WebAuthn dalam kehidupan nyata

Apa itu WebAuthn dan mengapa itu diperlukan

• jika kata sandinya sederhana - Anda dapat mengambilnya;
• jika kata sandi yang sama digunakan di beberapa layanan, maka melanggar salah satunya penyerang mendapatkan akses ke yang lain;
• kata sandi rentan terhadap serangan phishing;
• kata sandi yang kuat dan unik sulit untuk diingat, sehingga pengguna dipaksa untuk menuliskan kata sandi pada stiker dan menempelkannya pada monitor, dari tempat itu dapat dengan mudah dilihat, dicuri atau hilang.

Bagaimana WebAuthn Bekerja

• Klien (Klien WebAuthn) - browser yang mendukung API WebAuthn;
• Aplikasi web - aplikasi yang berjalan di klien menggunakan WebAuthn API untuk berinteraksi dengan kredensial;
• kredensial (Kredensial Kunci Publik) - sepasang kunci kriptografi publik dan pribadi yang dikaitkan dengan akun pengguna;
• Authenticator - perangkat atau program - membuat kredensial pengguna dan menandatangani permintaan dari pihak yang mengandalkan kredensial ini (nama lain adalah kunci elektronik);
• pihak yang mengandalkan (WebAuthn Relying Party) - server web - menyimpan kunci publik yang terkait dengan akun pengguna, memverifikasi validitas penandatanganan permintaan mereka dengan kunci pribadi yang disimpan dalam autentikator.

Pembuatan kredensial ( MakeCredential )

const credential = await navigator.credentials.create({
    publicKey: publicKeyMakeCredentialOptions
});

Menandatangani permintaan dengan kredensial yang telah dibuat ( GetAssertion )

const assertion = await navigator.credentials.get({
    publicKey: publicKeyGetAssertionOptions
});

Kunci elektronik

• kunci platform-independen (autentikator roaming);
• Otentikator Platform

const credential = await navigator.credentials.create({
    publicKey: {
        authenticatorSelection: {
            authenticatorAttachment: 'cross-platform',
        },
        ...,
    },
});

Manfaat WebAuthn

• Pengguna tidak perlu mengingat dan memasukkan kata sandi apa pun, dan server tidak masing-masing menyimpan kata sandi pengguna, semua kekurangan yang dimiliki kata sandi hilang. Mencuri autentikator fisik dari pengguna jauh lebih sulit daripada memotong kata sandi yang dikirimkan secara elektronik melalui koneksi yang tidak aman, dan kebocoran kunci publik di situs tidak akan membuka kunci pribadi yang tersembunyi di perangkat.
• origin , . origin . , (thesslstore.com, yubico.com) .
• WebAuthn - . - web- , .
• WebAuthn sendiri sebagai API menyediakan pengembang dengan abstraksi atas implementasi autentikator dan memungkinkan Anda untuk menulis kode sekali, yang kemudian akan bekerja dengan semua jenis dan jenis kunci elektronik. Jadi WebAuthn adalah solusi scalable untuk otentikasi pengguna.

Dukungan WebAuthn

Windows

Linux

Android

iOS

macOS

Pendaftaran Authenticator

const credential = await navigator.credentials.create({
    publicKey: {
        attestation: 'direct',
         ...,
    },
});

WebAuthn bekerja pada subdomain yang berbeda

const credential = await navigator.credentials.create({
    publicKey: {
        rp: {
            name: 'Mail.ru Group',
            id: 'mail.ru',
        },
        ...,
    },
});

WebAuthn berfungsi di iframe

1. dalam aplikasi otorisasi saat menggunakan WebAuthn, kami menentukan apakah kami sekarang terbuka di dalam iframe atau tidak;
2. jika kita terbuka di dalam iframe, maka alih-alih memanggil browser WebAuthn API, kita membuat serialisasi parameter panggilan dan mengirimkannya melalui postMessagejendela induk;
3. di jendela induk kami deserialize parameter ini dan memanggil metode WebAuthn;
4. ketika kami menerima jawaban, kami mengurutkannya dengan cara yang sama dan mengirimkannya melalui bagian postMessagedalam iframe, tempat kami menerima jawaban ini dan melakukan pemrosesan lebih lanjut.

Otomasi Uji WebAuthn

//    WebAuthn   
navigator.credentials.create = (options) => {
    window.credentialsCreateArgs = options;

    return new Promise((resolve, reject) => {
        window.credentialsCreateSuccess = resolve;
        window.credentialsCreateFail = reject;
    });
};

// -    
const credentialsCreateResponse = { /* constant object */ };

window.credentialsCreateSuccess(credentialsCreateResponse);

• periksa apakah klien dengan benar membentuk dan memutar parameter ke fungsi WebAuthn;
• periksa kebenaran perubahan backend saat meluncurkan rilis backend.

// -    
const credentialsCreateResponse =
    calcCredentialsCreateResponse(window.credentialsCreateArgs);
 
window.credentialsCreateSuccess(credentialsCreateResponse);

1. dapatkan argumen bahwa metode WebAuthn dipanggil dengan;
2. kami menjalankan argumen ini melalui fungsi yang mengimplementasikan algoritma yang sama seperti di dalam autentikator nyata;
3. kami mendapatkan hasilnya, dan mengembalikannya dari fungsi yang kami ganti;
4. semua kode lainnya dalam layanan kami memproses respons ini dalam mode biasa dan sebagai hasilnya, semua perilaku layanan tidak berbeda dari perilaku pengguna yang sebenarnya.

Sekarang dan Masa Depan WebAuthn

Bagaimana lagi Anda bisa menggunakan WebAuthn?

Pertanyaan dan jawaban populer

Di mana saya bisa membeli kunci elektronik?

• Keamanan Dataway
• Softline

Bagaimana jika saya kehilangan kunci elektronik saya?

Apa yang harus saya lakukan jika orang lain mendapatkan akses ke kunci elektronik saya?

Sekarang data biometrik saya akan disimpan di server Mail.ru/Google/Microsoft?

Kesimpulan

• saat menggunakan WebAuthn tidak perlu mengingat dan memasukkan kata sandi;
• WebAuthn - , ;
• WebAuthn ;
• WebAuthn — .

Bahan tambahan

• Web Authentication: An API for accessing Public Key Credentials Level 1
• herrjemand/awesome-webauthn: A curated list of awesome WebAuthn/FIDO2 resources
• artifact-project/webauthn: A set of tools for building an API and interacts with WebAuthn
• Getting started with security keys
• 4 Password Authentication Risk & How to Avoid Them
• WebAuthn ,
• Getting Started with WebAuthn with Nick Steele
• Key generation in Yubico U2F Keys