#Passkey
19 篇文章
TechLab 所有關於「Passkey」嘅文章、評測同教學，由最新排起。
3C 產品Pocket ID 一個 container 自架 passkey SSO，易裝但整合有四個伏位
Pocket ID 用一個 Docker container 就做到 passkey 登入，對自架幾個服務嘅家庭 server 幾吸引。不過真正花時間嘅係 HTTPS、redirect URI、身份 claim 同手機 app 支援，裝得起只係第一步。
Tech NewsPass-ta-key 可偷 Google passkey？先搞清楚部 Windows 機中咗 malware
Pass-ta-key 展示 malware 點樣借用 Windows 裝置嘅硬件金鑰、濫用重新註冊流程，甚至抽走 Google Password Manager 嘅解密秘密。不過三種攻擊全部由裝置已失守開始，影響亦限於研究驗證過嘅 Windows Chrome 環境，唔代表所有 passkey 都可以遠端偷走。
3C 產品iCloud Private Relay 可俾網站靜默繞過：passkey 點樣漏出真實 IP
安全研究員發現，網站可以借 WebAuthn passkey 驗證，喺冇提示、冇撳掣之下繞過 iCloud Private Relay，取得裝置真實 IP。漏洞唔代表 passkey 密鑰外洩，不過香港 iCloud+ 用戶付費使用嘅 IP 保護，確實出現咗一個幾難察覺嘅缺口。
Tech NewsApple Private Relay 可洩露真實 IP：iPhone、Mac 用戶而家可以點做
研究人員發現 WebKit 有三條網絡路徑繞過 iCloud Private Relay，網站毋須等用戶按下 passkey，已經可能取得真實 IP。漏洞唔會入侵裝置或者偷走 passkey，但會削弱 Safari 嘅匿名效果；Apple 修補前，重視匿名嘅用戶要考慮全裝置 VPN。
3C 產品Passkey 防釣魚照樣有效，但 Windows 中毒後 Google 同步金鑰可被奪
Unit 42 發現三條攻擊路徑，malware 可利用 Windows Chrome 嘅裝置信任、註冊同復原流程，冒用 Google Password Manager 同步 passkey。密碼學本身冇失守，所有攻擊亦要先入侵受害者部電腦，但最嚴重手法可能留下長期風險。
Tech NewsGoogle 同步 passkey 爆三種攻擊，風險由中毒 Windows 電腦開始
Unit 42 拆出三種針對 Google 同步 passkey 嘅攻擊，最嚴重可以抽走保護全部 passkey 嘅主密鑰。不過三招都有同一個重要前提：指定 Windows 電腦已經俾惡意程式入侵，passkey 本身用嗰套公開密鑰技術冇遭破解。
Tech News酒店 Wi‑Fi 可劫走 Microsoft 365 登入：MFA 點解都未必擋到
酒店 Wi‑Fi 個名同密碼都正確，背後嘅 gateway 一樣可以俾人控制。黑客改 DNS、擺假 Microsoft 365 頁面，再濫用 device code 登入，就連普通 MFA 都有機會俾用家自己放行。外遊公幹最好識得分清 hotspot、VPN 同 passkey 各自擋到邊一段。
3C 產品Google 自拍影片救帳戶點設定？拆解同 passkey、兩步驗證嘅分工
Google 新增自拍影片帳戶復原，靠人臉比對、指定頭部動作同登入風險訊號核實身份。呢招適合手機同後備電郵一齊失效嗰陣救急，不過唔取代 passkey 或兩步驗證，亦要接受人臉影片存上 Google server 嘅私隱取捨。
3C 產品收到資料外洩通知唔好亂撳：由驗真到清走重用密碼嘅處理次序
資料外洩通知可能係真，亦可能係釣魚餌。最穩陣係自行登入官方網站驗證，再盤點重用及外洩密碼，優先處理電郵、金融、Apple 同 Google 帳戶。舊密碼就算多年冇用，只要仲留喺其他服務，照樣可以俾人攞去撞庫。
