慢雾 CISO：发现可绕过基于 WebAuthn 密钥登录的新型攻击

Techub News 消息，慢雾首席信息安全官 23pds 发推表示，「研究人员发现一种可绕过基于 WebAuthn 密钥登录的新型攻击，攻击者可通过恶意浏览器扩展或利用网站 XSS 漏洞劫持 WebAuthn API，从而强制降级为密码登录、篡改密钥注册流程以窃取凭据。该攻击无需访问设备或 Face ID，受害者在存在恶意扩展或注入漏洞的网站上使用密钥登录，即可能被冒充身份，导致账户被攻破。」

WebAuthn 是由 W3C 和 FIDO 联盟制定的一项 Web 标准，可令网站和应用通过公钥密码学来进行安全的用户认证。