如何使用 Trezor 作为 FIDO2 安全密钥？ （无密码登录）

硬件钱包双用能力

1. Trezor 设备从 Model T 的固件版本 2.5.0 以及 Safe 3 和 Safe 7 的固件版本 23.1.0 开始支持 FIDO2 身份验证。

2. 设备必须通过 USB 物理连接或通过蓝牙配对，具体取决于型号功能和主机操作系统支持。

3. 在现代操作系统上无需安装额外的软件 - Windows 10/11、macOS 12+ 和 Linux 内核 5.10+ 包含本机 FIDO2 驱动程序。

4. 用户必须在 Trezor Suite 中的“设置”>“安全性”>“FIDO2 身份验证”下明确启用 FIDO2 功能。

5. 启用后，设备将显示为兼容网站和服务（例如 GitHub、Google、Dropbox 和 Microsoft Entra ID）的 WebAuthn 身份验证器。

支持平台上的注册流程

1. 导航到支持密钥或 FIDO2 的服务的帐户安全设置，例如 GitHub 的“密码和身份验证”部分。

2. 选择“添加安全密钥”或“注册新密钥”，然后插入或唤醒 Trezor 设备。

3. 使用按钮按下或生物识别验证（如果支持）在 Trezor 屏幕上确认注册。

4. 在注册期间分配一个人类可读的昵称（例如“Trezor Safe 7 – Work”）——该标签本地存储在主机上，而不是设备上。

5、完成触发密码学证明交换；该服务仅存储公钥和凭证 ID，从不存储私钥。

登录时的认证流程

1. 当提示进行第二因素或无密码登录时，浏览器会发起 WebAuthn 断言请求。

2. Trezor 通过 CTAP2 协议接收质询并显示依赖方的域名（例如“login.microsoft.com”）。

3. 用户通过同时按下 Safe 3 上的两个按钮或点击 Safe 7 或 Model T 上的屏幕来确认意图。

4. 设备使用其内部 ECDSA 密钥对质询进行签名并返回签名，而不会暴露私有材料。

5. 依赖方使用先前注册的公钥验证签名，并在验证后授予访问权限。

安全边界和限制

1. 每个 FIDO2 凭证都绑定到特定的来源 - 在“github.com”注册的 Trezor 无法在“gitlab.com”进行身份验证。

2. 凭证不跨设备同步；失去 Trezor 意味着失去访问权限，除非存在备份凭证（例如恢复代码或备用密钥）。

3. 仅当设备的主钱包 PIN 处于活动状态时，才会强制执行 FIDO2 操作的 PIN 保护 — 禁用钱包 PIN 会禁用 FIDO2 PIN 强制。

4. Trezor不存储生物识别模板；指纹或面部数据完全保留在主机系统上，永远不会接触硬件钱包。

5. 固件更新可能会重置 FIDO2 凭证 - 用户必须在主要固件升级后重新注册密钥，除非明确记录迁移支持。

常见问题解答

Q1.我可以同时使用同一个 Trezor 进行加密货币签名和 FIDO2 登录吗？是的。加密货币签名和 FIDO2 操作使用单独的密钥派生路径，互不干扰。设备在内部处理并发上下文。

Q2。 Trezor 是否支持常驻密钥（可发现的凭据）？是的。当配置启用用户验证时，Trezor Safe 7 和 Model T 支持驻留密钥。 Safe 3 需要通过主机系统进行外部用户验证，并且不存储可发现的凭证元数据。

Q3。为什么我的 Trezor 在 Chrome 上注册 FIDO2 期间没有显示为选项？当 USB 权限被阻止、站点缺少 HTTPS 或设备处于引导加载程序模式时，就会发生这种情况。在开始注册之前，请确保 Trezor Suite 已关闭、站点使用有效的 TLS 证书并且设备显示主屏幕。

Q4。是否可以从 Trezor 导出或备份 FIDO2 凭证？不可以。FIDO2 凭证在设计上是不可导出的。它们以加密方式绑定到设备，无法提取、克隆或迁移到另一个身份验证器。