Tech NewsMFA 開咗都照失守：假登入頁、QR code 同 token 點樣接管公司帳戶
開咗 MFA 唔代表帳戶一定安全。攻擊者而家會用假登入頁截取 session token、狂推登入通知，甚至借真正 Microsoft 裝置授權頁叫用戶親手批出存取權。公司要轉用 passkey／FIDO2，亦要收緊 MFA 登記同登入政策。
3C 產品Google 加自拍片做帳戶後備鎖匙：點設定、幾時先用得着
Google 新增自拍片帳戶復原功能，當手機、passkey 或驗證碼用唔到，就可以重新錄片核對身份。不過功能要預先設定，亦冇取代日常登入方法；面容資料點存、deepfake 防護有幾穩陣，同香港帳戶有冇資格，都要逐樣睇清楚。
Tech NewsGoogle 加入自拍影片取回帳戶：要預先設定，方便背後有私隱取捨
Google 加入自拍影片做帳戶取回後備，冇咗手機或電腦時，可以再拍影片核對身份。不過呢項功能要事先啟用，亦代表要將面貌資料交畀 Google 保存。究竟同電話、電郵、passkey、備用碼有咩分別，設定前有幾點要諗清楚。
Tech NewsGoogle 帳戶鎖咗可用自拍影片救返：設定方法、限制同私隱代價
Google 加入自拍影片作帳戶復原後備方法，手機唔喺手、收唔到驗證碼時可以多一條路。不過用之前一定要預先登記，而且涉及容貌資料儲存；香港帳戶亦未確認全面開放。
3C 產品Google 推自拍影片救帳戶：要出事前先拍，香港開放未確認
Google 擴大推出自拍影片登入同帳戶復原功能，用戶要趁仲入到帳戶時預先拍片，日後再錄一段作面容配對。功能設有真人動作檢查同靜態加密，但香港推出狀態仍係 [待確認]，亦唔應當佢取代 passkey、復原電話或者復原聯絡人。
Tech NewsGoogle 用自拍影片幫你救返帳戶：方便背後，多交一份人面資料值唔值？
Google 正分階段推出自拍影片復原帳戶：預先錄低人面，鎖戶口時再錄一段比對。少咗對手機同 2FA app 嘅依賴，代價係要喺雲端留低一份人面影片；保存、刪除同防 deepfake 細節，官方仍有唔少位未講清楚。
Tech NewsMicrosoft 365 開咗 MFA 都可以中招：Evilginx 點樣偷走登入 session
Evilginx 類工具夾喺用戶同 Microsoft 登入系統中間，等受害者完成密碼同 MFA，再偷走已獲授權嘅 session。Lexfo 追查到三組相關攻擊，但 218 個帳號其實來自裝置驗證碼行動。公司除咗升級 passkey／FIDO2，仲要收緊 Conditional Access、監察異常登入同適時撤銷 session。
Tech NewsMicrosoft Entra ID 轉用 passkey：企業 IT 由而家起要處理嘅部署問題
Microsoft 據報會由 2026 年 9 月起，逐步推動 Entra ID 用戶註冊 passkey；到 2027 年 2 月，企業若仍想用 SMS 或語音 MFA，就要另接第三方傳送服務。IT 團隊要及早盤點受影響帳戶、裝置支援同復原流程，唔好等登入提示出現先處理。
Tech NewsGPT-5.6 網上安全權限 9 月收緊：邊類 Codex 個人用戶要加固登入
OpenAI 要求 Trusted Access for Cyber 個人成員喺 9 月 1 日前啟用進階帳戶安全防護同 hardware-backed passkey，先可保留最強網上安全能力。一般 GPT-5.6／Codex 用戶唔受呢項期限影響，亦唔使急買 YubiKey。
Tech NewsPasskey 冇失守，假 IT 來電點樣騙過 MFA 接管 Microsoft 365
Okta 發現 O-UNC-066 由 2026 年 4 月起，用假 IT 來電同仿 Microsoft 頁面套取帳戶密碼及 MFA，再喺真正帳戶加入攻擊者控制嘅 passkey。呢篇拆解當中可疑位，同埋員工及 Entra 管理員要即時做咩。