वास्तविक जीवन में WebAuthn

WebAuthn क्या है और इसकी आवश्यकता क्यों है

• यदि पासवर्ड सरल है - आप इसे उठा सकते हैं;
• यदि एक ही पासवर्ड कई सेवाओं में उपयोग किया जाता है, तो उनमें से एक को तोड़ने पर हमलावर को अन्य सभी तक पहुंच मिलती है;
• पासवर्ड फ़िशिंग हमलों के लिए असुरक्षित हैं;
• मजबूत और अनोखे पासवर्ड को याद रखना मुश्किल है, इसलिए उपयोगकर्ता स्टिकर पर पासवर्ड को लिखने और मॉनिटर पर चिपकाने के लिए मजबूर होता है, जहां यह आसानी से जासूसी, चोरी या खो सकता है।

WebAuthn कैसे काम करता है

• क्लाइंट (WebAuthn क्लाइंट) - एक ब्राउज़र जो WebAuthn एपीआई का समर्थन करता है;
• वेब एप्लिकेशन - क्रेडेंशियल्स के साथ बातचीत करने के लिए WebAuthn API का उपयोग करके क्लाइंट पर चलने वाला एप्लिकेशन;
• क्रेडेंशियल (सार्वजनिक कुंजी क्रेडेंशियल) - सार्वजनिक और निजी क्रिप्टोग्राफ़िक कुंजियों की एक जोड़ी जो उपयोगकर्ता खाते से जुड़ी होती है;
• प्रमाणक - एक उपकरण या कार्यक्रम - इन क्रेडेंशियल्स के साथ भरोसा पार्टी से उपयोगकर्ता क्रेडेंशियल्स और संकेत अनुरोध बनाता है (दूसरा नाम एक इलेक्ट्रॉनिक कुंजी है);
• भरोसा करने वाली पार्टी (WebAuthn Relying Party) - वेब सर्वर - उपयोगकर्ता खाते से जुड़ी सार्वजनिक कुंजी को संग्रहीत करता है, उनके अनुरोधों पर हस्ताक्षर करने की वैधता को प्रमाणिकता में संग्रहीत निजी कुंजी के साथ सत्यापित करता है।

क्रेडेंशियल्स का निर्माण ( मेक्रेडिऐंडियल )

const credential = await navigator.credentials.create({
    publicKey: publicKeyMakeCredentialOptions
});

(साख पहले से बनाए के साथ एक अनुरोध पर हस्ताक्षर करना GetAssertion )

const assertion = await navigator.credentials.get({
    publicKey: publicKeyGetAssertionOptions
});

इलेक्ट्रॉनिक कुंजी

• प्लेटफ़ॉर्म-इंडिपेंडेंट कीज़ (रोमिंग ऑथेंटिकेटर्स);
• प्लेटफ़ॉर्म प्रमाणक

const credential = await navigator.credentials.create({
    publicKey: {
        authenticatorSelection: {
            authenticatorAttachment: 'cross-platform',
        },
        ...,
    },
});

WebAuthn लाभ

• उपयोगकर्ता को किसी भी पासवर्ड को याद रखने और दर्ज करने की आवश्यकता नहीं है, और सर्वर उपयोगकर्ता के पासवर्ड को क्रमशः स्टोर नहीं करता है, सभी कमियां जो पासवर्ड चले गए थे। एक उपयोगकर्ता से एक भौतिक प्रमाणक चोरी करना एक असुरक्षित कनेक्शन पर इलेक्ट्रॉनिक रूप से प्रेषित पासवर्ड को इंटरसेप्ट करने की तुलना में बहुत अधिक कठिन है, और साइट पर सार्वजनिक कुंजी का रिसाव डिवाइस में छिपी निजी कुंजी को नहीं खोलेगा।
• origin , . origin . , (thesslstore.com, yubico.com) .
• WebAuthn - . - web- , .
• WebAuthn स्वयं एक API के रूप में डेवलपर्स को प्रमाणिकता के कार्यान्वयन पर अमूर्तता प्रदान करता है और आपको एक बार कोड लिखने की अनुमति देता है, जो तब सभी प्रकार और इलेक्ट्रॉनिक कुंजी के साथ काम करेगा। इस प्रकार WebAuthn उपयोगकर्ता प्रमाणीकरण के लिए एक मापनीय समाधान है।

