WebAuthn في الحياة الحقيقية

ما هو WebAuthn ولماذا هو مطلوب

• إذا كانت كلمة المرور بسيطة - يمكنك استلامها ؛
• إذا تم استخدام نفس كلمة المرور في العديد من الخدمات ، فإن كسر أحدها يحصل المهاجم على جميع الخدمات الأخرى ؛
• كلمات المرور عرضة لهجمات التصيد.
• يصعب تذكر كلمات المرور القوية والفريدة ، لذلك يضطر المستخدم إلى كتابة كلمة المرور على الملصق ووضعها على الشاشة ، حيث يمكن بسهولة التجسس أو السرقة أو الضياع.

كيف يعمل WebAuthn

• Client (WebAuthn Client) - متصفح يدعم WebAuthn API ؛
• تطبيق ويب - تطبيق قيد التشغيل على العميل باستخدام WebAuthn API للتفاعل مع بيانات الاعتماد ؛
• بيانات الاعتماد (بيانات اعتماد المفتاح العام) - زوج من مفاتيح التشفير العامة والخاصة المرتبطة بحساب المستخدم ؛
• أداة المصادقة - جهاز أو برنامج - تنشئ بيانات اعتماد المستخدم وتوقع الطلبات من جهة الاعتماد باستخدام بيانات الاعتماد هذه (اسم آخر هو مفتاح إلكتروني) ؛
• يقوم الطرف المعتمد (WebAuthn Relying Party) - خادم الويب - بتخزين المفتاح العام المرتبط بحساب المستخدم ، والتحقق من صحة التوقيع على طلباتهم باستخدام المفتاح الخاص المخزن في المصدق.

إنشاء أوراق الاعتماد ( MakeCredential )

const credential = await navigator.credentials.create({
    publicKey: publicKeyMakeCredentialOptions
});

توقيع طلب باستخدام بيانات اعتماد تم إنشاؤها بالفعل ( GetAssertion )

const assertion = await navigator.credentials.get({
    publicKey: publicKeyGetAssertionOptions
});

مفاتيح إلكترونية

• المفاتيح المستقلة عن المنصة (المصادقون المتجولون) ؛
• مصادق النظام الأساسي

const credential = await navigator.credentials.create({
    publicKey: {
        authenticatorSelection: {
            authenticatorAttachment: 'cross-platform',
        },
        ...,
    },
});

فوائد WebAuthn

• لا يحتاج المستخدم إلى تذكر وإدخال أي كلمات مرور ، ولا يقوم الخادم بتخزين كلمات مرور المستخدم ، على التوالي ، وجميع أوجه القصور التي اختفتها كلمات المرور. يعد سرقة المصدق المادي من المستخدم أكثر صعوبة من اعتراض كلمة المرور التي يتم إرسالها إلكترونيًا عبر اتصال غير آمن ، ولن يؤدي فتح المفاتيح العامة على الموقع إلى فتح المفتاح الخاص المخفي في الجهاز.
• origin , . origin . , (thesslstore.com, yubico.com) .
• WebAuthn - . - web- , .
• يوفر WebAuthn نفسه كواجهة برمجة تطبيقات للمطورين تجريدًا حول تطبيق المصادقين ويسمح لك بكتابة التعليمات البرمجية مرة واحدة ، والتي ستعمل بعد ذلك مع جميع أنواع وأنواع المفاتيح الإلكترونية. وبالتالي يعد WebAuthn حلاً قابلاً للتطوير لمصادقة المستخدم.

دعم WebAuthn

شبابيك

لينكس

ذكري المظهر

iOS

macOS

تسجيل الموثق

const credential = await navigator.credentials.create({
    publicKey: {
        attestation: 'direct',
         ...,
    },
});

يعمل WebAuthn على نطاقات فرعية مختلفة

const credential = await navigator.credentials.create({
    publicKey: {
        rp: {
            name: 'Mail.ru Group',
            id: 'mail.ru',
        },
        ...,
    },
});

يعمل WebAuthn في iframe

1. في تطبيق التفويض عند استخدام WebAuthn ، نحدد ما إذا كنا مفتوحين الآن داخل iframe أم لا ؛
2. إذا كنا منفتحين داخل iframe ، فبدلاً من استدعاء المتصفح WebAuthn API ، نقوم بتسلسل معلمات الاتصال وإرسالها عبر postMessageالنافذة الرئيسية ؛
3. في النافذة الرئيسية ، نقوم بإلغاء تسلسل هذه المعلمات واستدعاء أساليب WebAuthn ؛
4. عندما نتلقى إجابة ، نقوم بتسلسلها بنفس الطريقة وإرسالها عبر postMessageداخل iframe ، حيث نقبل هذه الإجابة ونجري مزيدًا من المعالجة.

أتمتة اختبار WebAuthn

//    WebAuthn   
navigator.credentials.create = (options) => {
    window.credentialsCreateArgs = options;

    return new Promise((resolve, reject) => {
        window.credentialsCreateSuccess = resolve;
        window.credentialsCreateFail = reject;
    });
};

// -    
const credentialsCreateResponse = { /* constant object */ };

window.credentialsCreateSuccess(credentialsCreateResponse);

• تحقق مما إذا كان العميل يقوم بشكل صحيح بتكوين المعلمات ولفها في وظائف WebAuthn ؛
• تحقق من صحة تغييرات الواجهة الخلفية عند تدوير إصدارات الخلفية.

// -    
const credentialsCreateResponse =
    calcCredentialsCreateResponse(window.credentialsCreateArgs);
 
window.credentialsCreateSuccess(credentialsCreateResponse);

1. الحصول على الحجج التي تم استدعاء أساليب WebAuthn معها ؛
2. ندير هذه الحجج من خلال دالة تنفذ نفس الخوارزميات داخل المصدقين الحقيقيين ؛
3. نحصل على النتيجة ، ونعيدها من وظائفنا المستبدلة ؛
4. تعالج جميع التعليمات البرمجية المتبقية في خدمتنا هذه الاستجابات في الوضع المعتاد ونتيجة لذلك ، لا يختلف كل سلوك الخدمة عن سلوكها للمستخدمين الحقيقيين.

حاضر ومستقبل WebAuthn

كيف يمكنك استخدام WebAuthn؟

أسئلة وأجوبة شائعة

أين يمكنني شراء مفتاح إلكتروني؟

• أمن Dataway
• خط ناعم

ماذا لو فقدت مفتاحي الإلكتروني؟

ماذا أفعل إذا تمكن شخص آخر من الوصول إلى مفتاحي الإلكتروني؟

الآن سيتم تخزين البيانات البيومترية الخاصة بي على Mail.ru/Google/Microsoft خوادم؟

استنتاج

• عند استخدام WebAuthn ، لا يلزم تذكر كلمات المرور وإدخالها ؛
• WebAuthn - , ;
• WebAuthn ;
• WebAuthn — .

مواد إضافية

• Web Authentication: An API for accessing Public Key Credentials Level 1
• herrjemand/awesome-webauthn: A curated list of awesome WebAuthn/FIDO2 resources
• artifact-project/webauthn: A set of tools for building an API and interacts with WebAuthn
• Getting started with security keys
• 4 Password Authentication Risk & How to Avoid Them
• WebAuthn ,
• Getting Started with WebAuthn with Nick Steele
• Key generation in Yubico U2F Keys