恢复已签名的消息是一个安全的登录过程吗

Question

以下登录过程安全吗？

1. 在服务器上签名
2. 发送给客户端
3. 使用元任务对消息进行签名
4. 发回签名
5. 从签名和签名邮件中恢复帐户
6. 使用恢复的地址作为id

使用这个概念时，我遇到的最常见的漏洞是什么？

Answer 1

非常高级别的概念是有效的，但实现细节是关键。考虑重播攻击，例如，攻击者不应该能够使用以前的签名回复。还可以考虑mitm：服务器发送质询，攻击者将其转发到客户端，客户端对其进行签名，然后将其发送给攻击者，现在攻击者可以验证并模拟受害者。这意味着它需要一个安全通道，其中客户端已经对服务器进行了身份验证(即https(。等等，关于如何实现这一点，有很多细节很重要。

还要注意，这是关于webauthn的功能。