WebAuthn
WebAuthn ist die Browser-API für Anmeldung mit öffentlichen Schlüsseln. Eine Antwort des Browsers muss der Server prüfen, bevor er die Anmeldung akzeptiert.
Öffentliche Schlüssel im Browser nutzen
WebAuthn ist eine Browser-API zum Registrieren und Verwenden kryptografischer Anmeldemittel mit öffentlichen Schlüsseln. Passkeys nutzen diese Schnittstelle im Web. Die Registrierung erfolgt über navigator.credentials.create(), eine spätere Anmeldung über navigator.credentials.get(). Die API benötigt einen sicheren Kontext, im regulären Webbetrieb gewöhnlich HTTPS.
Die Serverprüfung gehört zur Anmeldung
Ein fiktives Projektportal erzeugt für einen Anmeldeversuch eine frische, zufällige challenge. Der Browser lässt darauf eine signierte Antwort erstellen. Die Kennung rpId bindet den Vorgang an den vorgesehenen Dienst. Der Portalserver prüft unter anderem die Signatur mit dem hinterlegten öffentlichen Schlüssel, die erwartete Challenge und die Dienstbindung. Auch die erwartete Origin, also Protokoll, Hostname und Port der Website, gehört zur Prüfung.
Das zurückgegebene Browserobjekt allein ist deshalb noch kein erfolgreicher Zugang zum Portal. Erst nach der serverseitigen Prüfung akzeptiert die Anwendung die Anmeldung. In diesem Portal führt ein abgebrochener Dialog zu keinem bestätigten Login; die Oberfläche muss diesen Zustand verständlich anzeigen.
WebAuthn organisiert weder die Synchronisierung zwischen Geräten noch die Wiederherstellung eines verlorenen Kontozugangs. Diese Abläufe brauchen eigene Entscheidungen. Auch nach einer erfolgreichen Anmeldung prüft der Server weiterhin, welche Projekte das Konto öffnen oder ändern darf.
Quellen
Verwandte Begriffe
- PasskeyEin Passkey ermöglicht die Anmeldung mit einem dienstgebundenen Schlüsselpaar. Gerätewechsel, Wiederherstellung und Kontorechte bleiben eigene Aufgaben.
- HttpOnly-CookieHttpOnly verhindert den direkten Cookiezugriff durch Seitenskripte. Passende Anfragen können das Cookie weiterhin mitsenden; die Sitzung bleibt zu prüfen.
- Same-Origin PolicyDie Same-Origin Policy begrenzt im Browser den Zugriff zwischen unterschiedlichen Origins. Ein anderer Seitenpfad allein erzeugt noch keinen neuen Origin.
- Least PrivilegeLeast Privilege begrenzt Rechte auf die benötigte Aufgabe und ihren Bereich. Erforderliche Arbeit soll möglich bleiben, unnötige Macht entfällt.
- Attributbasierte ZugriffskontrolleABAC bewertet Zugriffe anhand definierter Eigenschaften und Regeln. Die Herkunft und Aktualität dieser Eigenschaften sind Teil des Entwurfs.
- Rollenbasierte ZugriffskontrolleRBAC verbindet Berechtigungen mit Rollen und ordnet Personen diesen Rollen zu. Der Datenbereich muss neben dem Rollennamen klar sein.
Ihr Vorhaben mit ASES
Beschreiben Sie uns Ihr Vorhaben. Wir melden uns mit einer ersten Einschätzung.