如何使用 Trezor 作為 FIDO2 安全金鑰？ （無密碼登入）

硬體錢包雙用能力

1. Trezor 裝置從 Model T 的韌體版本 2.5.0 以及 Safe 3 和 Safe 7 的韌體版本 23.1.0 開始支援 FIDO2 身份驗證。

2. 裝置必須透過 USB 實體連接或透過藍牙配對，具體取決於型號功能和主機作業系統支援。

3. 在現代作業系統上無需安裝額外的軟體 - Windows 10/11、macOS 12+ 和 Linux 核心 5.10+ 包含本機 FIDO2 驅動程式。

4. 使用者必須在 Trezor Suite 中的「設定」>「安全性」>「FIDO2 身份驗證」下明確啟用 FIDO2 功能。

5. 啟用後，裝置將顯示為相容於網站和服務（例如 GitHub、Google、Dropbox 和 Microsoft Entra ID）的 WebAuthn 驗證器。

支援平台上的註冊流程

1. 導覽至支援金鑰或 FIDO2 的服務的帳戶安全性設置，例如 GitHub 的「密碼和身分驗證」部分。

2. 選擇“新增安全性金鑰”或“註冊新金鑰”，然後插入或喚醒 Trezor 裝置。

3. 使用按鈕按下或生物辨識驗證（如果支援）在 Trezor 畫面上確認註冊。

4. 在註冊期間指派一個人類可讀的暱稱（例如「Trezor Safe 7 – Work」）－該標籤會本機儲存在主機上，而不是裝置上。

5.完成觸發密碼學證明交換；該服務僅儲存公鑰和憑證 ID，從不儲存私鑰。

登入時的認證流程

1. 當提示進行第二因素或無密碼登入時，瀏覽器會啟動 WebAuthn 斷言請求。

2. Trezor 透過 CTAP2 協定接收質詢並顯示依賴方的網域名稱（例如「login.microsoft.com」）。

3. 使用者同時按下 Safe 3 上的兩個按鈕或點選 Safe 7 或 Model T 上的螢幕來確認意圖。

4. 裝置使用其內部 ECDSA 金鑰對質詢進行簽名並傳回簽名，而不會暴露私有資料。

5. 依賴方使用先前註冊的公鑰驗證簽名，並在驗證後授予存取權限。

安全邊界和限制

1. 每個 FIDO2 憑證都綁定到特定的來源 - 在「github.com」註冊的 Trezor 無法在「gitlab.com」進行身份驗證。

2. 憑證不跨裝置同步；失去 Trezor 意味著失去存取權限，除非存在備份憑證（例如還原碼或備用金鑰）。

3. 只有當裝置的主錢包 PIN 處於作用中狀態時，才會強制執行 FIDO2 作業的 PIN 保護 — 停用錢包 PIN 會停用 FIDO2 PIN 強制。

4. Trezor不儲存生物辨識模板；指紋或臉部資料完全保留在主機系統上，永遠不會接觸硬體錢包。

5. 韌體更新可能會重設 FIDO2 憑證 - 使用者必須在主要韌體升級後重新註冊金鑰，除非明確記錄遷移支援。

常見問題解答

Q1.我可以同時使用同一個 Trezor 進行加密貨幣簽章和 FIDO2 登入嗎？是的。加密貨幣簽章和 FIDO2 操作使用單獨的金鑰衍生路徑，互不干擾。設備在內部處理並發上下文。

Q2。 Trezor 是否支援常駐金鑰（可發現的憑證）？是的。當配置啟用使用者驗證時，Trezor Safe 7 和 Model T 支援駐留金鑰。 Safe 3 需要透過主機系統進行外部使用者驗證，並且不儲存可發現的憑證元資料。

Q3。為什麼我的 Trezor 在 Chrome 上註冊 FIDO2 期間沒有顯示為選項？當 USB 權限被封鎖、網站缺少 HTTPS 或裝置處於開機載入程式模式時，就會發生這種情況。在開始註冊之前，請確保 Trezor Suite 已關閉、網站使用有效的 TLS 憑證並且裝置顯示主畫面。

Q4。是否可以從 Trezor 匯出或備份 FIDO2 憑證？不可以。 FIDO2 憑證在設計上是不可匯出的。它們以加密方式綁定到設備，無法提取、複製或遷移到另一個身份驗證器。