Door Anoniem: Door Erik van Straten: En los van dit alles: hoeveel FIDO2-enabled diensten ondersteunen momenteel méér dan 1 "sleutel"? Ik heb hier geen onderzoek naar gedaan en ben dus benieuwd. Bij de diensten waar ik met Webauthn/U2F inlog, allemaal. Ah, dat is dan in elk geval positief. Door Anoniem: Door Anoniem: Voeg gewoon Google Authenticator of ander 2FA mechanisme toe; heb je ook weinig meer aan onderschepte credentials. Dat is onjuist, ook je authenticator code kan namelijk onderschept worden bij real-time phishing. Vrijwel alle populaire 2FA methoden (push notificaties, RSA tokens, Google Authenticator codes) zijn hier vatbaar voor. Dit is precies een van de punten waar de FIDO2 standaard niet vatbaar voor is door het gebruik van public/private encryption. Dat is onjuist, de anti-phishing maatregel van webauthn staan los van het gebruik van asymmetrische sleutelparen (en bijbehorende uitwisseling van data waarmee het bezit van de private key wordt aangetoond). De reden dat MitM tools als ...