#WebAuthn

phpMyAdminのWebAuthnセキュリティキー登録がInternal error: TypeErrorで失敗する。原因は予備実装CustomServerがAAGUIDを生16バイトのままJSONに入れること。127.0.0.1限定のDocker環境で実際の登録フローを通して特定した。登録できたレコードも公式tarball側へ移すとログインできない。開発ブランチでは2026年9月に修正済み。

phpMyAdmin 5.2.3のWebAuthn二要素認証を回避できるとするPoCを、127.0.0.1だけのDocker検証環境で動かした。署名を検証しないCustomServerではでたらめな署名でログインできたが、公式tarballを展開した構成ではInvalid signature.で拒否された。影響するインストール方法をComposerの実行結果つきで整理する。

Palo Alto Networks Unit 42が公開したPass-ta-key攻撃3種を整理した。前提はWindows上のChromeとマルウェアの先行感染だが、全パスキーを暗号化するマスター鍵がプロセスメモリに平文で載り、抜かれても失効させる方法がない。返ってきたUVフラグを確かめていないサービス側の問題も扱った。

W3C WebAuthn L3共同エディターのTim Cappalli氏がPRF拡張による暗号化鍵導出のリスクを警告。認証器を失うとデータが永久に復元不能になる構造的問題と、Bitwarden・WhatsApp等の実装状況、推奨されるEnvelope Encryptionパターンを整理した。