WebAuthn समर्थन

खिड़कियाँ

लिनक्स

एंड्रॉयड

आईओएस

मैक ओ एस

प्रमाणक पंजीकरण

const credential = await navigator.credentials.create({
    publicKey: {
        attestation: 'direct',
         ...,
    },
});

WebAuthn विभिन्न उप-डोमेन पर काम करता है

const credential = await navigator.credentials.create({
    publicKey: {
        rp: {
            name: 'Mail.ru Group',
            id: 'mail.ru',
        },
        ...,
    },
});

WebAuthn iframe में काम करते हैं

1. WebAuthn का उपयोग करते समय प्राधिकरण आवेदन में, हम यह निर्धारित करते हैं कि अब हम iframe के अंदर खुले हैं या नहीं;
2. अगर हम iframe के अंदर खुले हैं, तो ब्राउज़र API WebAuthn को कॉल करने के बजाय, हम कॉल पैरामीटर को क्रमबद्ध करते हैं और उन्हें postMessageमूल विंडो के माध्यम से भेजते हैं;
3. अभिभावक विंडो में हम इन मापदंडों को डिसेर्बलाइज करते हैं और WebAuthn विधियों को कॉल करते हैं;
4. जब हमें कोई उत्तर प्राप्त होता है, तो हम उसे उसी तरह से क्रमबद्ध करते हैं और उसे postMessageएक iframe के अंदर भेजते हैं , जहाँ हम इस उत्तर को स्वीकार करते हैं और आगे की प्रक्रिया करते हैं।

WebAuthn टेस्ट स्वचालन

//    WebAuthn   
navigator.credentials.create = (options) => {
    window.credentialsCreateArgs = options;

    return new Promise((resolve, reject) => {
        window.credentialsCreateSuccess = resolve;
        window.credentialsCreateFail = reject;
    });
};

// -    
const credentialsCreateResponse = { /* constant object */ };

window.credentialsCreateSuccess(credentialsCreateResponse);

• जांचें कि क्या क्लाइंट सही तरीके से रूपों और WebAuthn कार्यों में मापदंडों को रोल करता है;
• बैकएंड जारी करते समय बैकेंड परिवर्तनों की शुद्धता की जांच करें।

// -    
const credentialsCreateResponse =
    calcCredentialsCreateResponse(window.credentialsCreateArgs);
 
window.credentialsCreateSuccess(credentialsCreateResponse);

1. तर्क है कि WebAuthn तरीकों के साथ बुलाया गया था;
2. हम इन तर्कों को एक फ़ंक्शन के माध्यम से चलाते हैं जो वास्तविक एल्गोरिदम के अंदर समान एल्गोरिदम को लागू करता है;
3. हमें इसका परिणाम मिलता है, और इसे हमारे बदले हुए कार्यों से लौटाया जाता है;
4. हमारी सेवा के सभी कोड सामान्य मोड में इन प्रतिक्रियाओं को संसाधित करते हैं और परिणामस्वरूप, सेवा के सभी व्यवहार वास्तविक उपयोगकर्ताओं के लिए इसके व्यवहार से भिन्न नहीं होते हैं।

वर्तमान और भविष्य के WebAuthn

आप WebAuthn का उपयोग कैसे कर सकते हैं?

लोकप्रिय सवाल और जवाब

मैं इलेक्ट्रॉनिक कुंजी कहां से खरीद सकता हूं?

• डेटावे सुरक्षा
• मुलायम पंक्तियां

अगर मैं अपनी इलेक्ट्रॉनिक कुंजी खो दूं तो क्या होगा?

यदि किसी अन्य को मेरी इलेक्ट्रॉनिक कुंजी तक पहुंच प्राप्त हो तो मुझे क्या करना चाहिए?

अब मेरा बायोमेट्रिक डेटा Mail.ru/Google/Microsoft सर्वर पर संग्रहीत किया जाएगा?

निष्कर्ष

• WebAuthn का उपयोग करते समय पासवर्ड याद रखना और दर्ज करना आवश्यक नहीं है;
• WebAuthn - , ;
• WebAuthn ;
• WebAuthn — .

अतिरिक्त सामग्री

• Web Authentication: An API for accessing Public Key Credentials Level 1
• herrjemand/awesome-webauthn: A curated list of awesome WebAuthn/FIDO2 resources
• artifact-project/webauthn: A set of tools for building an API and interacts with WebAuthn
• Getting started with security keys
• 4 Password Authentication Risk & How to Avoid Them
• WebAuthn ,
• Getting Started with WebAuthn with Nick Steele
• Key generation in Yubico U2F Keys