Auth Services Workspace

Overview

この仕様は、
何を解決するのか。

パスキーやSecurity KeyをWebアプリへ導入し、登録・認証Ceremonyの検証項目を理解したい人向けです。

WebAuthnは、Webサイトが公開鍵Credentialを使ってユーザーを強く認証するためのブラウザAPIです。パスキー、端末の生体認証、PIN、Security Keyなどの違いを、Relying Partyが共通のAPIで扱えるようにします。

登録時にAuthenticatorがサイト専用の鍵ペアを作り、公開鍵だけをRelying Partyへ登録します。認証時にはサーバーのchallengeへ秘密鍵で署名します。秘密鍵、生体情報、PINはWebサイトへ送られません。

Purpose and responsibilities

サーバーは公開鍵を保存するため、データベースが漏えいしてもパスワードのようなログイン可能な秘密が直接流出しません。

CredentialはRP IDとoriginへ結び付くため、偽サイトから本物のサイト用Credentialを利用できません。

Platform Authenticatorと外付けSecurity Keyをnavigator.credentials.create/getという共通APIで扱います。

Key concepts

01PublicKeyCredential02Registration Ceremony03Authentication Ceremony04RP ID / Origin05Attestation / Assertion

Security considerations

仕様を実装するときは、正常系の通信だけでなく、値のすり替え、再利用、漏えいが起きた場合も考えます。

01
challengeはランダムかつ一度限りにし、セッションと関連付けます。
02
clientDataJSONのtype、challenge、originとauthenticatorDataのRP ID hash、flagsを検証します。
03
登録時は許可algorithm、attestation方針、userVerification要件を明確にします。
04
アカウント復旧と複数Credential登録を設計し、端末紛失時に安全に失効できるようにします。

Interactive flows