パスキーのしくみ

スマホ（認証器）・ブラウザ・サーバー・わるものの4人の舞台で、パスキーの登録とログインを、本物の暗号の計算（ECDSA P-256・SHA-256・PBKDF2）で動かす。小包の中身のバイト列、サーバーの確認リスト。実験7つ（ふつうにログイン・偽サイト・データの流出・使い回し・途中の書きかえ・スマホを落とした・2つめのサイト）をパスワードとパスキーでくらべる。見つけてみよう9つ。

本物そっくりのログイン画面をやめ、スマホの金庫・門番（ブラウザ）・家（サイト）・わるものの絵にした。文字は1場面1行、バイト列は色の模様と「くわしく」の中へ。実験と結果を「合言葉／パスキー」の表にまとめた。計算は本物のまま。