Trezor を FIDO2 セキュリティ キーとして使用するにはどうすればよいですか? (パスワードレスログイン)

ハードウェアウォレットのデュアルユース機能

1. Trezor デバイスは、Model T のファームウェア バージョン 2.5.0、Safe 3 および Safe 7 のファームウェア バージョン 23.1.0 以降、FIDO2 認証をサポートします。

2. モデルの機能とホスト OS のサポートに応じて、デバイスは USB 経由で物理的に接続するか、Bluetooth 経由でペアリングする必要があります。

3. 最新のオペレーティング システムでは追加のソフトウェアのインストールは必要ありません。Windows 10/11、macOS 12 以降、および Linux カーネル 5.10 以降にはネイティブ FIDO2 ドライバーが含まれています。

4. ユーザーは、Trezor Suite の [設定] > [セキュリティ] > [FIDO2 認証] で FIDO2 機能を明示的に有効にする必要があります。

5. 有効にすると、デバイスは、GitHub、Google、Dropbox、Microsoft Entra ID などの互換性のある Web サイトやサービスに対して WebAuthn 認証システムとして表示されます。

サポートされているプラ​​ットフォームでの登録プロセス

1. GitHub の「パスワードと認証」セクションなど、パスキーまたは FIDO2 をサポートするサービスのアカウント セキュリティ設定に移動します。

2. [セキュリティ キーの追加] または [新しいパスキーの登録] を選択し、Trezor デバイスを挿入するかウェイクアップします。

3. ボタンを押すか、サポートされている場合は生体認証を使用して、Trezor 画面での登録を確認します。

4. 登録中に人間が判読できるニックネーム (「Trezor Safe 7 – Work」など) を割り当てます。このラベルはデバイスではなくホストにローカルに保存されます。

5. 完了すると、暗号化認証交換がトリガーされます。サービスは公開キーと資格情報 ID のみを保存し、秘密キーは保存しません。

ログイン時の認証の流れ

1. 第 2 要素またはパスワードなしのログインを求めるプロンプトが表示されると、ブラウザは WebAuthn アサーション リクエストを開始します。

2. Trezor は CTAP2 プロトコルを通じてチャレンジを受信し、証明書利用者のドメイン名 (例: 「login.microsoft.com」) を表示します。

3. ユーザーは、Safe 3 で両方のボタンを同時に押すか、Safe 7 または Model T で画面をタップして意図を確認します。

4. デバイスは内部 ECDSA キーを使用してチャレンジに署名し、プライベート マテリアルを公開することなく署名を返します。

5. 信頼当事者は、以前に登録された公開キーを使用して署名を検証し、検証後にアクセスを許可します。

セキュリティの境界と制限

1. 各 FIDO2 認証情報は特定のオリジンにバインドされています。「github.com」に登録されている Trezor は「gitlab.com」では認証できません。

2. 資格情報はデバイス間で同期されません。 Trezor を失うということは、バックアップ資格情報 (回復コードや代替キーなど) が存在しない限り、アクセスを失うことを意味します。

3. FIDO2 操作の PIN 保護は、デバイスのメイン ウォレット PIN がアクティブな場合にのみ適用されます。ウォレット PIN を無効にすると、FIDO2 PIN の強制も無効になります。

4. Trezor は生体認証テンプレートを保存しません。指紋や顔のデータは完全にホスト システムに残り、ハードウェア ウォレットには決して触れません。

5. ファームウェアのアップデートにより FIDO2 資格情報がリセットされる場合があります。移行サポートが明示的に文書化されていない限り、ユーザーはファームウェアのメジャー アップグレード後にキーを再登録する必要があります。

よくある質問

Q1.暗号通貨署名と FIDO2 ログインの両方に同じ Trezor を同時に使用できますか?はい。暗号通貨の署名と FIDO2 操作は別のキー導出パスを使用し、干渉しません。デバイスは同時コンテキストを内部で処理します。

Q2. Trezor は常駐キー (検出可能な資格情報) をサポートしていますか?はい。 Trezor Safe 7 および Model T は、ユーザー検証を有効にして構成されている場合、常駐キーをサポートします。 Safe 3 では、ホスト システムを介した外部ユーザー検証が必要であり、検出可能な認証情報のメタデータは保存されません。

Q3. Chrome での FIDO2 登録中に Trezor がオプションとして表示されないのはなぜですか?これは、USB アクセス許可がブロックされている場合、サイトに HTTPS がない場合、またはデバイスがブートローダー モードである場合に発生します。登録を開始する前に、Trezor Suite が閉じていること、サイトが有効な TLS 証明書を使用していること、デバイスにホーム画面が表示されていることを確認してください。

Q4. Trezor から FIDO2 資格情報をエクスポートまたはバックアップすることはできますか?いいえ。FIDO2 資格情報は設計上エクスポートできません。これらは暗号的にデバイスにバインドされており、抽出したり、複製したり、別の認証システムに移行したりすることはできません。