WebAuthn
WebAuthn è l’API del browser per l’accesso con chiavi pubbliche. Il server deve verificare la risposta prima di accettare l’autenticazione.
Usare chiavi pubbliche nel browser
WebAuthn è un’API del browser per registrare e usare credenziali crittografiche a chiave pubblica. Le passkey utilizzano questa interfaccia sul Web. La registrazione avviene tramite navigator.credentials.create(); un accesso successivo tramite navigator.credentials.get(). L’API richiede un contesto sicuro, normalmente HTTPS nel funzionamento Web ordinario.
La verifica sul server fa parte dell’accesso
Un portale fittizio per progetti genera un challenge nuovo e casuale per un tentativo di accesso. Il browser fa produrre una risposta firmata. L’identificatore rpId lega l’operazione al servizio previsto. Il server del portale verifica, tra l’altro, la firma con la chiave pubblica salvata, il challenge atteso e il legame al servizio. Anche l’origine attesa, composta da protocollo, nome host e porta del sito, rientra nella verifica.
L’oggetto restituito dal browser non costituisce quindi da solo un accesso riuscito al portale. L’applicazione accetta l’autenticazione solo dopo la verifica sul server. In questo portale, annullare la finestra di dialogo non produce un accesso confermato; l’interfaccia deve comunicare questo stato in modo comprensibile.
WebAuthn non organizza la sincronizzazione tra dispositivi né il recupero di un accesso perso. Questi percorsi richiedono decisioni proprie. Dopo un accesso riuscito, il server verifica ancora quali progetti l’account può aprire o modificare.
Fonti
Termini correlati
- PasskeyUna passkey permette l’accesso con una coppia di chiavi legata al servizio. Cambio dispositivo, recupero dell’account e permessi restano da gestire.
- Cookie HttpOnlyHttpOnly impedisce agli script l’accesso diretto al cookie. Le richieste appropriate possono ancora inviarlo; sessione e permessi vanno verificati.
- Same-origin policy (SOP)La same-origin policy limita gli accessi del browser tra origini diverse. Un percorso di pagina diverso non crea da solo una nuova origine.
- Principio del privilegio minimoIl privilegio minimo limita i permessi al compito necessario e al suo ambito. Il lavoro richiesto resta possibile; i poteri superflui vengono rimossi.
- Controllo degli accessi basato sugli attributiABAC valuta gli accessi mediante proprietà e regole definite. Origine e aggiornamento delle proprietà fanno parte della progettazione.
- Controllo degli accessi basato sui ruoliRBAC collega permessi e ruoli e assegna le persone ai ruoli. Va definito anche l’ambito dei dati a cui è consentito accedere.
Il vostro progetto con ASES
Descriveteci il vostro progetto. Vi ricontatteremo con una prima valutazione.