Trezor를 FIDO2 보안 키로 사용하는 방법은 무엇입니까? (비밀번호 없이 로그인)

하드웨어 지갑 이중 용도 기능

1. Trezor 장치는 Model T의 경우 펌웨어 버전 2.5.0, Safe 3 및 Safe 7의 경우 23.1.0부터 FIDO2 인증을 지원합니다.

2. 모델 기능 및 호스트 OS 지원에 따라 장치는 USB를 통해 물리적으로 연결되거나 Bluetooth를 통해 페어링되어야 합니다.

3. 최신 운영 체제에서는 추가 소프트웨어 설치가 필요하지 않습니다. Windows 10/11, macOS 12+ 및 Linux 커널 5.10+에는 기본 FIDO2 드라이버가 포함되어 있습니다.

4. 사용자는 Trezor Suite의 설정 > 보안 > FIDO2 인증에서 명시적으로 FIDO2 기능을 활성화해야 합니다.

5. 활성화되면 장치는 GitHub, Google, Dropbox 및 Microsoft Entra ID와 같은 호환 가능한 웹 사이트 및 서비스에 대한 WebAuthn 인증자로 표시됩니다.

지원되는 플랫폼의 등록 프로세스

1. GitHub의 "비밀번호 및 인증" 섹션과 같이 비밀번호 키 또는 FIDO2를 지원하는 서비스의 계정 보안 설정으로 이동합니다.

2. "보안 키 추가" 또는 "새 암호 키 등록"을 선택한 다음 Trezor 장치를 삽입하거나 깨우십시오.

3. 지원되는 경우 버튼 누르기 또는 생체 인증을 사용하여 Trezor 화면에서 등록을 확인합니다.

4. 등록 중에 사람이 읽을 수 있는 별명(예: "Trezor Safe 7 – Work")을 지정합니다. 이 라벨은 장치가 아닌 호스트에 로컬로 저장됩니다.

5. 완료되면 암호화 증명 교환이 시작됩니다. 서비스는 공개 키와 자격 증명 ID만 저장하며 개인 키는 저장하지 않습니다.

로그인 중 인증 흐름

1. 2단계 로그인 또는 비밀번호 없는 로그인을 묻는 메시지가 표시되면 브라우저는 WebAuthn 어설션 요청을 시작합니다.

2. Trezor는 CTAP2 프로토콜을 통해 요청을 수신하고 신뢰 당사자의 도메인 이름(예: “login.microsoft.com”)을 표시합니다.

3. 사용자는 Safe 3에서 두 버튼을 동시에 누르거나 Safe 7 또는 Model T에서 화면을 탭하여 의도를 확인합니다.

4. 장치는 내부 ECDSA 키를 사용하여 챌린지에 서명하고 개인 자료를 노출하지 않고 서명을 반환합니다.

5. 신뢰 당사자는 이전에 등록된 공개 키를 사용하여 서명을 확인하고 검증 시 액세스 권한을 부여합니다.

보안 경계 및 제한 사항

1. 각 FIDO2 자격 증명은 특정 출처에 바인딩됩니다. "github.com"에 등록된 Trezor는 "gitlab.com"에서 인증할 수 없습니다.

2. 자격 증명은 여러 장치에서 동기화되지 않습니다. Trezor를 잃는다는 것은 백업 자격 증명(예: 복구 코드 또는 대체 키)이 존재하지 않는 한 액세스 권한을 잃는다는 것을 의미합니다.

3. FIDO2 작업을 위한 PIN 보호는 장치의 기본 지갑 PIN이 활성화된 경우에만 시행됩니다. 지갑 PIN을 비활성화하면 FIDO2 PIN 시행이 비활성화됩니다.

4. Trezor는 생체 인식 템플릿을 저장하지 않습니다. 지문이나 얼굴 데이터는 호스트 시스템에 완전히 남아 있으며 하드웨어 지갑에는 절대 닿지 않습니다.

5. 펌웨어 업데이트는 FIDO2 자격 증명을 재설정할 수 있습니다. 마이그레이션 지원이 명시적으로 문서화되지 않은 한 사용자는 주요 펌웨어 업그레이드 후에 키를 다시 등록해야 합니다.

자주 묻는 질문

Q1. 암호화폐 서명과 FIDO2 로그인에 동일한 Trezor를 동시에 사용할 수 있습니까? 예. 암호화폐 서명 및 FIDO2 작업은 별도의 키 파생 경로를 사용하며 간섭하지 않습니다. 장치는 내부적으로 동시 컨텍스트를 처리합니다.

Q2. Trezor는 상주 키(검색 가능한 자격 증명)를 지원합니까? 예. Trezor Safe 7 및 Model T는 사용자 확인이 활성화된 상태로 구성된 경우 상주 키를 지원합니다. Safe 3은 호스트 시스템을 통한 외부 사용자 확인이 필요하며 검색 가능한 자격 증명 메타데이터를 저장하지 않습니다.

Q3. Chrome에서 FIDO2 등록 중에 내 Trezor가 옵션으로 표시되지 않는 이유는 무엇입니까? 이는 USB 권한이 차단되거나, 사이트에 HTTPS가 부족하거나, 장치가 부트로더 모드에 있을 때 발생합니다. Trezor Suite가 닫혀 있는지, 사이트에서 유효한 TLS 인증서를 사용하는지, 등록을 시작하기 전에 장치에 홈 화면이 표시되는지 확인하세요.

Q4. Trezor에서 FIDO2 자격 증명을 내보내거나 백업할 수 있습니까? 아니요. FIDO2 자격 증명은 설계상 내보낼 수 없습니다. 이는 암호화 방식으로 장치에 바인딩되어 있으며 추출, 복제 또는 다른 인증자로 마이그레이션할 수 없습니다.