず脆弱性？
FIDO U2Fは、チャレンジ/レスポンスアーキテクチャにより、ワンタイムパスワード（OTP）、特にTOTPよりもはるかに安全に見えます。 U2Fユーザーはまだどのように脆弱ですか？
ユーザーのコンピューターが危険にさらされたり、ユーザーがU2Fドングルを紛失したりすると、すべての賭けが無効になります。しかし、フィッシングはもはや機能しませんか？ （私は意欲的なハッカーではなく、テクノロジーを理解しようとしているだけの男です。）
編集：コメントにリンクされているU2Fに関する関連する質問があります。その質問は、U2Fがどれほど安全であるかを尋ねます。特にU2Fで修正されていない脆弱性について疑問に思っています。
ありがとう。
私の意見では、U2Fには現時点で1つ不足しています。秘密鍵のプライバシーです。
各デバイスには、独自の秘密鍵が付属しています。サイト固有の鍵は、この秘密鍵から導出され、サイトにログインするときにチャレンジレスポンスを実行します。これは、匿名でサイトに簡単に登録および認証できるようにするためのものです。
だが！現在販売されている各U2Fデバイスには、初期化された変更不可能な秘密鍵が付属しています。したがって、この秘密鍵を作成したベンダーを信頼する必要があります。
ユーザーが自分の秘密鍵を作成できるU2Fデバイスが欲しいのですが。これが利用できない限り、これが最大の欠点です。私の意見。
2017年2月25日編集
これは、YubikeysとPlugupデバイス、およびこれらからOEM製造された他の多くのダイビングに当てはまりました。実際、最近では、登録用のキーペアではなくcreateではなくcreateと主張するデバイス/ベンダーがあります。 （私はまだこれをテストおよび検証していません。
ユーザーのコンピューターが危険にさらされたり、ユーザーがU2Fドングルを紛失したりすると、すべての賭けが無効になります。しかし、フィッシングはもはや機能しませんか？
これに関して私が発言しているドキュメントは https://sites.google.com/site/oauthgoogにあるProtocol Design + User Flowsdocumentからのものです）/gnubby
マシン上のマルウェアは、偽のOriginメッセージを生成し、デバイスから結果の応答を取得する可能性があります。マルウェア対策は、特にU2F設計の範囲外としてラベル付けされています。
カテゴリがある2要素デバイスと同様に、デバイスの制御を失うことは、デバイスを無効にする必要があることを示しています。
現在、これらの注意事項を念頭に置いて、要求元のソフトウェアがOrigin識別子をU2Fデバイスに渡すため、フィッシングが防止されます。これは、メールのリンクをクリックしたため、g00gle.comがgoogle.comの第2要素の認証情報を取得できないことを意味します。