2fa不可否认认证对象

Question

我正在阅读数字签名：

有效的数字签名使收件人有理由相信消息是由已知的发送方(身份验证)创建的，发送方不能否认已发送消息(nonrepudiation)，以及消息在传输过程中未被更改(完整性)。

对于2FA，我使用一个硬件密钥(例如Yubikey，Key-id)来使用韦文对用户进行身份验证，并且还需要用户的确认才能采取某些敏感的操作。

问:如果我将挑战和硬件密钥返回的AuthenticatorAttestationObject存储在服务器上，这是否是不可否认的？

改头换面:用户是否可以声称，需要按Yubikey按钮的动作不是由他发起的，而是从服务器端捏造出来的？

Answer 1

不可否认是难得多实现的，比一些人所相信的要好。一般来说，签名与高度自信的密钥相关联，但将密钥与特定的人和他们的意图捆绑在一起要困难得多。但是，使用WebAuthn，您无法实现所有这些。

签名是针对特定数据的。为了实现您的目标，您可能希望这些数据类似于“我同意服务器在时间上执行”。实际上，你得到的是“我绝对是用户”之类的东西。没有太大的帮助，因为正如您所指出的，用户可以声称服务器在一个与他打算授权的时间不同的时间执行了不同的操作。

即使您能够解决这个问题，并且您可以在特定的时间获得授权某个操作的语句的签名，签名实际上不是来自用户，而是来自使用密钥的软件。问题是，软件就是你的软件；他们可以声称发送给他们的JavaScript被修改了，未经他们同意就创建了一个签名。

当然，总有可能声称“我的钥匙被偷了”或者“那不是我的钥匙，这是服务器伪造的钥匙”。最后，真正取决于陪审团(或你试图向谁证明这一点)相信谁是值得信任的。