WebAuthn im wirklichen Leben

Was ist WebAuthn und warum wird es benötigt?

• Wenn das Passwort einfach ist, können Sie es abholen.
• Wenn in mehreren Diensten dasselbe Kennwort verwendet wird, erhält der Angreifer Zugriff auf alle anderen Dienste.
• Passwörter sind anfällig für Phishing-Angriffe.
• Starke und eindeutige Passwörter sind schwer zu merken, daher muss der Benutzer das Passwort auf den Aufkleber schreiben und auf den Monitor kleben, von wo aus es leicht ausspioniert, gestohlen oder verloren werden kann.

Wie WebAuthn funktioniert

• Client (WebAuthn Client) - ein Browser, der die WebAuthn-API unterstützt;
• Webanwendung - Eine Anwendung, die auf dem Client ausgeführt wird und die WebAuthn-API verwendet, um mit Anmeldeinformationen zu interagieren.
• Anmeldeinformationen (Public Key Credential) - ein Paar öffentlicher und privater kryptografischer Schlüssel, die einem Benutzerkonto zugeordnet sind;
• Authenticator - ein Gerät oder Programm - erstellt Benutzeranmeldeinformationen und signiert Anforderungen der vertrauenden Partei mit diesen Anmeldeinformationen (ein anderer Name ist ein elektronischer Schlüssel).
• Die vertrauende Partei (WebAuthn Relying Party) - der Webserver - speichert den dem Benutzerkonto zugeordneten öffentlichen Schlüssel und überprüft die Gültigkeit der Signatur ihrer Anforderungen mit dem im Authentifikator gespeicherten privaten Schlüssel.

Erstellung von Anmeldeinformationen ( MakeCredential )

const credential = await navigator.credentials.create({
    publicKey: publicKeyMakeCredentialOptions
});

Signieren einer Anfrage mit bereits erstellten Anmeldeinformationen ( GetAssertion )

const assertion = await navigator.credentials.get({
    publicKey: publicKeyGetAssertionOptions
});

Elektronische Schlüssel

• plattformunabhängige Schlüssel (Roaming-Authentifikatoren);
• Plattformauthentifizierer

const credential = await navigator.credentials.create({
    publicKey: {
        authenticatorSelection: {
            authenticatorAttachment: 'cross-platform',
        },
        ...,
    },
});

WebAuthn-Vorteile

• Der Benutzer muss sich keine Kennwörter merken und eingeben, und der Server speichert keine Benutzerkennwörter. Alle Mängel, die die Kennwörter hatten, sind verschwunden. Das Stehlen eines physischen Authentifikators von einem Benutzer ist viel schwieriger als das Abfangen eines Kennworts, das elektronisch über eine unsichere Verbindung übertragen wird, und ein Leck öffentlicher Schlüssel auf der Site öffnet den im Gerät versteckten privaten Schlüssel nicht.
• origin , . origin . , (thesslstore.com, yubico.com) .
• WebAuthn - . - web- , .
• WebAuthn selbst als API bietet Entwicklern eine Abstraktion über die Implementierung von Authentifikatoren und ermöglicht es Ihnen, Code einmal zu schreiben, der dann mit allen Arten und Typen von elektronischen Schlüsseln funktioniert. Somit ist WebAuthn eine skalierbare Lösung für die Benutzerauthentifizierung.

WebAuthn-Support

Windows

Linux

Android

iOS

Mac OS

Authenticator-Registrierung

const credential = await navigator.credentials.create({
    publicKey: {
        attestation: 'direct',
         ...,
    },
});

WebAuthn arbeitet an verschiedenen Subdomains

const credential = await navigator.credentials.create({
    publicKey: {
        rp: {
            name: 'Mail.ru Group',
            id: 'mail.ru',
        },
        ...,
    },
});

WebAuthn arbeitet im Iframe

1. In der Autorisierungsanwendung bestimmen wir bei Verwendung von WebAuthn, ob wir jetzt im iframe geöffnet sind oder nicht.
2. Wenn wir innerhalb des Iframes geöffnet sind, serialisieren wir die Aufrufparameter, anstatt die Browser-API WebAuthn aufzurufen, und senden sie über das postMessageübergeordnete Fenster.
3. Im übergeordneten Fenster deserialisieren wir diese Parameter und rufen die WebAuthn-Methoden auf.
4. Wenn wir eine Antwort erhalten, serialisieren wir sie auf die gleiche Weise und senden sie durch das postMessageInnere eines Iframes, wo wir diese Antwort akzeptieren und die weitere Verarbeitung durchführen.

WebAuthn Test Automation

//    WebAuthn   
navigator.credentials.create = (options) => {
    window.credentialsCreateArgs = options;

    return new Promise((resolve, reject) => {
        window.credentialsCreateSuccess = resolve;
        window.credentialsCreateFail = reject;
    });
};

// -    
const credentialsCreateResponse = { /* constant object */ };

window.credentialsCreateSuccess(credentialsCreateResponse);

• Überprüfen Sie, ob der Client Parameter korrekt formt und in WebAuthn-Funktionen einfügt.
• Überprüfen Sie die Richtigkeit der Backend-Änderungen, wenn Sie Backend-Releases rollen.

// -    
const credentialsCreateResponse =
    calcCredentialsCreateResponse(window.credentialsCreateArgs);
 
window.credentialsCreateSuccess(credentialsCreateResponse);

1. Holen Sie sich die Argumente, mit denen die WebAuthn-Methoden aufgerufen wurden.
2. Wir führen diese Argumente durch eine Funktion, die dieselben Algorithmen wie in echten Authentifikatoren implementiert.
3. Wir erhalten das Ergebnis und geben es von unseren ersetzten Funktionen zurück.
4. Der gesamte Rest des Codes in unserem Service verarbeitet diese Antworten im üblichen Modus. Infolgedessen unterscheidet sich das gesamte Verhalten des Service nicht von seinem Verhalten für echte Benutzer.

Die Gegenwart und Zukunft von WebAuthn

Wie können Sie WebAuthn sonst noch verwenden?

Beliebte Fragen und Antworten

Wo kann ich einen elektronischen Schlüssel kaufen?

• Datenverkehrssicherheit
• Sanfte Linie

Was ist, wenn ich meinen elektronischen Schlüssel verliere?

Was soll ich tun, wenn jemand anderes Zugriff auf meinen elektronischen Schlüssel erhält?

Jetzt werden meine biometrischen Daten auf Mail.ru/Google/Microsoft-Servern gespeichert?

Fazit

• Bei Verwendung von WebAuthn ist es nicht erforderlich, sich Kennwörter zu merken und einzugeben.
• WebAuthn - , ;
• WebAuthn ;
• WebAuthn — .

Zusätzliche Materialien

• Web Authentication: An API for accessing Public Key Credentials Level 1
• herrjemand/awesome-webauthn: A curated list of awesome WebAuthn/FIDO2 resources
• artifact-project/webauthn: A set of tools for building an API and interacts with WebAuthn
• Getting started with security keys
• 4 Password Authentication Risk & How to Avoid Them
• WebAuthn ,
• Getting Started with WebAuthn with Nick Steele
• Key generation in Yubico U2F Keys