WebAuthn en la vida real

¿Qué es WebAuthn y por qué es necesario?

• si la contraseña es simple, puede recuperarla;
• si se usa la misma contraseña en varios servicios, al romper uno de ellos, el atacante obtiene acceso a todos los demás;
• las contraseñas son vulnerables a los ataques de phishing;
• Las contraseñas seguras y únicas son difíciles de recordar, por lo que el usuario se ve obligado a escribir la contraseña en la etiqueta y pegarla en el monitor, desde donde se puede espiar, robar o perder fácilmente.

Cómo funciona WebAuthn

• Cliente (Cliente WebAuthn): un navegador que admite la API WebAuthn;
• Aplicación web: una aplicación que se ejecuta en el cliente utilizando la API de WebAuthn para interactuar con las credenciales;
• credenciales (credencial de clave pública): un par de claves criptográficas públicas y privadas asociadas con una cuenta de usuario;
• Authenticator, un dispositivo o programa, crea credenciales de usuario y firma las solicitudes de la parte que confía con estas credenciales (otro nombre es una clave electrónica);
• la parte que confía (WebAuthn Relying Party), el servidor web, almacena la clave pública asociada con la cuenta de usuario, verifica la validez de la firma de sus solicitudes con la clave privada almacenada en el autenticador.

Creación de credenciales ( MakeCredential )

const credential = await navigator.credentials.create({
    publicKey: publicKeyMakeCredentialOptions
});

Firmar una solicitud con credenciales ya creadas ( GetAssertion )

const assertion = await navigator.credentials.get({
    publicKey: publicKeyGetAssertionOptions
});

Llaves electronicas

• claves independientes de la plataforma (autenticadores de itinerancia);
• Autenticadores de plataforma

const credential = await navigator.credentials.create({
    publicKey: {
        authenticatorSelection: {
            authenticatorAttachment: 'cross-platform',
        },
        ...,
    },
});

Beneficios de WebAuthn

• El usuario no necesita recordar ni ingresar ninguna contraseña, y el servidor no almacena las contraseñas de los usuarios, respectivamente, todas las deficiencias que tenían las contraseñas desaparecieron. Robar un autenticador físico de un usuario es mucho más difícil que interceptar una contraseña transmitida electrónicamente a través de una conexión insegura, y una fuga de claves públicas en el sitio no abrirá la clave privada oculta en el dispositivo.
• origin , . origin . , (thesslstore.com, yubico.com) .
• WebAuthn - . - web- , .
• El propio WebAuthn como API proporciona a los desarrolladores una abstracción sobre la implementación de autenticadores y le permite escribir código una vez, que luego funcionará con todos los tipos y tipos de claves electrónicas. Por lo tanto, WebAuthn es una solución escalable para la autenticación de usuarios.

Soporte WebAuthn

Ventanas

Linux

Androide

iOS

Mac OS

Registro de autenticador

const credential = await navigator.credentials.create({
    publicKey: {
        attestation: 'direct',
         ...,
    },
});

WebAuthn funciona en diferentes subdominios

const credential = await navigator.credentials.create({
    publicKey: {
        rp: {
            name: 'Mail.ru Group',
            id: 'mail.ru',
        },
        ...,
    },
});

WebAuthn trabaja en iframe

1. en la aplicación de autorización cuando se usa WebAuthn, determinamos si ahora estamos abiertos dentro del iframe o no;
2. si estamos abiertos dentro del iframe, entonces en lugar de llamar al API WebAuthn del navegador, serializamos los parámetros de la llamada y los enviamos a través de la postMessageventana principal;
3. en la ventana principal deserializamos estos parámetros y llamamos a los métodos WebAuthn;
4. cuando recibimos una respuesta, la serializamos de la misma manera y la enviamos a través del postMessageinterior de un iframe, donde aceptamos esta respuesta y realizamos un procesamiento adicional.

WebAuthn Test Automation

//    WebAuthn   
navigator.credentials.create = (options) => {
    window.credentialsCreateArgs = options;

    return new Promise((resolve, reject) => {
        window.credentialsCreateSuccess = resolve;
        window.credentialsCreateFail = reject;
    });
};

// -    
const credentialsCreateResponse = { /* constant object */ };

window.credentialsCreateSuccess(credentialsCreateResponse);

• compruebe si el cliente forma y enrolla los parámetros correctamente en las funciones de WebAuthn;
• verifique la corrección de los cambios de backend cuando se ejecutan lanzamientos de backend.

// -    
const credentialsCreateResponse =
    calcCredentialsCreateResponse(window.credentialsCreateArgs);
 
window.credentialsCreateSuccess(credentialsCreateResponse);

1. obtener los argumentos con los que se llamaron los métodos WebAuthn;
2. ejecutamos estos argumentos a través de una función que implementa los mismos algoritmos que dentro de los autenticadores reales;
3. obtenemos el resultado y lo devolvemos de nuestras funciones reemplazadas;
4. todo el resto del código en nuestro servicio procesa estas respuestas en el modo habitual y, como resultado, todo el comportamiento del servicio no difiere de su comportamiento para usuarios reales.

El presente y el futuro de WebAuthn

¿De qué otra forma puedes usar WebAuthn?

Preguntas y respuestas populares

¿Dónde puedo comprar una llave electrónica?

• Dataway Security
• Linea suave

¿Qué pasa si pierdo mi llave electrónica?

¿Qué debo hacer si alguien más tiene acceso a mi llave electrónica?

¿Ahora mis datos biométricos se almacenarán en los servidores Mail.ru/Google/Microsoft?

Conclusión

• cuando se usa WebAuthn no es necesario recordar e ingresar contraseñas;
• WebAuthn - , ;
• WebAuthn ;
• WebAuthn — .

Materiales adicionales

• Web Authentication: An API for accessing Public Key Credentials Level 1
• herrjemand/awesome-webauthn: A curated list of awesome WebAuthn/FIDO2 resources
• artifact-project/webauthn: A set of tools for building an API and interacts with WebAuthn
• Getting started with security keys
• 4 Password Authentication Risk & How to Avoid Them
• WebAuthn ,
• Getting Started with WebAuthn with Nick Steele
• Key generation in Yubico U2F Keys