はじめに

Passkeys are a trap. Do not use them.
https://nonfunctional.substack.com/p/passkeys-are-a-trap-do-not-use-them
─
What’s important to know is that unlike with any other kind of login credential, you do not have ultimate control over your passkeys.
知っておくべきなのは、ほかの種類のログイン認証情報とは違い、パスキーについては最終的な決定権を自分では持てないということです。

この記事を読んで、パスキーについてちゃんと理解を深めたくなった。

パスキーというキーワードで検索すると

• 生体認証だから安全
• デバイス間で情報が共有されるから便利
• Yubikey等のハードウェアセキュリティキーを使うと外部へ流出することがない

など、いろいろな情報が出てくるため、実態がどういうものなのかがパッと分かりにくい。 この記事では、このパスキーの公開鍵認証に使う「秘密鍵」の保存に焦点を当てて調べたことをまとめる。

Astrocamel - Blog/Portfolio of George Skouroupathis
https://www.astrocamel.com/web/2020/09/04/how-i-bypassed-cloudflares-sql-injection-filter.html

が元の記事で、さらっとまとめると

Cloudflareを使ってるサイトの脆弱性試験しようとしたら、そもそもサイトまでリクエストが届いてないことが判明
CloudflareのWAFで弾かれてるっぽいから、SQLのリクエスト難読化したら無事突破できたよ

って話です。この機能を回避するアプローチが面白かった。 ここでいう「難読化（obfuscation）」っていうのは、 SQLの意味はそのままに、Cloudflareのフィルタをパスできるクエリの加工のことのようです。 （CDNのレイヤで、リクエストの中身まで見て攻撃を防ぐみたいなことしてるの知らなかった・・・。）